Trusted Design

解説:

CVE-2013-2465について、以下の観点で解説します。

1. 脆弱性の概要

Oracle Java SE および OpenJDK の Java Runtime Environment (JRE) コンポーネントに存在する、特定されていない脆弱性です。この脆弱性は2Dグラフィックコンポーネントに関連しており、機密性、完全性、および可用性に影響を及ぼす可能性があります。他のベンダーからは、2Dにおける「不正確な画像チャネル検証」に関連するベクトルを介してJavaサンドボックスをバイパスできるという主張がありますが、Oracleはこの主張についてコメントしていません。

技術的には、Exploit:Java/CVE-2013-2465は、Java SEの2Dコンポーネント内の脆弱性を利用します。この問題は、AWT（Abstract Window Toolkit）コードが画像データに対してネイティブ操作を行う際に、ラスターデータの有効性をチェックする際のメモリ操作に起因するメモリ破損です。影響を受けるクラスはjava.awt.image.MultiPixelPackedSampleModelとjava.awt.image.SinglePixelPackedSampleModelです。この脆弱性は、サンドボックス化されたJava Web Startアプリケーションおよびサンドボックス化されたJavaアプレットを介してのみ悪用可能です。

1.1 影響

リモートの攻撃者が、機密性、完全性、および可用性に影響を与えることができます。具体的には、Javaサンドボックスをバイパスし、脆弱なJavaを実行しているシステム上で認証されていないネットワーク経由の攻撃者が任意のコードを実行することを可能にします。これにより、ファイルの読み書きやコマンドの実行など、Javaプロセスユーザーと同じ権限でシステムを完全に侵害される可能性があります。また、この脅威は他のマルウェアを含む悪意のあるファイルをダウンロードして実行する可能性があります。

1.2 深刻度

• NVD CVSS v2 基本値: 10.0 (危険/Critical)
• NVD CVSS v3.1 基本値: 9.8 (CRITICAL) (Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
• Red Hat 深刻度: Critical (CVSS v2 スコア: 6.8, AV:N/AC:M/Au:N/C:P/I:P/A:P)

この脆弱性は、CISAの「Known Exploited Vulnerabilities (KEV)」カタログにも含まれており、実際に悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンに固有のものではなく、脆弱なJavaバージョンを実行しているシステムに影響します。例えば、Apple Mac OS X v10.6.8 (Java)、v10.7 およびそれ以降 (Java)、v10.8 およびそれ以降 (Java)、Apple Mac OS X Server v10.6.8 (Java)、v10.7 およびそれ以降 (Java)などが影響を受けるとされています。

2.2 影響を受ける設定

以下のJava Runtime Environment (JRE) および Java Development Kit (JDK) のバージョンが影響を受けます。

• Oracle Java SE 7 Update 21 およびそれ以前
• Oracle Java SE 6 Update 45 およびそれ以前
• Oracle Java SE 5.0 Update 45 およびそれ以前
• OpenJDK 7
• OpenJDK 6 および 6u
• IcedTea 1.x (IcedTea6 1.x)

クライアント展開のJavaのみに適用され、サンドボックス化されたJava Web Startアプリケーションおよびサンドボックス化されたJavaアプレットを介して悪用される可能性があります。

3. 影響を受けた時の兆候

• セキュリティソフトウェア（例: Windows Defender）からの警告。
• TeslaCrypt、Dyre、NetTravelerなどのマルウェアがダウンロードされ、実行される可能性。
• システム上で任意のコードが実行される可能性。
• システムの機密性、完全性、可用性が影響を受ける。

4. 推奨対策

4.1 本対策

• Oracle Java SE 7 Update 25 またはそれ以降にアップデートする。
• Oracle Java SE 6 Update 46 またはそれ以降にアップデートする。
• Oracle Java SE 5 Update 46 またはそれ以降にアップデートする。
• ベンダーの指示に従って更新を適用してください。
• 古く、サポートされていないJavaバージョンは削除してください。

4.2 暫定回避策（緩和策）

• ウェブブラウザのJavaプラグインを無効にする。
• 信頼できないアプレットの実行を制限する。

他に解説すべき観点

• 公開日: 2013年6月18日。
• 悪用状況: この脆弱性は、実際に悪用されており、CISAの「Known Exploited Vulnerabilities (KEV)」カタログに登録されています。
• 関連マルウェア・攻撃者: TeslaCrypt、Dyre、NetTravelerなどのマルウェアがこの脆弱性を悪用したことが知られています。また、APT21という脅威アクターもこの脆弱性を悪用していることが確認されています。

参照したサイト

• CVE-2013-2465 Detail - NVD
• CVE-2013-2465 - Red Hat Customer Portal
• Oracle JRE CVE-2013-2465 Vulnerability (CVE-2013-2465) - Vulnerabilities - Acunetix
• Exploit:Java/CVE-2013-2465 threat description - Microsoft Security Intelligence
• CVE-2013-2465 | Tenable®
• CVE-2013-2465 - Exploits & Severity - Feedly
• JVNDB-2013-003062 - JVN iPedia - 脆弱性対策情報データベース
• CVE-2013-2465 | Critical Vulnerability in Oracle Java SE - Appsecure Security
• RHEL における Java の脆弱性 (CVE-2013-2465) - Red Hat Customer Portal
• JVNTA13-064A Oracle Java に複数の脆弱性 緊急