Trusted Design

CVE-2015-2590 の詳細

CVEの情報

説明:
Unspecified vulnerability in Oracle Java SE 6u95, 7u80, and 8u45, and Java SE Embedded 7u75 and 8u33 allows remote attackers to affect confidentiality, integrity, and availability via unknown vectors related to Libraries, a different vulnerability than CVE-2015-4732.

CVE更新日: 2015-07-16 10:59:17.050000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-03-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.254690000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2015-2590について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2015-2590は、Oracle Java SEおよびJava SE Embeddedに存在する未指定の脆弱性です。これは「Libraries」コンポーネントに関連する未知のベクトルを介して、リモートの攻撃者が機密性、完全性、可用性に影響を与える可能性があります。 CISA（Cybersecurity and Infrastructure Security Agency）は、この脆弱性をOracle Java Runtime Environmentにおけるリモートコード実行の脆弱性としています。

この脆弱性は、Oracleが2015年7月のクリティカルパッチアップデート（CPU）で修正を発表した時点で、既にゼロデイ脆弱性として悪用が確認されていました。

1.1 影響

リモートの攻撃者によって、システムの機密性、完全性、可用性が侵害される可能性があります。 IBMのセキュリティ情報では、「機密性、完全性、可用性に対して完全に影響を与える」と具体的に述べられています。 結果として、リモートでのコード実行が可能となる場合があります。

1.2 深刻度

  • CVSS v2基本スコア: 10.0 (Critical)
    • CVSS v2ベクトル: (AV:N/AC:L/Au:N/C:C/I:C/A:C)
  • CVSS v3.1基本スコア: 9.8 (Critical)
    • CVSS v3.1ベクトル: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
  • GitHub Advisory Database: 高 (High)
  • Red Hat Customer Portal: Critical
  • EPSS (Exploit Prediction Scoring System) スコア: 25.469% (98パーセンタイル) これは、この脆弱性が今後30日以内に悪用される可能性が高いことを示唆しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のOracle Java SEおよびJava SE Embeddedのバージョンが影響を受けます。

  • Oracle Java SE 6u95
  • Oracle Java SE 7u80
  • Oracle Java SE 8u45
  • Java SE Embedded 7u75
  • Java SE Embedded 8u33

また、以下の製品も影響を受けました。

  • Red Hat Enterprise Linuxで提供されるJavaパッケージ (java-1.6.0-sun, java-1.7.0-oracle, java-1.8.0-oracleなど)
  • IBM MessageSight 1.2.0.1およびそれ以前のバージョン
  • IBM iのV3R7, V4R1, V4R2, V4R3, V4R4, V5R1, V5R2, V5R3, V5R4, 6.1, 7.1, 7.2の各リリース
  • F5 BIG-IP、BIG-IQ、Enterprise Managerの一部のバージョンには脆弱なコードが存在しますが、F5製品の利用方法では脆弱性が露呈しないとされています。

2.2 影響を受ける設定

この脆弱性は、Javaの「Libraries」コンポーネントに関連しています。

3. 影響を受けた時の兆候

この脆弱性はリモートコード実行（RCE）を可能にするため、攻撃者は影響を受けるシステム上で任意のコードを実行できます。しかし、具体的な「兆候」や、システムが侵害されたことを示す直接的な挙動については、詳細な情報が見つかりませんでした。一般的に、RCEが成功した場合は、不正なプロセス、予期しないシステム動作、データの改ざん、情報の漏洩、またはサービス停止などが発生する可能性があります。

4. 推奨対策

4.1 本対策

  • Oracle Javaのアップデート: Oracleは2015年7月のクリティカルパッチアップデート（CPU）でこの脆弱性を修正しています。影響を受けるJava SEおよびJava SE Embeddedのバージョンを、それぞれ修正済みバージョン（Java SE 6u101以降、7u85以降、8u60以降、Java SE Embedded 7u85以降、8u60以降）へ更新することが推奨されます。
  • 各ベンダーからのパッチ適用:
    • Red Hat: 関連するRed Hat Security Errata (RHSA-2015:1241, RHSA-2015:1242, RHSA-2015:1243) を適用してください。
    • IBM MessageSight: IBM MessageSight 1.2.0.2以降へのアップグレードが必要です。
    • IBM i: 特定のPTF（Program Temporary Fixes）を適用してください。サポート対象外のバージョンについては、サポートされている修正済みバージョンへのアップグレードが強く推奨されます。

4.2 暫定回避策（緩和策）

  • IBM製品: IBMは、影響を受ける製品（IBM MessageSight、IBM i）に対して、この脆弱性に対する暫定回避策は「なし」と明記しています。
  • F5製品: F5 BIG-IP, BIG-IQ, Enterprise Managerを使用している場合、カスタマイズされたJavaクライアントを使用しないことで、脆弱性の露呈を防ぐことを推奨しています。

5. その他解説すべき観点

  • ゼロデイ攻撃: CVE-2015-2590は、Oracleが修正プログラムをリリースする前に、既に実環境で積極的に悪用されていたゼロデイ脆弱性でした。
  • 攻撃グループ: トレンドマイクロのセキュリティ研究者によると、「Pawn Storm」（APT28としても知られる）と呼ばれるハッカーグループが、このゼロデイエクスプロイトを使用して、NATO加盟国の一部の軍隊や米国の国防組織を標的にしていたと報告されています。
  • 悪用方法: ドライブバイダウンロードを介して悪用されたとされています。
  • 関連するCVE: この脆弱性は、CVE-2015-4732とは異なる脆弱性であると繰り返し言及されていますが、どちらも「Libraries」に関連する未指定の脆弱性として、しばしば同時に言及されます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る