Trusted Design

CVE-2020-14864 の詳細

CVEの情報

説明:
Vulnerability in the Oracle Business Intelligence Enterprise Edition product of Oracle Fusion Middleware (component: Installation). Supported versions that are affected are 5.5.0.0.0, 12.2.1.3.0 and 12.2.1.4.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Business Intelligence Enterprise Edition. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle Business Intelligence Enterprise Edition accessible data. CVSS 3.1 Base Score 7.5 (Confidentiality impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N).

CVE更新日: 2020-10-21 15:15:24.107000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2022-01-18

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.972330000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2020-14864に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2020-14864は、Oracle Fusion Middlewareの製品であるOracle Business Intelligence Enterprise Edition (コンポーネント: Installation) におけるパストラバーサル（ローカルファイルインクルージョン）の脆弱性です。この脆弱性は、不適切な入力検証に起因します。

認証されていない攻撃者がHTTP経由でネットワークアクセスすることにより、この脆弱性を悪用し、Oracle Business Intelligence Enterprise Editionのインスタンスを侵害する可能性があります。

1.1 影響

この脆弱性が悪用された場合、認証されていない攻撃者は、Oracle Business Intelligence Enterprise Edition内の重要なデータへの不正アクセスや、同製品がアクセス可能なすべてのデータへの完全なアクセスが可能となります。具体的には、機密情報を取得したり、任意のローカルスクリプトを実行したりすることで、アプリケーションやコンピュータ全体が侵害される可能性があります。攻撃者はgetPreviewImage関数のpreviewFilePathパラメータを操作することで、意図しない任意のシステムファイルにアクセスすることができます。成功すれば、機密ファイルを読み取ったり、任意のコードを実行したり、システムへの不正アクセスを得たりする可能性があります。

1.2 深刻度

  • CVSS 3.1基本評価値: 7.5 (High)
  • CVSSベクトル: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
    • 攻撃元区分 (AV:N): ネットワーク経由で攻撃可能です。
    • 攻撃条件の複雑さ (AC:L): 攻撃の実行は低複雑度です。
    • 必要な特権レベル (PR:N): 攻撃に特権は不要です。
    • ユーザー関与レベル (UI:N): ユーザーの関与は不要です。
    • スコープ (S:U): 脆弱性の影響範囲は変わりません。
    • 機密性への影響 (C:H): 機密性が高い影響を受けます。
    • 完全性への影響 (I:N): 完全性への影響はありません。
    • 可用性への影響 (A:N): 可用性への影響はありません。
  • この脆弱性はCISA (Cybersecurity and Infrastructure Security Agency) のKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実環境で活発な悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

不明。直接的なOSバージョンに関する記述は見当たりません。

2.2 影響を受ける設定

Oracle Business Intelligence Enterprise EditionのInstallationコンポーネントが影響を受けます。 影響を受けるOracle Business Intelligence Enterprise Editionのバージョンは以下の通りです。 * 5.5.0.0.0 * 12.2.1.3.0 * 12.2.1.4.0

認証不要でネットワークアクセス経由で悪用可能であることから、デフォルト設定で影響を受ける可能性が高いと考えられます。

3. 影響を受けた時の兆候

攻撃者はgetPreviewImage関数のpreviewFilePathパラメータを利用して、任意のシステムファイルにアクセスを試みることが可能です。具体的な兆候としては、ウェブサーバーのアクセスログやシステムログに、通常とは異なるファイルパスへのリクエスト（例: /analytics/saw.dll?getPreviewImage&previewFilePath=/etc/passwdのような/etc/passwdへのアクセス試行）が記録される可能性があります。また、機密ファイルが外部に漏洩したり、システム上で予期しないコードが実行されたりする可能性があります。

4. 推奨対策

4.1 本対策

ベンダーであるOracleから提供されるセキュリティアップデートを適用することが推奨されます。Oracleの2020年10月の定例パッチ（CPU October 2020）に含まれる修正を、ベンダーの指示に従って適用する必要があります。CISA KEVカタログに登録されているため、早急な適用が強く求められます。

4.2 暫定回避策（緩和策）

不明。具体的な暫定回避策についての記述は検索結果には見当たりませんでした。しかし、一般的には、Oracle Business Intelligence Enterprise Editionへの不必要なネットワークアクセスを制限するなどの対策が考えられます。

参照したサイト

他に解説すべき観点

  • CISA Known Exploited Vulnerabilities (KEV) カタログへの登録: この脆弱性は、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA) のKEVカタログに登録されています。これは、この脆弱性が実際に攻撃で悪用されていることを意味し、対象となるシステムを運用している場合は、非常に高い優先度で対処する必要があることを示唆しています。

NVDサイト

NVDでCVEの詳細を見る

戻る