Trusted Design

CVE-2013-0422 の詳細

CVEの情報

説明:
Multiple vulnerabilities in Oracle Java 7 before Update 11 allow remote attackers to execute arbitrary code by (1) using the public getMBeanInstantiator method in the JmxMBeanServer class to obtain a reference to a private MBeanInstantiator object, then retrieving arbitrary Class references using the findClass method, and (2) using the Reflection API with recursion in a way that bypasses a security check by the java.lang.invoke.MethodHandles.Lookup.checkSecurityManager method due to the inability of the sun.reflect.Reflection.getCallerClass method to skip frames related to the new reflection API, as exploited in the wild in January 2013, as demonstrated by Blackhole and Nuclear Pack, and a different vulnerability than CVE-2012-4681 and CVE-2012-3174. NOTE: some parties have mapped the recursive Reflection API issue to CVE-2012-3174, but CVE-2012-3174 is for a different vulnerability whose details are not public as of 20130114. CVE-2013-0422 covers both the JMX/MBean and Reflection API issues. NOTE: it was originally reported that Java 6 was also vulnerable, but the reporter has retracted this claim, stating that Java 6 is not exploitable because the relevant code is called in a way that does not bypass security checks. NOTE: as of 20130114, a reliable third party has claimed that the findClass/MBeanInstantiator vector was not fixed in Oracle Java 7 Update 11. If there is still a vulnerable condition, then a separate CVE identifier might be created for the unfixed issue.

CVE更新日: 2013-01-10 21:55:00.777000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-05-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.970240000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2013-0422に関する調査結果は以下の通りです。

1. 脆弱性の概要

CVE-2013-0422は、Oracle Java 7 (JDKおよびJRE 1.7.0) に存在する深刻なリモートコード実行 (RCE) の脆弱性です。この脆弱性は、Javaアプレットサンドボックスにおける不適切なアクセス制御 (CWE-284) に起因します。

具体的には、JmxMBeanServerクラスのパブリックメソッドであるgetMBeanInstantiatorを使用してプライベートなMBeanInstantiatorオブジェクトの参照を取得し、findClassメソッドを介して任意のクラス参照を取得します。さらに、Reflection APIの再帰バグを悪用することで、java.lang.invoke.MethodHandles.Lookup.checkSecurityManagerのセキュリティチェックをバイパスし、Javaサンドボックスの制限外で任意のコードを実行することが可能になります。

この脆弱性は、2013年1月にゼロデイ脆弱性として実際に悪用され、「Blackhole」および「Nuclear Pack」といった著名なエクスプロイトキットに迅速に組み込まれました。これらのツールキットは、ドライブバイダウンロードを通じてマルウェアやランサムウェアを配布するために広く使用されていました。

1.1 影響

  • リモートコード実行 (RCE): 攻撃者は、脆弱なシステム上で任意のコードを実行できます。
  • サンドボックス回避: Javaアプレットサンドボックスのセキュリティ制限を迂回し、制限された環境外でコードを実行します。
  • 機密性、完全性、可用性の完全な侵害: 攻撃が成功すると、システム全体の機密性、完全性、および可用性が完全に損なわれる可能性があります。
  • ユーザーインタラクションなし: 悪意のあるアプレットを含むウェブページを読み込むだけで、ユーザーの認証や特別な操作なしに悪用される可能性があります。
  • ランサムウェアキャンペーンでの利用: この脆弱性は、ランサムウェアキャンペーンで悪用されたことが確認されています。

1.2 深刻度

  • CVSS 3.1スコア: 9.8 (緊急 - CRITICAL)。これは、ネットワーク経由で悪用可能であり、攻撃の複雑度が低く、認証やユーザーインタラクションなしで、機密性、完全性、可用性のすべてに高い影響を与えることを示します。
  • EPSSスコア: 93.6% (99.8パーセンタイル)。これは、高い確率で実際に悪用される可能性が高いことを示しています。
  • CISA KEVリスト: 米国サイバーセキュリティ・インフラセキュリティ庁 (CISA) の既知の悪用済み脆弱性 (Known Exploited Vulnerabilities) カタログに登録されており、活発な悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Oracle Java 7 (JDKおよびJRE 1.7.0) のUpdate 10以前のバージョンが影響を受けます。
  • Ubuntu 12.10やopenSUSE 12.2などのディストリビューションにバンドルされているJavaパッケージも影響を受けました。
  • Java 6、5.0、1.4.2、およびJava SE Embedded JREリリースは影響を受けません。
  • この脆弱性は、Javaプラグインが有効なすべてのブラウザ (IE、Firefox、Chromeを含む)、およびすべてのオペレーティングシステムで悪用される可能性があります。

2.2 影響を受ける設定

  • WebブラウザでJavaが実行されている環境、特にJavaアプレットを利用する環境が影響を受けます。
  • サーバー上で実行されるJava、スタンドアロンのJavaデスクトップアプリケーション、または組み込みJavaアプリケーションには適用されません。
  • 修正プログラム適用前は、Javaのデフォルトのセキュリティレベル設定が「Medium」の場合、ユーザーにプロンプトが表示されずに悪意のあるアプレットが実行されるリスクが高まります。

3. 影響を受けた時の兆候

  • 悪意のあるWebページを訪問した際に、不正なJavaアプレットがロードされる。
  • ブラウザ内でjava.exeプロセスが予期せず起動し、悪意のあるコードを実行する。
  • システム上で予期せぬファイルのダウンロードや実行が発生する。
  • システムがランサムウェアに感染したり、その他のマルウェアが展開されたりする。
  • 攻撃を受けた際のペイロードの挙動として、仮想マシン検出回避の試み、正規のWindowsプロセスであるsvchost.exeのプロセスメモリの書き換え、脅威コンテキストの変更、自動起動レジストリキーの作成、Windowsセーフブートエントリの削除、初期にドロップされたバイナリの削除、新しいデスクトップの作成などが観測されました。

4. 推奨対策

4.1 本対策

  • Javaのアップデート: Oracle Javaを少なくともJava 7 Update 11以降、可能であれば最新のサポートされているリリースにアップグレードしてください。
  • OSディストリビューションのパッチ適用: 該当するLinuxディストリビューション (Red Hat (RHSA-2013-0156/0165)、openSUSE 12.2、Ubuntu 12.10など) のパッチ済みJavaパッケージを適用してください。
  • 古いバージョンの削除: サポートされていない古いバージョンのJavaがPCにインストールされている場合、セキュリティ上の重大なリスクとなるため、これらを削除してください。

4.2 暫定回避策（緩和策）

  • Javaブラウザプラグインの無効化: 厳密に必要でない限り、Javaブラウザプラグインを完全に無効にすることが最も効果的な緩和策です。悪意のあるアプレットはブラウザを通じて配信されるため、この対策によりドライブバイエクスプロイトに対するリスクを大幅に低減できます。
  • セキュリティレベルの変更: Oracleの修正には、Javaセキュリティレベルのデフォルト設定を「Medium」から「High」に変更することも含まれています。「High」設定では、署名されていないJavaアプレットやJava Web Startアプリケーションが実行される前に、常にユーザーにプロンプトが表示されます。
  • アンチウイルスソフトウェアの利用: 最新の定義ファイルに更新されたアンチウイルスソフトウェア (Microsoft Defender Antivirus、Microsoft Security Essentialsなど) を使用し、フルシステムスキャンを実行して脅威を検出・削除してください。

参照サイト

  1. CVE-2013-0422 - Oracle JRE Remote Code Execution Vulnerability | turingsecure
  2. Oracle Security Alert CVE-2013-0422
  3. NVD-CVE-2013-0422 - National Vulnerability Database
  4. CVE-2013-0422: Oracle JRE Remote Code Execution Vulnerability | Kitploit
  5. Java 7 Update 10 0-Day Vulnerability (CVE-2013-0422) - Amplia Security
  6. Exploit:Java/CVE-2013-0422 threat description - Microsoft Security Intelligence
  7. Exploiting and Analysing CVE-2013-0422 - Blog for and by my students, current and future...
  8. Java/CVE-2013-0422 threat description - Microsoft Security Intelligence
  9. CVE-2013-0422, java 0-day: Technical Payload Analysis - Joe Sandbox
  10. Tag Archives: CVE-2013-0422 - Krebs on Security
  11. Exploit:Java/CVE-2013-0422.A | F‑Secure

NVDサイト

NVDでCVEの詳細を見る

戻る