• ひとことでOracle Solaris のログインの仕組みに、乗っ取りにつながる弱点
  • 深刻度10.0 緊急CVSS v3.1
  • まずやることSolarisとZFSSAのバージョンを調べる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2020-14871
製品Oracle Solaris and Zettabyte File System (ZFS)
深刻度（CVSS）10.0 緊急CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
KEVへの追加日2021-11-03
米国政府機関の対応期限2022-05-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-787（範囲外への書き込み）

何が起きた

Oracle Solaris の Pluggable authentication module（ログインの確認をする仕組み）に弱点が見つかりました。悪用されると Oracle Solaris が乗っ取られるおそれがあり、ほかの製品にも大きな影響が出る可能性があります。NVD に登録された Oracle の評価では、ネットワーク経由で、ログイン不要の攻撃者が、利用者の操作なしに悪用できます。CISA によると、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がネットワーク経由で接続する → 2. ログインの仕組みの弱点を突く → 3. Oracle Solarisが乗っ取られる1攻撃者がネットワーク経由で接続する2ログインの仕組みの弱点を突く3Oracle Solarisが乗っ取られる攻撃の流れ: 1. 攻撃者がネットワーク経由で接続する → 2. ログインの仕組みの弱点を突く → 3. Oracle Solarisが乗っ取られる1攻撃者がネットワーク経由で接続する2ログインの仕組みの弱点を突く3Oracle Solarisが乗っ取られる攻撃の流れ: 1. 攻撃者がネットワーク経由で接続する → 2. ログインの仕組みの弱点を突く → 3. Oracle Solarisが乗っ取られる1攻撃者がネットワーク経由で接続する2ログインの仕組みの弱点を突く3Oracle Solarisが乗っ取られる

誰が影響を受ける

Oracle Solaris と Oracle ZFS Storage Appliance Kit を使っている組織が対象です。Oracle によると、影響を受けるのは Solaris の 10 と 11、ZFS Storage Appliance Kit の 8.8 です。ただし、Solaris 11.1 以降と ZFSSA 8.7 以降では悪用できないとされています。

何をすればいい

Oracle の公式の案内（2020年10月の Critical Patch Update）を確認し、Solaris と ZFS Storage Appliance Kit に修正パッチを適用してください。Oracle は、パッチを当てるまでの間、攻撃に必要なネットワークの通信をふさぐことで危険を減らせる場合があるとしています。

やることチェックリスト

  • SolarisとZFSSAのバージョンを調べる
  • 2020年10月の修正パッチを適用する
  • パッチ前は攻撃に使う通信をふさぐ

用語メモ

Pluggable authentication module
ログインのときに、本人かどうかを確かめる処理をまとめた仕組みです。
Critical Patch Update 用語集で見る
Oracle が決まった時期にまとめて出す、セキュリティの修正パッチの集まりです。
パッチ 用語集で見る
ソフトウェアの不具合や弱点を直すための修正プログラムです。

次に読む

同じ製品・メーカーの脆弱性Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in（CVE-2026-21962）10.0 緊急CVSS v3.1Oracle HTTP ServerとWebLogicのプロキシの部品で、ログインせずに大事なデータを見られたり変えられたりする弱点です。同じ製品・メーカーの脆弱性Oracle E-Business Suite（CVE-2026-46817）9.8 緊急CVSS v3.1Oracle E-Business SuiteのPaymentsで、ログインせずに乗っ取られる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Oracle Solaris and Zettabyte File System (ZFS) Unspecified Vulnerability

概要

Oracle Solaris and Oracle ZFS Storage Appliance Kit contain an unspecified vulnerability causing high impacts to confidentiality, integrity, and availability of affected systems.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る