Oracle WebLogic Server のリモートコード実行の脆弱性（CVE-2020-14644）

何が起きた

業務用アプリを動かすサーバー製品 Oracle WebLogic Server に、受け取ったデータを安全を確かめずに元の形へ戻してしまう弱点（デシリアライズの問題）が見つかりました。CISA の KEV に載っており、実際の悪用が確認されています。ログインしていない攻撃者が、T3 や IIOP という通信でネットワーク越しに悪用でき、成功すると WebLogic Server が乗っ取られるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle WebLogic Server の 12.2.1.3.0、12.2.1.4.0、14.1.1.0.0 を使っている組織が影響を受けます。

何をすればいい

Oracle は、2020年7月の Critical Patch Update でこの弱点を修正しています。公式の案内を確認し、このパッチを当ててください。Oracle は、パッチを当てるまでのあいだ、攻撃に必要な通信（この弱点では T3 と IIOP）を止めることで危険を減らせる場合があるとしています。ただし Oracle は、この方法でアプリの機能が動かなくなる場合があるため、先に試験したうえで行うよう強く勧めています。

やることチェックリスト

• 2020年7月の Critical Patch Update を当てる
• パッチまでは T3 と IIOP の通信を止める
• 14.1.1.0.0 などの対象版を洗い出す

用語メモ

T3 用語集で見る

WebLogic Server がほかのサーバーやプログラムとやり取りするための独自の通信方式です。

IIOP 用語集で見る

離れたプログラムどうしが呼び出し合うための通信方式の一つです。

デシリアライズ 用語集で見る

送られてきたデータを元のプログラムのデータに戻す処理です。中身を確かめずに戻すと、攻撃者の命令が動くことがあります。

Critical Patch Update 用語集で見る

Oracle が決まった時期にまとめて出すセキュリティ修正のことです。