Oracle WebLogic Server の脆弱性（CVE-2020-2883）

何が起きた

Oracle Fusion Middleware に含まれる Oracle WebLogic Server の Core という部品に、弱点が見つかりました。ログインしていない攻撃者が、ネットワーク経由で IIOP や T3 という通信のしかたを使って悪用でき、攻撃が成功すると WebLogic Server を乗っ取られるおそれがあります。この弱点は実際に悪用されていることが確認されています。弱点の詳しい種類は公表されていません。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

影響を受けるのは、Oracle WebLogic Server の 10.3.6.0.0、12.1.3.0.0、12.2.1.3.0、12.2.1.4.0 です。これらのバージョンを使っている組織が対象です。

何をすればいい

Oracle の Critical Patch Update（2020年4月）で修正が出ているので、そのパッチを適用してください。Oracle は、サポートが続いているバージョンを使い、Critical Patch Update のパッチを遅れずに適用するよう強く勧めています。Oracle の公式の案内も確認してください。

やることチェックリスト

• 2020年4月の Critical Patch Update を適用する
• サポートが続くバージョンの WebLogic Server に移る
• 新しい Critical Patch Update を遅れずに適用する

用語メモ

Critical Patch Update

Oracle が定期的にまとめて出している、セキュリティの修正パッチの集まりです。

T3

WebLogic Server が他のプログラムとやりとりするときに使う、Oracle 独自の通信のしかたです。

IIOP

別々のコンピューターにあるプログラムどうしがやりとりするための通信のしかたの一つです。