Oracle Solaris の権限昇格の脆弱性（CVE-2019-3010）

何が起きた

Oracle Solaris の部品の XScreenSaver（画面のロックなどに使われるソフト）に弱点があり、一般の利用者が自分の権限を高めて、Solaris を乗っ取れるおそれがあります。弱点のくわしい中身は公表されていません。CISA は、この弱点が実際に悪用されたことを確認しています。攻撃者は、Solaris が動く機器に一般利用者としてログインできることが必要ですが、他の利用者の操作は要りません。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD と Oracle の情報によると、影響を受けるのはサポート中の版の Oracle Solaris 11 です。Solaris 11 を使っているサーバーの管理者が対象です。

何をすればいい

Oracle は、2019 年 10 月の Critical Patch Update でこの弱点を修正しました。このパッチが適用されているか確認してください。Oracle は、パッチをできるだけ早く適用するよう強くすすめています。また、Oracle の Critical Patch Update の文書には、この弱点に限らない一般的な案内として、権限が必要な攻撃については、パッチを適用するまで必要のない利用者から権限を外すと危険を減らせる場合があること、ただし機能に影響することがあるので本番以外の環境で試すことが書かれています。あわせて Oracle の公式の案内を確認してください。

やることチェックリスト

• 2019 年 10 月の Critical Patch Update を適用する
• 必要のない利用者の権限を外すことを検討する
• 権限の変更は本番以外の環境で先に確認する

用語メモ

XScreenSaver

画面の保護やロックをするためのソフトです。

Critical Patch Update

Oracle が決まった時期にまとめて出す、セキュリティの修正のセットです。

パッチ

ソフトウェアの弱点や不具合を直すための修正プログラムです。