CVEノート

最近の脆弱性 › CVE-2021-35587

Oracle Fusion Middleware の安全でないデシリアライズの脆弱性（CVE-2021-35587）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2021-35587
製品Oracle Fusion Middleware
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-11-28
米国政府機関の対応期限2022-12-19
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-502, CWE-790

何が起きた

Oracle Fusion Middleware の Oracle Access Manager（OpenSSO Agent という部品）に、弱点が見つかりました。ネットワークに接続できる攻撃者が HTTP を通じて悪用でき、成功すると Oracle Access Manager を乗っ取られるおそれがあります。この弱点は実際に悪用されたことが確認されています。攻撃者はネットワーク経由で、ログインなしに、利用者の操作なしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が HTTP で Access Manager に接続する → 2. OpenSSO Agent の弱点を突く → 3. Oracle Access Manager を乗っ取る1攻撃者が HTTP で Access Manager に接続する2OpenSSO Agent の弱点を突く3Oracle Access Manager を乗っ取る攻撃の流れ: 1. 攻撃者が HTTP で Access Manager に接続する → 2. OpenSSO Agent の弱点を突く → 3. Oracle Access Manager を乗っ取る1攻撃者が HTTP で Access Manager に接続する2OpenSSO Agent の弱点を突く3Oracle Access Manager を乗っ取る

誰が影響を受ける

Oracle Access Manager の 11.1.2.3.0、12.2.1.3.0、12.2.1.4.0 を使っている組織が対象です。

何をすればいい

この弱点の修正は、Oracle の 2022年1月の Critical Patch Update（定期的なセキュリティ修正のまとめ）に含まれています。これを適用してください。Oracle は、サポートが続いている版を使い、Critical Patch Update をすぐに適用するよう強く勧めています。あわせて、Oracle の公式の案内を確認してください。

やることチェックリスト

用語メモ

Oracle Access Manager
Oracle の製品で、複数の業務システムへのログインや、誰が何を使えるかをまとめて管理します。
Critical Patch Update
Oracle が決まった時期に出す、セキュリティ修正をまとめたものです。
HTTP
Web ページを見るときなどに使われる、通信の決まりです。

元データ（英語・CISA KEV より）

Oracle Fusion Middleware Unspecified Vulnerability

概要

Oracle Fusion Middleware Access Manager allows an unauthenticated attacker with network access via HTTP to takeover the Access Manager product.

推奨対応

Apply updates per vendor instructions.

公式情報