Trusted Design

CVE-2017-12149 の詳細

CVEの情報

説明:
In Jboss Application Server as shipped with Red Hat Enterprise Application Platform 5.2, it was found that the doFilter method in the ReadOnlyAccessFilter of the HTTP Invoker does not restrict classes for which it performs deserialization and thus allowing an attacker to execute arbitrary code via crafted serialized data.

CVE更新日: 2017-10-04 21:01:00.180000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-12-10

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.907130000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2017-12149に関する脆弱性調査報告

1. 脆弱性の概要

CVE-2017-12149は、Red Hat JBoss Application Serverにおいて、HTTP InvokerのReadOnlyAccessFilterのdoFilterメソッドが、逆シリアル化を実行するクラスを制限しないために発生する、リモートコード実行の脆弱性です。これにより、攻撃者は巧妙に作成されたシリアル化データを通じて任意のコードを実行できる可能性があります。

この脆弱性は、CWE-502（信頼できないデータの逆シリアル化）に分類されます。 CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用されている脆弱性（KEV）カタログにも追加されており、実環境での悪用が確認されています。

1.1 影響

本脆弱性が悪用された場合、攻撃者は認証なしにJBoss Application Server上で任意のコードを実行することができます。 これにより、サーバーの完全な制御を奪い、情報漏洩、データの改ざん、システムの破壊など、広範囲な被害が発生する可能性があります。例えば、攻撃者がシェルを生成するような不正な操作を実行する「ガジェットチェーン」を利用する可能性があります。 実際に、この脆弱性を利用してマイニングプログラム（Miner）がインストールされた事例も確認されています。

1.2 深刻度

CVSS v3のベーススコアは9.8で「緊急（Critical）」と評価されています。 CVSS v2のベーススコアは7.5で「高（High）」と評価されています。 CISAのKEVカタログに登録されていることは、単なるCVSSスコアよりも強力なシグナルであり、実際に悪用されていることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンは記載されていませんが、JBoss Application Serverのバージョンが影響を受けます。

2.2 影響を受ける設定

Red Hat JBoss Enterprise Application Platform 5.2で出荷されるJBoss Application Serverが影響を受けます。 特に、HTTP Invokerコンポーネントが影響を受けます。 Red Hat JBoss Enterprise Application Platform 6および7は、HTTP Invokerを同梱していないため、この脆弱性の影響を受けません。

具体的には以下のバージョンが影響を受ける可能性があります。

  • JBoss AS 5.x
  • JBoss AS 6.x
  • Red Hat JBoss Enterprise Application Platform 5.x
  • Red Hat JBoss SOA Platform 5.3.0

3. 影響を受けた時の兆候

影響を受けた際の具体的な兆候については、公式な文書で明確に記述されているものはありません。しかし、一般的にリモートコード実行の脆弱性が悪用された場合、以下のような兆候が考えられます。

  • サーバーの予期せぬ動作やクラッシュ
  • 不審なプロセスやネットワーク接続の発生
  • ログファイルに異常なエントリが見られる
  • 不審なファイルやディレクトリが作成されている
  • システムリソース（CPU、メモリ、ディスクI/O）の異常な消費
  • Webアプリケーションの改ざんや不審なコンテンツの表示
  • サーバーが乗っ取られ、マイニングプログラムがインストールされるなどの活動

4. 推奨対策

4.1 本対策

ベンダーの指示に従ってアップデートを適用することが推奨されます。 Red Hat JBoss EAPを最新バージョンにアップグレードしてください。 具体的な修正は、Red Hat Security Errata RHSA-2018:1608にて提供されています。

4.2 暫定回避策（緩和策）

以下のいずれかの対策を実施することで、脆弱性の影響を軽減できます。

  • http-invoker.sarコンポーネントの削除: http-invoker.sarコンポーネントを使用しない場合は、これを削除してください。
  • アクセス制限の追加: http-invoker.sarのweb.xmlファイル内のsecurity-constraintsタグに<url-pattern>/*</url-pattern>を追加して、http-invokerコンテキスト全体へのアクセスを保護してください。
  • 入力検証と厳格な逆シリアル化制御の実装: 防御の追加レイヤーとして、入力検証と厳格な逆シリアル化制御を実装することを検討してください。
  • WAFによる保護: 脆弱性に関連するHTTP POSTリクエストをWAFで検出・ブロックすることで、攻撃を緩和できる可能性があります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る