Oracle Agile Product Lifecycle Management (PLM) の安全でないデシリアライズの脆弱性（CVE-2024-20953）

何が起きた

Oracle の Agile Product Lifecycle Management (PLM) の Export という部品に、デシリアライズ（受け取ったデータを元の形に戻す処理）の弱点が見つかり、実際の悪用が確認されています。一般利用者程度の権限を持つ攻撃者が、ネットワーク経由で HTTP を使って攻撃でき、被害者の操作は必要ありません。悪用に成功すると、Oracle Agile PLM を乗っ取られるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle Agile PLM を使っている企業や組織です。影響を受けるバージョンは 9.3.6 です。

何をすればいい

Oracle は 2024年1月の Critical Patch Update でこの弱点への修正を出しています。Agile PLM 9.3.6 を使っている場合は、このパッチが当たっているか確認してください。Oracle は、サポートが続いている版を使い続け、パッチを遅れずに当てるよう強く勧めています。あわせて Oracle の公式の案内を確認してください。

やることチェックリスト

• Agile PLM 9.3.6 を使っているか確かめる
• 2024年1月の Critical Patch Update を当てる
• サポートが続いている版の Agile PLM を使う

用語メモ

デシリアライズ

保存や送信のために変換されたデータを、プログラムで使える元の形に戻す処理のことです。中身を確かめずに戻すと、悪い命令を動かされることがあります。

Critical Patch Update

Oracle が定期的に出す、複数の製品の弱点をまとめて直すための修正パッチのことです。

HTTP

Web ページなどのデータをやり取りするときに使われる通信の決まりごとのことです。