Oracle WebLogic Server の脆弱性（CVE-2023-21839）

何が起きた

Oracle WebLogic Server の中心部分（Core）に、詳しい内容が公表されていない弱点が見つかりました。NVD の評価では、ログインしていない攻撃者がネットワーク経由で T3 や IIOP という通信方式を使って悪用できます。成功すると、重要なデータへの不正なアクセスや、WebLogic Server が扱えるすべてのデータへのアクセスにつながります。この弱点は実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

影響を受けるのは、Oracle WebLogic Server の 12.2.1.3.0、12.2.1.4.0、14.1.1.0.0 です。Oracle は、この弱点を 2023年1月の Critical Patch Update で修正しています。

何をすればいい

Oracle の 2023年1月の Critical Patch Update（定期の修正パッチ）を適用してください。お使いのバージョンが 12.2.1.3.0、12.2.1.4.0、14.1.1.0.0 のどれかなら、特に急いで対応してください。適用の手順は、Oracle の公式の案内を確認してください。

やることチェックリスト

• 2023年1月の Critical Patch Update を適用する
• WebLogic Server のバージョンを確かめる
• 14.1.1.0.0 などの対象版は早めに修正する

用語メモ

Oracle WebLogic Server

Oracle が提供する、業務用の Web アプリを動かすためのサーバーソフトです。

T3

WebLogic Server が使う、Oracle 独自の通信方式です。

IIOP

離れたコンピューターのプログラムどうしがやり取りするための通信方式の一つです。

Critical Patch Update

Oracle が決まった時期にまとめて出す、セキュリティの修正パッチです。