Oracle Multiple Products のリモートコード実行の脆弱性（CVE-2020-2555）

何が起きた

Oracle Fusion Middleware の Oracle Coherence に、受け取ったデータを元に戻す処理（デシリアライズ）の弱点が見つかりました。ログインしていない攻撃者が T3 という通信方式で細工したデータを送ると、Oracle Coherence を乗っ取られるおそれがあります。NVD の評価では、ネットワーク経由で離れた場所から、利用者の操作なしで悪用できます。CISA によると、Coherence を組み込んだ Oracle Utilities Framework、Oracle Retail Assortment Planning、Oracle Commerce、Oracle Communications Diameter Signaling Router (DSR) なども影響を受けます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle Coherence のサポート中の版のうち、3.7.1.0、12.1.3.0.0、12.2.1.3.0、12.2.1.4.0 が影響を受けます。Coherence を組み込んだほかの Oracle 製品も対象で、たとえば Oracle Retail Assortment Planning の 15.0 と 16.0 は、HTTP 経由で悪用できるとされています。

何をすればいい

Oracle Coherence は、2020年1月の Critical Patch Update を適用してください。Coherence を組み込んだ製品は、その製品が載っている月の Critical Patch Update（たとえば Oracle Retail Assortment Planning は 2020年7月）を適用します。Oracle は、サポート中の版を使い続け、Critical Patch Update をすぐに適用するよう強く勧めています。どの製品にどの月の修正が必要かは、公式の案内（Oracle の Critical Patch Update の告知）で確認してください。

やることチェックリスト

• Oracle Coherence の版を確認する
• 2020年1月の Critical Patch Update を適用する
• 組み込み製品は該当月の修正を適用する

用語メモ

デシリアライズ

送られてきたデータを、プログラムの中で使える形に組み立て直す処理です。

T3

Oracle の WebLogic Server などで使われる、独自の通信方式です。

Critical Patch Update

Oracle が年に4回まとめて出すセキュリティ修正のことです。