CVE詳細 - CVE-2017-10271-

CVE-2017-10271 の詳細

CVEの情報

説明:
Vulnerability in the Oracle WebLogic Server component of Oracle Fusion Middleware (subcomponent: WLS Security). Supported versions that are affected are 10.3.6.0.0, 12.1.3.0.0, 12.2.1.1.0 and 12.2.1.2.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via T3 to compromise Oracle WebLogic Server. Successful attacks of this vulnerability can result in takeover of Oracle WebLogic Server. CVSS 3.0 Base Score 7.5 (Availability impacts). CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H).

CVE更新日: 2017-10-19 17:29:01.747000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2022-02-10

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999940000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2017-10271は、Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントにおけるリモートコード実行の脆弱性です。

1. 脆弱性の概要

Oracle WebLogic ServerのWLS Securityサブコンポーネントに存在する、Java XMLDecoderを使用した安全でないXML逆直列化に起因する脆弱性です。認証されていない攻撃者がT3プロトコルを介して、細工されたXMLデータを送信することで、リモートから任意のコードを実行し、Oracle WebLogic Serverを乗っ取ることが可能になります。

1.1 影響

認証されていない遠隔の攻撃者による任意のコード実行（リモートコード実行 (RCE)）。
WebLogic Serverの乗っ取り。
情報の取得、改ざん、サービス運用妨害（DoS）攻撃。
特に、公開された攻撃コードを利用して、仮想通貨のマイニングプログラム（コインマイナー）がサーバに仕込まれる攻撃が多数観測されています。

1.2 深刻度

共通脆弱性評価システム (CVSS) v3.0の基本スコアは7.5であり、「高」の深刻度と評価されています (可用性への影響)。CVSSベクトルは「CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H」です。
一部の情報源では、CVSS v3で9.8と評価されており、容易に悪用可能であるとされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

不明（特定のOSバージョンに限定される情報はありません。Oracle WebLogic Serverが動作するOSであれば影響を受ける可能性があります。）

2.2 影響を受ける設定

以下のバージョンのOracle WebLogic Serverが影響を受けます。 * Oracle WebLogic Server 10.3.6.0.0 * Oracle WebLogic Server 12.1.3.0.0 * Oracle WebLogic Server 12.2.1.1.0 * Oracle WebLogic Server 12.2.1.2.0

また、WLS Securityコンポーネントが有効な場合に影響を受けます。

3. 影響を受けた時の兆候

WebLogic Serverが予期せぬ動作をする可能性があります。
WebLogic Server上で身に覚えのないプロセス（特にCPUを大量に消費するコインマイナーなど）が動作していることがあります。
外部への不審なネットワーク通信（コインマイニングプールのIPアドレスなどへの通信）が観測されることがあります。
サーバのCPU使用率が異常に高くなることがあります。

4. 推奨対策

4.1 本対策

Oracle社が提供する修正プログラムを適用してください。
特に、2017年10月18日に公開されたCritical Patch Updateに含まれる修正バージョン（例: Oracle WebLogic Server 12.2.1.3.0）への更新を検討してください。
ベンダーの指示に従い、速やかにシステムをアップデートすることが重要です。

4.2 暫定回避策（緩和策）

不審なプロセスが動作していないか定期的に確認してください。
不正侵入検知・防御システム (IPS) などを用いて、ネットワークレベルで本脆弱性を悪用する攻撃を検知・遮断することが有効です。F5 BIG-IP ASMの特定のシグネチャ（例: 200004174, 200004336）で検知・ブロックできる事例も報告されています。
WLS SecurityコンポーネントのCoordinatorPortTypeウェブサービスへのアクセスを制限することを検討してください（可能な場合）。
T3プロトコル経由のアクセスを制限することも有効です。

他に解説すべき観点

本脆弱性は、CVE-2017-3506の修正パッチを回避できる脆弱性としても知られています。
脆弱性の実証コード（PoC）が公開されたことで、2017年12月下旬以降、本脆弱性を悪用した攻撃が急増し、広範囲で悪用されました。攻撃の主な目的は、標的のサーバーに仮想通貨のマイニングプログラムをインストールすることでした。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る