Trusted Design

CVE-2015-7450 の詳細

CVEの情報

説明:
Serialized-object interfaces in certain IBM analytics, business solutions, cognitive, IT infrastructure, and mobile and social products allow remote attackers to execute arbitrary commands via a crafted serialized Java object, related to the InvokerTransformer class in the Apache Commons Collections library.

CVE更新日: 2016-01-02 21:59:15.800000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-01-10

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.977640000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2015-7450に関する脆弱性の調査結果を以下に解説します。

1. 脆弱性の概要

Apache Commons Collectionsライブラリのデシリアライズ処理において、リモートの攻撃者が任意のコードを実行できるセキュリティ脆弱性が存在します。これは、JavaのInvokerTransformerクラスを用いたデータのデシリアライズが原因です。攻撃者は、特別に細工されたシリアライズ済みJavaオブジェクトを送信することで、システム上で任意のJavaコードを実行する可能性があります。この問題は、特定のIBM製品における不正なコード生成管理に関連しています。

1.1 影響

この脆弱性が悪用されると、リモートからの任意のコード実行（RCE: Remote Code Execution）が可能になります。CISA（米国サイバーセキュリティ・社会基盤安全保障庁）の既知の悪用されている脆弱性カタログに掲載されており、実際に悪用が確認されています。

1.2 深刻度

  • CVSS v3.0 基本評価値: 9.8 (Critical)
  • CVSS v3.0 ベクター: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
  • CVSS v2.0 基本評価値: 7.5 (危険)
    • 攻撃元区分: ネットワーク
    • 攻撃条件の複雑さ: 低
    • 攻撃前の認証要否: 不要
    • 機密性への影響: 部分的
    • 完全性への影響: 部分的
    • 可用性への影響: 部分的

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Apache Commons Collectionsライブラリを使用している様々なJavaアプリケーションや製品に影響を与えます。

  • Apache Software Foundation:
    • Apache Commons Collections 3.2.1 およびそれ以前
    • Apache Commons Collections 4.0 およびそれ以前
  • IBM 製品:
    • IBM WebSphere Application Server V7.0, V8.0, V8.5, V8.5.5 (Full Profile / Liberty Profile)
    • IBM WebSphere Application Server Hypervisor Edition V7.0, V8.0, V8.5, V8.5.5
    • IBM WebSphere Application Server Community Edition v3.0.0.4
    • IBM UrbanCode Build 6.1.0, 6.1.0.1, 6.1.0.2, 6.1.1 (全サポートプラットフォーム)
    • IBM Sterling B2B Integrator 5.2.0.0-5.2.5.0, 5.2.6.0
    • Sterling Integrator 5.1
    • IBM Tivoli Common Reporting
    • IBM Watson Content Analytics
    • IBM Watson Explorer Analytical Components
    • IBM Watson Explorer Annotation Administration Console
    • IBM Cognos Controller
    • FileNet Content ManagerおよびIBM Content Foundation
    • 注意: IBM WebSphere Application Server v6.1以前のバージョンは、この問題の影響を受けません。
  • 日本電気 (NEC) 製品:
    • WebOTX Application Server, WebOTX Service Integration, WebOTX Portal V8.3～V8.4, WebOTX Enterprise Service Bus V7.1 (7.11.08.00以降), WebOTX Enterprise Service Bus V9.3
    • CapsSuite, InfoFrame Relational Store, SystemDirector Enterprise
  • その他: 複数のCisco製品も影響を受ける可能性があります。

2.2 影響を受ける設定

  • JavaアプリケーションがApache Commons Collectionsライブラリを直接利用している場合、またはクラスパス指定でアクセスできる範囲にApache Commons Collectionsライブラリを配置している場合。
  • シリアライズされたJavaオブジェクトを受け取るサービスがインターネットからアクセス可能な場合、遠隔から攻撃される可能性があります。
  • IBM WebSphere Application Serverは、管理ツールでCommons Collectionsライブラリを使用しています。
  • WebSphere Libertyにおいては、EJB Embeddable ContainerまたはJPA Clientフィーチャーを使用している場合に脆弱性の影響を受ける可能性があります。

3. 影響を受けた時の兆候

この脆弱性はリモートからの任意のコード実行を可能にするため、明確な「兆候」が特定されているわけではありませんが、以下のような状況が考えられます。

  • システムが意図しない動作をする。
  • 攻撃者によって任意のコマンドが実行される。
  • システムへの不正なアクセスやデータの改ざん、情報漏えいなど、任意のコード実行によって引き起こされるあらゆる種類の被害が発生する可能性があります。

4. 推奨対策

4.1 本対策

  • 製品のアップデート/パッチ適用:
    • IBM WebSphere Application Server: 個別修正モジュールAPAR PI52103を適用するか、APAR PI52103を含むFixPack（例: V8.5.5.8、V8.0.0.12、V7.0.0.41）にアップデートしてください。
    • IBM UrbanCode Build: IBM UrbanCode Build 6.1.1.1へアップグレードしてください。
    • IBM Sterling B2B Integrator: 5.2.5.0へアップグレードするか、Fix CentralからGeneric Interim Fix 5020500_10をダウンロードして適用してください。
    • Sterling Integrator 5.1: commons-collections-3.2.2.jarをダウンロードし、特定のディレクトリに保存し、dynamicclasspath.cfg.inファイルを更新してsetupfiles.shまたはsetupfiles.cmdを実行してください。
    • IBM WebSphere Application Server Community Edition v3.0.0.4: 提供されているパッチファイル (repository.zip) をダウンロードして適用してください。
    • NEC WebOTX: 脆弱性問題を改修したApache Commons Collectionsライブラリを組み込んだWebOTXのパッチを適用してください (WebOTX Portal V8.3～V8.4向け、WebOTX ESB V9.30向けなどが提供されています)。
    • Apache Commons Collectionsライブラリ: 直接利用している場合は、脆弱性に対処されたバージョン（3.2.2以降）に更新してください。バージョン3.2.2では、不正なクラスのデシリアライズ時にデフォルトでUnsupportedOperationExceptionをトリガーするよう修正されています。
  • 一般的な対策:
    • お使いのアプリケーションでApache Commons Collectionsライブラリを別途使用している場合は、別途アプリケーション側で対応が必要になります。
    • デシリアライゼーションフィルタを実装し、許可されたクラスのみをホワイトリスト化してください。
    • 信頼できないデータのデシリアライズは可能な限り避けてください。
    • Javaシリアライゼーションの代わりにJSONなどのより安全なデータ形式の使用を検討してください。
    • デシリアライゼーションアクティビティを監視し、不審なパターンをログに記録してください。

4.2 暫定回避策（緩和策）

  • IBM Tivoli Common Reporting: InvokerTransformerクラスへのアクセスを制限してください。
  • NEC WebOTX: 回避策は存在しないとされています。
  • 一般的な対策として、信頼できない入力のデシリアライズを回避する、またはデシリアライズするオブジェクトのタイプを制限するなどの方法も考えられます。

他に解説すべき観点

  • 根本原因: 本質的には、ライブラリの利用者側がデシリアライズ処理をセキュアに実装していないことに起因する問題であると指摘されています。
  • 発見と公開: この脆弱性の潜在的な悪用方法は、2015年1月28日にGabriel Lawrence氏とChris Frohoff氏によって発表されました。その後、Stephen Breen氏が2015年11月6日にWebSphere、JBoss、Jenkins、WebLogicなどの様々な製品に対する攻撃シナリオを公開しました。
  • 関連する脆弱性: この問題は、他のアプリケーションやライブラリにおける同様のデシリアライズ脆弱性（例: Oracle WebLogic ServerのCVE-2015-4852）にも関連付けられています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る