CVE-2020-14750とは？Oracle WebLogic Serverの脆弱性をわかりやすく解説

ひとことでOracle WebLogic Server に、ログインなしで命令を実行される弱点
深刻度9.8 緊急CVSS v3.1
まずやることWebLogic Serverのバージョンを調べる

基本情報（データから表示）

CVE番号	CVE-2020-14750
製品	Oracle WebLogic Server
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2021-11-03
米国政府機関の対応期限	2022-05-03
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	不明

何が起きた

Oracle WebLogic Server の Console（管理用の画面）に、リモートコード実行の弱点が見つかりました。Oracle によると、この弱点は CVE-2020-14882 に関係するもので、ユーザー名やパスワードなしにネットワーク経由で悪用できます。悪用されると WebLogic Server が乗っ取られるおそれがあります。CISA によると、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle WebLogic Server を使っている組織が対象です。Oracle によると、影響を受けるのは 10.3.6.0.0、12.1.3.0.0、12.2.1.3.0、12.2.1.4.0、14.1.1.0.0 です。

何をすればいい

Oracle の公式の案内（CVE-2020-14750 の Security Alert）を確認し、修正を適用してください。Oracle は、攻撃コードが公開されているため、できるだけ早く適用するよう強くすすめています。関連する CVE-2020-14882 の修正（2020年10月の Critical Patch Update）もあわせて確認してください。

やることチェックリスト

WebLogic Serverのバージョンを調べる
Security Alertの修正を適用する
2020年10月の修正パッチも適用する

用語メモ

リモートコード実行用語集で見る: 離れた場所から、攻撃者が相手のコンピューターでプログラムを動かせてしまうことです。
Security Alert: 急いで直す必要がある弱点のために、Oracle が定期の時期を待たずに出す修正の案内です。
Critical Patch Update 用語集で見る: Oracle が決まった時期にまとめて出す、セキュリティの修正パッチの集まりです。

次に読む

同じ製品・メーカーの脆弱性Oracle WebLogic Server（CVE-2024-21182）7.5 重要CVSS v3.1Oracle WebLogic Server で、ログインなしに大事なデータを読まれるおそれがある弱点です。同じ製品・メーカーの脆弱性Oracle WebLogic Server（CVE-2020-2883）9.8 緊急CVSS v3.1Oracle WebLogic Server で、ログインなしにサーバーを乗っ取られるおそれがある弱点です基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Oracle WebLogic Server Remote Code Execution Vulnerability

概要

Oracle WebLogic Server contains an unspecified vulnerability allowing an unauthenticated attacker to perform remote code execution. This vulnerability is related to CVE-2020-14882.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Oracle WebLogic Server のリモートコード実行の脆弱性（CVE-2020-14750）