Oracle Fusion Middleware の脆弱性（CVE-2020-2551）

何が起きた

Oracle Fusion Middleware に含まれる Oracle WebLogic Server の WLS Core Components という部分に弱点が見つかりました。IIOP という通信方式でつながる攻撃者が、ログインせずに WebLogic Server を乗っ取れるおそれがあります。ネットワーク経由で、権限を持たない攻撃者が、利用者の操作なしに悪用できるとされています。実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle WebLogic Server を使っている組織が対象です。影響を受けるバージョンは 10.3.6.0.0、12.1.3.0.0、12.2.1.3.0、12.2.1.4.0 です。

何をすればいい

Oracle が 2020年1月の Critical Patch Update で出した修正を当てているか確認してください。Oracle は、サポートが続いている版を使い、Critical Patch Update の修正を遅れずに当てるよう強く勧めています。修正はサポート対象の版にだけ出るため、古い版は更新を計画し、公式の案内を確認してください。

やることチェックリスト

• 2020年1月の Critical Patch Update を当てる
• サポートが続いている版で使うようにする
• 古い版を使っていれば更新を計画する

用語メモ

IIOP

Java のプログラムどうしがネットワーク越しにやり取りするための通信方式の一つです。

Critical Patch Update

Oracle が定期的にまとめて出す、セキュリティの修正の集まりです。