Trusted Design

CVE-2012-4681 の詳細

CVEの情報

説明:
Multiple vulnerabilities in the Java Runtime Environment (JRE) component in Oracle Java SE 7 Update 6 and earlier allow remote attackers to execute arbitrary code via a crafted applet that bypasses SecurityManager restrictions by (1) using com.sun.beans.finder.ClassFinder.findClass and leveraging an exception with the forName method to access restricted classes from arbitrary packages such as sun.awt.SunToolkit, then (2) using "reflection with a trusted immediate caller" to leverage the getField method to access and modify private fields, as exploited in the wild in August 2012 using Gondzz.class and Gondvv.class.

CVE更新日: 2012-08-28 00:55:01.860000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-03-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.985360000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2012-4681について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2012-4681は、Oracle Java SEのJava Runtime Environment (JRE) コンポーネントに存在する複数の脆弱性です。この脆弱性を悪用されると、遠隔の攻撃者が細工されたJavaアプレットを介して任意のコードを実行する可能性があります。これは、Javaのセキュリティマネージャーの制限をバイパスすることで実現されます。

具体的には、com.sun.beans.finder.ClassFinder.findClassを使用して制限されたクラス（例: sun.awt.SunToolkit）にアクセスし、その後「信頼された即時呼び出し元によるリフレクション」を用いてプライベートフィールドにアクセスおよび変更することで、特権昇格を伴う任意のコード実行が可能になります。 この脆弱性は2012年8月にゼロデイ脆弱性として実際に悪用されました。

1.1 影響

この脆弱性が悪用されると、攻撃者はユーザーのコンピュータに任意のファイルをダウンロードしてインストールできます。 これにより、OSコマンドが実行され、システムから情報が漏えいしたり、データの改ざんやサービスの停止が行われたりする可能性があります。 ダウンロードされるファイルには、追加のマルウェア（例: Zeus）が含まれることがありました。 認証なしにネットワーク経由で遠隔から悪用される可能性があります。

1.2 深刻度

NISTのNVDによると、CVE-2012-4681のCVSSv2スコアは9.8（緊急度: Critical）です。 また、米CISAの既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に登録されており、積極的に悪用されていることが確認されています。 これは、深刻度が高く、実際の攻撃で頻繁に利用されていることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンに限定されず、脆弱なJavaバージョンが稼働している環境であれば影響を受けます。特に、デスクトップ環境でWebブラウザを通じてJavaが実行される場合に影響を受けます。 影響を受けるJavaのバージョンは以下の通りです。

  • Oracle Java JDKおよびJRE 7 Update 6およびそれ以前
  • Oracle JRE 6 Update 34およびそれ以前

例えば、Windows XP Pro SP3、Internet Explorer 7.0、Java 7 Update 6の組み合わせで攻撃が成功した報告があります。 また、Red Hat Enterprise Linux 6に搭載されているOpenJDK 7、Oracle Java SE 7、IBM Java SE 7も影響を受けました。

2.2 影響を受ける設定

主にデスクトップ環境でWebブラウザ内でJavaアプレットが実行される設定が影響を受けます。 サーバー上で動作するJavaや、スタンドアロンのJavaデスクトクトップアプリケーションは影響を受けません。

3. 影響を受けた時の兆候

直接的な兆候としては、ユーザーが意図しないファイルのダウンロードやインストールが実行されることが挙げられます。攻撃が成功した場合、システムにマルウェアが導入されるため、システムのパフォーマンス低下、予期しないプログラムの起動、あるいはデータが暗号化されるなどの変化が見られる可能性があります。

4. 推奨対策

4.1 本対策

Oracle社からこの脆弱性に対するパッチがリリースされています。 脆弱性が公開された後、Oracleはセキュリティアラートを発行し、できるだけ早くアップデートを適用することを強く推奨しました。 各ベンダーの指示に従って、影響を受けるJava SEを最新バージョンに更新してください。

4.2 暫定回避策（緩和策）

  • Javaの無効化: WebブラウザにおけるJavaの実行を無効にすることで、この脆弱性による攻撃を防ぐことができます。この脆弱性は特にWebブラウザで実行されるJavaに影響を与えるため、効果的な回避策です。
  • セキュリティ製品の利用: 当時、FFR yaraiなどの一部のセキュリティ製品やSnortのシグネチャ、ClamAVがこの脆弱性に対する検出・防御機能を提供していました。
  • 非公式パッチ: 脆弱性がゼロデイとして公開された当初、公式パッチが提供されるまで約2か月の期間があったため、セキュリティ研究者によって非公式のパッチがリリースされました。

他に解説すべき観点

  • 積極的な悪用: この脆弱性は2012年8月にゼロデイ脆弱性として発見され、APT（高度な持続的脅威）のような標的型攻撃や、Blackhole 2.0などのエクスプロイトキットを介した広範なスパムキャンペーン（例: 「ADP Invoice Reminder」を装ったメール）で積極的に悪用されました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る