Oracle ADF Faces の安全でないデシリアライズの脆弱性（CVE-2022-21445）

何が起きた

Oracle JDeveloper と一緒に配られる部品 Oracle ADF Faces に、外から受け取ったデータを安全を確かめずに元のプログラムの形へ戻してしまう弱点（デシリアライズの問題）が見つかりました。CISA の KEV に載っており、実際の悪用が確認されています。Oracle の説明では、ログインしていない攻撃者が HTTP でネットワーク越しに悪用でき、成功すると Oracle Application Development Framework (ADF) が乗っ取られるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle Application Development Framework (ADF) の 12.2.1.3.0 と 12.2.1.4.0 を使ったアプリを動かしている組織が影響を受けます。ADF は Oracle JDeveloper から入手する部品です。

何をすればいい

Oracle は、2022年4月の Critical Patch Update でこの弱点を修正しています。公式の案内を確認し、このパッチを当ててください。Oracle は、パッチを当てるまでのあいだ、攻撃に必要な通信を止めることで危険を減らせる場合があるとしています。ただし Oracle は、この方法でアプリの機能が動かなくなる場合があるため、先に試験したうえで行うよう強く勧めています。

やることチェックリスト

• 2022年4月の Critical Patch Update を当てる
• ADF の 12.2.1.3.0 などを使うアプリを洗い出す
• パッチまでは攻撃に使う通信を止める

用語メモ

デシリアライズ

保存や送信のために変換されたデータを、元のプログラムのデータに戻す処理です。中身を確かめずに戻すと、攻撃者の命令が動くことがあります。

Critical Patch Update

Oracle が決まった時期にまとめて出すセキュリティ修正のことです。

HTTP

Web ページなどのやり取りに使う通信の決まりです。