Oracle Intelligence Enterprise Edition のパストラバーサルの脆弱性（CVE-2020-14864）

何が起きた

Oracle Business Intelligence Enterprise Edition に、サーバー上の任意の（攻撃者が好きに選べる）ファイルを読み出せる弱点（パストラバーサル）が見つかりました。CISA によると、getPreviewImage という機能の FilePath という値を細工して悪用でき、実際の攻撃にも悪用されています。NVD の評価では、ネットワーク経由（HTTP）で、ログインしていない攻撃者でも悪用でき、重要なデータを盗み見られるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle Business Intelligence Enterprise Edition を使っている組織が対象です。NVD の説明によると、影響を受けるのは 5.5.0.0.0、12.2.1.3.0、12.2.1.4.0 です。

何をすればいい

Oracle の公式の案内を確認し、2020年10月の Critical Patch Update（CPU）のパッチを当ててください。Oracle は、パッチを当てるまでの間、攻撃に必要な通信をふさぐことで危険を減らせる場合があると案内しています。ただし Oracle は、この方法はアプリの機能が動かなくなることがあり、根本的な解決にはならないとも説明しています。

やることチェックリスト

• Oracle BI EE のバージョンを確かめる
• 2020年10月の CPU のパッチを当てる
• パッチまで攻撃に必要な通信をふさぐ

用語メモ

パストラバーサル

ファイルの場所の指定を細工して、本来見られないフォルダーのファイルを読み出す攻撃です。

Critical Patch Update（CPU）

Oracle が定期的にまとめて公開する、セキュリティ修正のパッチ集です。

HTTP

ウェブのページやデータをやり取りするための通信の決まりです。