• ひとことでOracle Agile PLM のデータ変換の処理に、乗っ取りにつながる弱点です。
  • 深刻度8.8 重要CVSS v3.1
  • まずやることAgile PLM 9.3.6 を使っているか確かめる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2024-20953
製品Oracle Agile Product Lifecycle Management (PLM)
深刻度（CVSS）8.8 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2025-02-24
米国政府機関の対応期限2025-03-17
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-502（信頼できないデータのデシリアライズ）

何が起きた

Oracle の Agile Product Lifecycle Management (PLM) の Export という部品に、デシリアライズ（受け取ったデータを元の形に戻す処理）の弱点が見つかり、実際の悪用が確認されています。一般利用者程度の権限を持つ攻撃者が、ネットワーク経由で HTTP を使って攻撃でき、被害者の操作は必要ありません。悪用に成功すると、Oracle Agile PLM を乗っ取られるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が一般利用者の権限を手に入れる → 2. HTTP で細工したデータを送る → 3. Export の部品がデータを元に戻す → 4. Oracle Agile PLM が乗っ取られる1攻撃者が一般利用者の権限を手に入れる2HTTP で細工したデータを送る3Export の部品がデータを元に戻す4Oracle Agile PLM が乗っ取られる攻撃の流れ: 1. 攻撃者が一般利用者の権限を手に入れる → 2. HTTP で細工したデータを送る → 3. Export の部品がデータを元に戻す → 4. Oracle Agile PLM が乗っ取られる1攻撃者が一般利用者の権限を手に入れる2HTTP で細工したデータを送る3Export の部品がデータを元に戻す4Oracle Agile PLM が乗っ取られる攻撃の流れ: 1. 攻撃者が一般利用者の権限を手に入れる → 2. HTTP で細工したデータを送る → 3. Export の部品がデータを元に戻す → 4. Oracle Agile PLM が乗っ取られる1攻撃者が一般利用者の権限を手に入れる2HTTP で細工したデータを送る3Export の部品がデータを元に戻す4Oracle Agile PLM が乗っ取られる

誰が影響を受ける

Oracle Agile PLM を使っている企業や組織です。影響を受けるバージョンは 9.3.6 です。

何をすればいい

Oracle は 2024年1月の Critical Patch Update でこの弱点への修正を出しています。Agile PLM 9.3.6 を使っている場合は、このパッチが当たっているか確認してください。Oracle は、サポートが続いている版を使い続け、パッチを遅れずに当てるよう強く勧めています。あわせて Oracle の公式の案内を確認してください。

やることチェックリスト

  • Agile PLM 9.3.6 を使っているか確かめる
  • 2024年1月の Critical Patch Update を当てる
  • サポートが続いている版の Agile PLM を使う

用語メモ

デシリアライズ 用語集で見る
保存や送信のために変換されたデータを、プログラムで使える元の形に戻す処理のことです。中身を確かめずに戻すと、悪い命令を動かされることがあります。
Critical Patch Update 用語集で見る
Oracle が定期的に出す、複数の製品の弱点をまとめて直すための修正パッチのことです。
HTTP 用語集で見る
Web ページなどのデータをやり取りするときに使われる通信の決まりごとのことです。

次に読む

同じ製品・メーカーの脆弱性Oracle Agile Product Lifecycle Management (PLM)（CVE-2024-21287）7.5 重要CVSS v3.1Oracle Agile PLM で、ログインなしにファイルを盗み見られる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Oracle Agile Product Lifecycle Management (PLM) Deserialization Vulnerability

概要

Oracle Agile Product Lifecycle Management (PLM) contains a deserialization vulnerability that allows a low-privileged attacker with network access via HTTP to compromise the system.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る