Oracle Solaris and Zettabyte File System (ZFS) の範囲外書き込みの脆弱性（CVE-2020-14871）

何が起きた

Oracle Solaris の Pluggable authentication module（ログインの確認をする仕組み）に弱点が見つかりました。悪用されると Oracle Solaris が乗っ取られるおそれがあり、ほかの製品にも大きな影響が出る可能性があります。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が、利用者の操作なしに悪用できます。CISA によると、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle Solaris と Oracle ZFS Storage Appliance Kit を使っている組織が対象です。Oracle によると、影響を受けるのは Solaris の 10 と 11、ZFS Storage Appliance Kit の 8.8 です。ただし、Solaris 11.1 以降と ZFSSA 8.7 以降では悪用できないとされています。

何をすればいい

Oracle の公式の案内（2020年10月の Critical Patch Update）を確認し、Solaris と ZFS Storage Appliance Kit に修正パッチを適用してください。Oracle は、パッチを当てるまでの間、攻撃に必要なネットワークの通信をふさぐことで危険を減らせる場合があるとしています。

やることチェックリスト

• SolarisとZFSSAのバージョンを調べる
• 2020年10月の修正パッチを適用する
• パッチ前は攻撃に使う通信をふさぐ

用語メモ

Pluggable authentication module

ログインのときに、本人かどうかを確かめる処理をまとめた仕組みです。

Critical Patch Update

Oracle が決まった時期にまとめて出す、セキュリティの修正パッチの集まりです。

パッチ

ソフトウェアの不具合や弱点を直すための修正プログラムです。