Trusted Design

CVE-2015-4902 の詳細

CVEの情報

説明:
Unspecified vulnerability in Oracle Java SE 6u101, 7u85, and 8u60 allows remote attackers to affect integrity via unknown vectors related to Deployment.

CVE更新日: 2015-10-22 00:00:03.093000

CVSSバージョン: 3.1

CVSSスコア: 5.3

KEVの情報

KEV更新日: 2022-03-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.136030000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: medium

Automatable: True

AIを使った解説

解説:

CVE-2015-4902に関する調査結果を以下に解説します。

1. 脆弱性の概要

Oracle Java SEにおける、Deploymentコンポーネントに関連する未特定の脆弱性です。リモートの攻撃者が、不明な経路を通じてシステムの一貫性（integrity）に影響を与える可能性があります。

この脆弱性は、CISAの「既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities catalog）」に掲載されており、実際に悪用が確認されています。 また、トレンドマイクロは、標的型サイバー攻撃キャンペーン「Pawn Storm作戦」において、Javaの「Click-to-Play」機能を回避するためにこの脆弱性が利用されたと報告しています。

1.1 影響

  • リモートの攻撃者によってシステムの整合性が損なわれる可能性があります。
  • 情報が改ざんされる可能性があります。
  • CVSS v2の評価では、機密性（Confidentiality）および可用性（Availability）への影響はないとされています。

1.2 深刻度

  • CVSS v2 基本評価値: 5.0 (警告/中)
    • 攻撃元区分 (AV): ネットワーク (N)
    • 攻撃条件の複雑さ (AC): 低 (L)
    • 攻撃前の認証要否 (Au): 不要 (N)
    • 機密性への影響 (C): なし (N)
    • 完全性への影響 (I): 部分的 (P)
    • 可用性への影響 (A): なし (N)
  • CVSS v3.1 基本評価値: 5.3 (MEDIUM)
    • Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
  • Red Hatは「Moderate (中程度)」の深刻度としており、CVSS v2スコアは4.3です。
  • CISAの既知の悪用されている脆弱性カタログに記載されていることから、実際に悪用されていることが確認されており、HOL Guard CVEでは「High (高)」のリスクとして分類されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンではなく、以下のOracle Java SEのバージョンに影響を与えます。

  • Oracle Java SE 6u101
  • Oracle Java SE 7u85
  • Oracle Java SE 8u60
  • JRE 6 Update 101
  • JRE 7 Update 85
  • JRE 8 Update 60
  • Sun Microsystems JDK 6 Update 21 およびそれ以前
  • Sun Microsystems JRE 6 Update 21 およびそれ以前

また、Red Hat Enterprise Linux上の特定のOracle JavaおよびIBM Javaパッケージも影響を受けます。 日立製品で影響を受けるJavaバージョンを使用しているものも対象となります。

注: OpenJDK 7およびOpenJDK 8は、DeploymentコンポーネントがOracle Javaにのみ存在するため、この脆弱性の影響を受けません。

2.2 影響を受ける設定

Oracle Java SEの「Deployment」コンポーネントに関連する脆弱性です。 特にJavaの「Click-to-Play」機能を回避するために利用されました。

3. 影響を受けた時の兆候

この脆弱性は、システムの整合性に影響を与え、情報が改ざんされる可能性があるとされています。 しかし、具体的なシステム上で直接観測される明確な「兆候」については、公開情報からは特定できませんでした。 不明。

4. 推奨対策

4.1 本対策

  • ベンダーの指示に従ってアップデートを適用してください。
  • Oracle社から公開されている2015年10月のCritical Patch Updateを適用することが推奨されます。
  • 具体的には、Java SE 6u105、7u91、および8u65への更新で修正されます。
  • Red Hat Enterprise Linuxをご利用の場合は、RHSA-2015:1926、RHSA-2015:1927、RHSA-2015:1928、RHSA-2015:2507、RHSA-2015:2508などのセキュリティアドバイザリに従ってアップデートを適用してください。
  • IBM Spectrum Scale RAID/IBM GPFS Native RAIDを使用している場合は、バージョンに応じてESS 3.5.2、ESS 3.0.5、ESS 2.5.5、またはGSS 2.0.7にアップグレードしてください。

4.2 暫定回避策（緩和策）

この脆弱性に対する具体的な暫定回避策については、明確な情報は見つかりませんでした。 不明。 Red Hatのドキュメントでは、修正が延期されている製品に対しては、緩和策が存在する場合に適用を推奨しています。

5. 他に解説すべき観点

  • CISA Known Exploited Vulnerabilities Catalogへの追加: この脆弱性は2022年3月3日にCISAの既知の悪用されている脆弱性カタログに追加されており、実際にサイバー攻撃で利用されていることが強調されています。これは、組織にとって早急な対処が必要な脆弱性であることを意味します。
  • 「Pawn Storm作戦」での利用: この脆弱性は、高度な標的型攻撃キャンペーンである「Pawn Storm作戦」において、Javaの「Click-to-Play」セキュリティ機能を回避するために利用された実績があります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る