Trusted DesignCVE-2020-14750 の詳細
CVEの情報
説明:
Vulnerability in the Oracle WebLogic Server product of Oracle Fusion Middleware (component: Console). Supported versions that are affected are 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 and 14.1.1.0.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle WebLogic Server. Successful attacks of this vulnerability can result in takeover of Oracle WebLogic Server. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
CVE更新日: 2020-11-02 21:15:24.493000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.992470000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2020-14750について、以下の観点から解説します。
1. 脆弱性の概要
CVE-2020-14750は、Oracle Fusion Middleware内のOracle WebLogic Server製品（コンポーネント: Console）に存在する深刻なリモートコード実行の脆弱性です。この脆弱性により、認証されていないリモートの攻撃者が、特別に細工されたHTTPリクエストを介して、脆弱なサーバー上で任意のコードを実行することが可能になります。この脆弱性は、CISAの既知の悪用されている脆弱性カタログにも掲載されており、実世界で活発に悪用されていることが確認されています。
1.1 影響
この脆弱性が悪用された場合、認証されていない攻撃者がHTTP経由でネットワークアクセスを行うことで、脆弱なOracle WebLogic Serverインスタンスを完全に侵害し、サーバーの完全な乗っ取りにつながる可能性があります。
1.2 深刻度
CVSS 3.1の基本スコアは9.8（緊急度：Critical）と評価されており、非常に深刻な脆弱性です。これは、ネットワーク経由で認証なしに悪用可能であり、機密性、完全性、可用性のすべてに重大な影響を与えるためです。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性は、OSバージョンではなく、以下のOracle WebLogic Serverのバージョンに影響を与えます。
Oracleは、上記のバージョン以外でも脆弱性の影響を受ける可能性があるため、サポートされている最新バージョンへのアップデートを推奨しています。
2.2 影響を受ける設定
この脆弱性は、Oracle WebLogic ServerのConsoleコンポーネントを標的とし、HTTP経由でネットワークアクセスが可能な環境で悪用されます。認証を必要とせずにリモートから悪用可能です。この脆弱性は、2020年10月に修正されたCVE-2020-14882に関連しており、CVE-2020-14882のパッチが、リクエストの文字のケースを変更するだけでバイパスされる可能性があると指摘されています。
3. 影響を受けた時の兆候
影響を受けた際の具体的な兆候については、直接的な情報が公開されていません。しかし、攻撃が成功するとサーバーの完全な乗っ取りや任意のコード実行が可能となるため、予期せぬシステムの動作、パフォーマンスの低下、不審なログエントリ、または不正なデータの変更やアクセスなどの兆候が見られる可能性がありますが、これらは一般的な兆候であり、このCVEに特化したものではありません。
4. 推奨対策
4.1 本対策
Oracle社から提供されているセキュリティパッチを速やかに適用することが最も推奨される対策です。Oracleは、この脆弱性の深刻度とエクスプロイトコードが公開されていることから、可能な限り早くアップデートを適用することを強く推奨しています。
4.2 暫定回避策（緩和策）
CVE-2020-14750に特化した具体的な暫定回避策は、パッチ適用以外の形で広く公開されていません。Oracleおよび関連機関は、修正プログラムの速やかな適用を強く推奨しています。
参照したサイト