• ひとことでOracle WebLogic Server で、ログインなしにサーバーを乗っ取られるおそれがある弱点です
  • 深刻度9.8 緊急CVSS v3.1
  • まずやること2020年4月の Critical Patch Update を適用する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2020-2883
製品Oracle WebLogic Server
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2025-01-07
米国政府機関の対応期限2025-01-28
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）不明

何が起きた

Oracle Fusion Middleware に含まれる Oracle WebLogic Server の Core という部品に、弱点が見つかりました。ログインしていない攻撃者が、ネットワーク経由で IIOP や T3 という通信のしかたを使って悪用でき、攻撃が成功すると WebLogic Server を乗っ取られるおそれがあります。この弱点は実際に悪用されていることが確認されています。弱点の詳しい種類は公表されていません。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がネットワーク経由でサーバーに接続する → 2. IIOP や T3 で細工したデータを送る → 3. ログインなしで弱点が突かれる → 4. WebLogic Server が乗っ取られる1攻撃者がネットワーク経由でサーバーに接続する2IIOP や T3 で細工したデータを送る3ログインなしで弱点が突かれる4WebLogic Server が乗っ取られる攻撃の流れ: 1. 攻撃者がネットワーク経由でサーバーに接続する → 2. IIOP や T3 で細工したデータを送る → 3. ログインなしで弱点が突かれる → 4. WebLogic Server が乗っ取られる1攻撃者がネットワーク経由でサーバーに接続する2IIOP や T3 で細工したデータを送る3ログインなしで弱点が突かれる4WebLogic Server が乗っ取られる攻撃の流れ: 1. 攻撃者がネットワーク経由でサーバーに接続する → 2. IIOP や T3 で細工したデータを送る → 3. ログインなしで弱点が突かれる → 4. WebLogic Server が乗っ取られる1攻撃者がネットワーク経由でサーバーに接続する2IIOP や T3 で細工したデータを送る3ログインなしで弱点が突かれる4WebLogic Server が乗っ取られる

誰が影響を受ける

影響を受けるのは、Oracle WebLogic Server の 10.3.6.0.0、12.1.3.0.0、12.2.1.3.0、12.2.1.4.0 です。これらのバージョンを使っている組織が対象です。

何をすればいい

Oracle の Critical Patch Update（2020年4月）で修正が出ているので、そのパッチを適用してください。Oracle は、サポートが続いているバージョンを使い、Critical Patch Update のパッチを遅れずに適用するよう強く勧めています。Oracle の公式の案内も確認してください。

やることチェックリスト

  • 2020年4月の Critical Patch Update を適用する
  • サポートが続くバージョンの WebLogic Server に移る
  • 新しい Critical Patch Update を遅れずに適用する

用語メモ

Critical Patch Update 用語集で見る
Oracle が定期的にまとめて出している、セキュリティの修正パッチの集まりです。
T3 用語集で見る
WebLogic Server が他のプログラムとやりとりするときに使う、Oracle 独自の通信のしかたです。
IIOP 用語集で見る
別々のコンピューターにあるプログラムどうしがやりとりするための通信のしかたの一つです。

次に読む

同じ製品・メーカーの脆弱性Oracle WebLogic Server（CVE-2024-21182）7.5 重要CVSS v3.1Oracle WebLogic Server で、ログインなしに大事なデータを読まれるおそれがある弱点です。同じ製品・メーカーの脆弱性Oracle WebLogic Server（CVE-2020-14644）9.8 緊急CVSS v3.1Oracle WebLogic Server で、外から送られたデータにより乗っ取られる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Oracle WebLogic Server Unspecified Vulnerability

概要

Oracle WebLogic Server, a product within the Fusion Middleware suite, contains an unspecified vulnerability exploitable by an unauthenticated attacker with network access via IIOP or T3.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る