最近の脆弱性 › CVE-2020-14883
Oracle WebLogic Server の脆弱性（CVE-2020-14883）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2020-14883 |
|---|---|
| 製品 | Oracle WebLogic Server |
| 深刻度（CVSS） | 7.2 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2021-11-03 |
| 米国政府機関の対応期限 | 2022-05-03 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | 不明 |
何が起きた
Oracle WebLogic Server の Console（管理用の画面）に弱点が見つかりました。悪用されると WebLogic Server が乗っ取られるおそれがあり、情報の漏えい・改ざん・停止のいずれにも大きな影響があります。NVD の評価では、ネットワーク経由で、管理者などの高い権限を持つ攻撃者が悪用できます。CISA によると、実際の悪用が確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Oracle WebLogic Server を使っている組織が対象です。Oracle によると、影響を受けるのは 10.3.6.0.0、12.1.3.0.0、12.2.1.3.0、12.2.1.4.0、14.1.1.0.0 です。
何をすればいい
Oracle の公式の案内（2020年10月の Critical Patch Update）を確認し、WebLogic Server に修正パッチを適用してください。Oracle は、パッチを当てるまでの間、攻撃に必要なネットワークの通信をふさぐことで危険を減らせる場合があるとしています。関連する CVE-2020-14882 と CVE-2020-14750 の修正もあわせて確認してください。
やることチェックリスト
- WebLogic Serverのバージョンを調べる
- 2020年10月の修正パッチを適用する
- パッチ前は攻撃に使う通信をふさぐ
用語メモ
- Console
- WebLogic Server の設定や管理をするための、ブラウザで開く管理用の画面です。
- Critical Patch Update
- Oracle が決まった時期にまとめて出す、セキュリティの修正パッチの集まりです。
- パッチ
- ソフトウェアの不具合や弱点を直すための修正プログラムです。
元データ（英語・CISA KEV より）
Oracle WebLogic Server Unspecified Vulnerability
概要
Oracle WebLogic Server contains an unspecified vulnerability in the Console component with high impacts to confidentilaity, integrity, and availability.
推奨対応
Apply updates per vendor instructions.