CVE-2019-2725とは？Oracle WebLogic Serverの脆弱性をわかりやすく解説

ひとことでOracle WebLogic Server で、ログインなしに乗っ取られるおそれがある弱点です。
深刻度9.8 緊急CVSS v3.1
まずやることSecurity Alert の修正パッチを当てる

基本情報（データから表示）

CVE番号	CVE-2019-2725
製品	Oracle WebLogic Server
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-01-10
米国政府機関の対応期限	2022-07-10
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-74（インジェクション）

何が起きた

Oracle WebLogic Server の Web Services という部分に、受け取ったデータをそのまま組み立て直して（デシリアライズして）しまう弱点が見つかりました。Oracle の勧告によると、ユーザー名やパスワードなしに、ネットワーク経由で HTTP を通じて悪用でき、遠くからコードを実行されるおそれがあります。成功すると WebLogic Server が乗っ取られるおそれがあります。この弱点は実際の攻撃に使われたことが CISA によって確認されており、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle WebLogic Server を使っている組織が対象です。NVD の説明では、影響を受けるのはサポート中のバージョンのうち 10.3.6.0.0 と 12.1.3.0.0 です。

何をすればいい

Oracle は、Security Alert（緊急の勧告）で出した更新を、できるだけ早く当てるよう強く勧めています。使っている WebLogic Server に、この Security Alert の修正パッチが当たっているか確認してください。Oracle の公式の案内（CVE-2019-2725 の Security Alert）を確認してください。

やることチェックリスト

Security Alert の修正パッチを当てる
10.3.6.0.0 と 12.1.3.0.0 の利用を調べる
CVE-2019-2725 の Security Alert の対象か調べる

用語メモ

WebLogic Server: Oracle の、企業向けの Web アプリを動かすためのサーバーソフトです。
デシリアライズ用語集で見る: 送られてきたデータを、プログラムで使える形に組み立て直すことです。中身を確かめずに行うと、攻撃に悪用されることがあります。
ランサムウェア用語集で見る: データを暗号化して使えなくし、元に戻す代わりにお金を要求する悪意のあるプログラムです。

次に読む

同じ製品・メーカーの脆弱性Oracle WebLogic Server（CVE-2024-21182）7.5 重要CVSS v3.1Oracle WebLogic Server で、ログインなしに大事なデータを読まれるおそれがある弱点です。同じ製品・メーカーの脆弱性Oracle WebLogic Server（CVE-2020-2883）9.8 緊急CVSS v3.1Oracle WebLogic Server で、ログインなしにサーバーを乗っ取られるおそれがある弱点です基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Oracle WebLogic Server, Injection

概要

Injection vulnerability in the Oracle WebLogic Server component of Oracle Fusion Middleware (subcomponent: Web Services).

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Oracle WebLogic Server の脆弱性（CVE-2019-2725）