Oracle Agile Product Lifecycle Management (PLM) の認可の不備の脆弱性（CVE-2024-21287）

何が起きた

製品の設計や部品などの情報を管理する Oracle Agile Product Lifecycle Management（PLM）の、Software Development Kit の Process Extension という部分に、権限の確認が正しくない弱点が見つかりました。悪用されると、ログインしていない攻撃者にファイルの中身を見られるおそれがあります。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用でき、実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle Agile PLM Framework の 9.3.6 を使っている企業や組織が対象です。Oracle は、サポート期間が終わった古い版も影響を受ける可能性が高いとしています。

何をすればいい

Oracle の公式の案内を確認してください。Oracle はこの弱点のためのセキュリティアラートを出しており、そこで提供されている修正をできるだけ早く適用するよう強く勧めています。サポートの対象外の版を使っている場合は、サポートされている版に更新してください。

やることチェックリスト

• Agile PLM Framework が 9.3.6 か確認する
• セキュリティアラートの修正をすぐ適用する
• サポート対象外の版はサポート版に更新する

用語メモ

Software Development Kit

ソフトウェアに機能を追加したり連携させたりするための、開発用の道具一式です。

セキュリティアラート

Oracle が、定期の更新を待たずに緊急で出す、セキュリティの修正のお知らせです。

PLM

製品の企画から設計、生産、廃止までの情報をまとめて管理する仕組みです。