Trusted DesignCVE-2010-0840 の詳細
CVEの情報
説明:
Unspecified vulnerability in the Java Runtime Environment component in Oracle Java SE and Java for Business 6 Update 18, 5.0 Update 23, and 1.4.2_25 allows remote attackers to affect confidentiality, integrity, and availability via unknown vectors. NOTE: the previous information was obtained from the March 2010 CPU. Oracle has not commented on claims from a reliable researcher that this is related to improper checks when executing privileged methods in the Java Runtime Environment (JRE), which allows attackers to execute arbitrary code via (1) an untrusted object that extends the trusted class but has not modified a certain method, or (2) "a similar trust issue with interfaces," aka "Trusted Methods Chaining Remote Code Execution Vulnerability."
CVE更新日: 2010-04-01 16:30:00.907000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2022-05-25
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.963190000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2010-0840について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2010-0840は、Oracle Java SEおよびJava for BusinessのJava Runtime Environment (JRE) コンポーネントに存在する、未特定の脆弱性です。 この脆弱性は、JRE内で特権を持つメソッドを実行する際の不適切なチェックに起因します。これにより、攻撃者は、信頼されたクラスを拡張しながら特定のメソッドを変更していない、あるいはインターフェースにおける同様の信頼問題を利用して、任意のコードを実行できる可能性があります。この問題は「Trusted Methods Chaining Remote Code Execution Vulnerability」とも呼ばれます。
攻撃はネットワーク経由で実行可能であり、システムへの事前のアクセスやユーザーの操作は必要ありません。
1.1 影響
この脆弱性が悪用されると、リモートの攻撃者によってシステムの機密性、完全性、および可用性（CIA）が損なわれる可能性があります。 攻撃者は、標的のシステム上で任意のコードを実行し、システム乗っ取りやデータ侵害につながる可能性があります。
具体的には、この脅威は、脆弱なバージョンのJavaがインストールされたPCで、改ざんされたウェブサイトをユーザーが訪問した際に、他のマルウェアをダウンロードして実行するために利用されることがあります。
1.2 深刻度
CVE-2010-0840の深刻度は「緊急（Critical）」と評価されています。 CVSS v3の基本スコアは9.8（緊急）であり、以下のメトリクスが示されています。 * 攻撃元区分: ネットワーク * 攻撃条件の複雑さ: 低 * 攻撃に必要な特権レベル: 不要 * 利用者の関与: 不要 * 機密性への影響: 高 * 完全性への影響: 高 * 可用性への影響: 高
この脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログにも含まれており、実際に悪用されていることが確認されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
Javaの脆弱性であるため、特定のCPUタイプやOSに依存せず、Javaインタープリタが動作するWindows、macOS、Linuxなど、任意のプラットフォームで影響を受ける可能性があります。
具体的に影響を受ける製品とバージョンは以下の通りです。 * Oracle Java SE および Java for Business: * Java SE 6 Update 18 およびそれ以前 (Windows, Solaris, Linux) * Java SE 5.0 Update 23 およびそれ以前 (Solaris) * SDK 1.4.2_25 およびそれ以前 (Solaris) * Java for Business 6 Update 18 およびそれ以前 (Windows, Solaris, Linux) * Java for Business 5.0 Update 23 およびそれ以前 (Windows, Solaris, Linux) * Java for Business SDK and JRE 1.4.2_25 およびそれ以前 (Windows, Solaris, Linux) * Apple: * Apple Security Updates HT4170 および HT4171で言及されているバージョン * HP: * HP-UX 11.11, 11.23, 11.31 * Red Hat: * Red Hat Enterprise Linux Extras 4 extras, 4.7.z extras, 4.8.z extras * Red Hat Enterprise Linux Extras 3 extras * RHEL Desktop Supplementary 5 (client) * RHEL Supplementary 5 (server) * RHEL Supplementary EUS 5.2.z (server), 5.3.z (server), 5.4.z (server) * Red Hat Enterprise Linux 5 (server) * Red Hat Enterprise Linux Desktop 5.0 (client)
2.2 影響を受ける設定
特定の「設定」が影響を受けるという情報は見当たりません。脆弱なバージョンのJREが動作している環境全般が対象となります。
3. 影響を受けた時の兆候
この脆弱性が悪用された場合、以下のような兆候が見られる可能性があります。 * システム上にマルウェアがダウンロードされ、実行される。 * 一時的なストレージ場所にJARファイルが作成され、そのJARファイル内に悪用コードが含まれている。 * Javaの実行を示すログファイル（例:
deployment.properties,java_install_reg.log,jusched.logなど）に、通常とは異なるアクティビティやエントリが記録される。 * ユーザーが不審なまたは悪意のあるウェブサイトを訪問した履歴がブラウザに残る。4. 推奨対策
4.1 本対策
4.2 暫定回避策（緩和策）
ベンダーからの修正パッチがまだ提供されていない場合や、直ちに適用することが難しい状況では、以下の暫定回避策を検討する必要があります。 * 設定変更、アクセス制限の強化、関連する機能の停止、ネットワーク分離などの対策を実施する。 * WAF (Web Application Firewall) や EDR (Endpoint Detection and Response) などのセキュリティ製品による補完的な対策を検討する。
CISA (Cybersecurity and Infrastructure Security Agency) は、回避策はあくまで一時的な手段であり、公式パッチが利用可能になったら速やかに移行することが望ましいとアドバイスしています。
5. 他に解説すべき観点
参照したサイト