CVE-2020-14883とは？Oracle WebLogic Serverの脆弱性をわかりやすく解説

ひとことでOracle WebLogic Server の管理画面に、乗っ取りにつながる弱点
深刻度7.2 重要CVSS v3.1
まずやることWebLogic Serverのバージョンを調べる

基本情報（データから表示）

CVE番号	CVE-2020-14883
製品	Oracle WebLogic Server
深刻度（CVSS）	7.2 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2021-11-03
米国政府機関の対応期限	2022-05-03
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	不明

何が起きた

Oracle WebLogic Server の Console（管理用の画面）に弱点が見つかりました。悪用されると WebLogic Server が乗っ取られるおそれがあり、情報の漏えい・改ざん・停止のいずれにも大きな影響があります。NVD に登録された Oracle の評価では、ネットワーク経由で、管理者などの高い権限を持つ攻撃者が悪用できます。CISA によると、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle WebLogic Server を使っている組織が対象です。Oracle によると、影響を受けるのは 10.3.6.0.0、12.1.3.0.0、12.2.1.3.0、12.2.1.4.0、14.1.1.0.0 です。

何をすればいい

Oracle の公式の案内（2020年10月の Critical Patch Update）を確認し、WebLogic Server に修正パッチを適用してください。Oracle は、パッチを当てるまでの間、攻撃に必要なネットワークの通信をふさぐことで危険を減らせる場合があるとしています。関連する CVE-2020-14882 と CVE-2020-14750 の修正もあわせて確認してください。

やることチェックリスト

WebLogic Serverのバージョンを調べる
2020年10月の修正パッチを適用する
パッチ前は攻撃に使う通信をふさぐ

用語メモ

Console: WebLogic Server の設定や管理をするための、ブラウザで開く管理用の画面です。
Critical Patch Update 用語集で見る: Oracle が決まった時期にまとめて出す、セキュリティの修正パッチの集まりです。
パッチ用語集で見る: ソフトウェアの不具合や弱点を直すための修正プログラムです。

次に読む

同じ製品・メーカーの脆弱性Oracle WebLogic Server（CVE-2024-21182）7.5 重要CVSS v3.1Oracle WebLogic Server で、ログインなしに大事なデータを読まれるおそれがある弱点です。同じ製品・メーカーの脆弱性Oracle WebLogic Server（CVE-2020-2883）9.8 緊急CVSS v3.1Oracle WebLogic Server で、ログインなしにサーバーを乗っ取られるおそれがある弱点です基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Oracle WebLogic Server Unspecified Vulnerability

概要

Oracle WebLogic Server contains an unspecified vulnerability in the Console component with high impacts to confidentilaity, integrity, and availability.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Oracle WebLogic Server の脆弱性（CVE-2020-14883）