Trusted Design

CVE-2020-14882 の詳細

CVEの情報

説明:
Vulnerability in the Oracle WebLogic Server product of Oracle Fusion Middleware (component: Console). Supported versions that are affected are 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 and 14.1.1.0.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle WebLogic Server. Successful attacks of this vulnerability can result in takeover of Oracle WebLogic Server. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

CVE更新日: 2020-10-21 15:15:25.407000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999970000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2020-14882は、Oracle WebLogic Serverの管理コンソールにおける深刻なリモートコード実行 (RCE) の脆弱性です。

1. 脆弱性の概要

この脆弱性は、Oracle Fusion Middleware製品の一部であるOracle WebLogic ServerのConsoleコンポーネントに存在します。認証されていない攻撃者がHTTP経由でネットワークアクセスできる場合、容易に悪用される可能性があります。この脆弱性は、不適切なアクセス制御とパス traversals の問題に起因し、認証メカニズムをバイパスして管理機能にアクセスすることを可能にします。

1.1 影響

  • 脆弱性を悪用されると、Oracle WebLogic Serverが完全に侵害され、乗っ取られる可能性があります。
  • 認証されていないリモートの攻撃者によって任意のコードが実行される可能性があります (RCE)。
  • 攻撃者は、この脆弱性を利用して認証情報をダンプしたり、ラテラルムーブメント（内部ネットワークでの横方向への移動）を行う可能性があります。
  • これにより、データ改ざんや流出などの被害が発生する恐れがあります。

1.2 深刻度

  • CVSS 3.1の基本スコアは9.8 (Critical) と評価されています。
  • 機密性、完全性、可用性のすべてに影響を与える可能性があります。
  • 本脆弱性は容易に悪用可能であり、パッチ公開直後から積極的に悪用が確認されています。
  • CISAの既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）にも掲載されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はOracle WebLogic Serverのバージョンに依存し、特定のOSバージョンに限定されるものではありません。影響を受けるWebLogic Serverのバージョンは以下の通りです。

  • 10.3.6.0.0
  • 12.1.3.0.0
  • 12.2.1.3.0
  • 12.2.1.4.0
  • 14.1.1.0.0

2.2 影響を受ける設定

  • Oracle WebLogic ServerのConsoleコンポーネントが影響を受けます。
  • 特に、コンソールがHTTP経由でインターネットや信頼できないネットワークに公開されている場合に影響を受けやすくなります。
  • 認証なしで悪用可能です。

3. 影響を受けた時の兆候

  • console.portalを含むリクエストURIや、ダブルエンコードされたパス traversals (%252E%252E%252F) を含むHTTPリクエストなど、疑わしいネットワークトラフィックが観測されます。
  • アプリケーションによってcmd.exeや/bin/shなどの疑わしいプロセスが実行されることがあります。
  • 外部からのプログラムのダウンロードおよび実行が試みられることがあります。
  • ファイアウォールやアプリケーションのログに異常なアクティビティが見られます。
  • コインマイナーやその他のマルウェアが展開されている可能性があります。

4. 推奨対策

4.1 本対策

  • Oracleが提供する公式のセキュリティパッチを適用してください。
    • 2020年10月のCritical Patch Update (CPU) が最初の対策ですが、このパッチにはバイパスが存在したため、CVE-2020-14750に対応するセキュリティアラートパッチ、または2021年1月以降のWebLogic PSU（これら両方を含む）を適用する必要があります。
    • Oracleは、2020年11月2日に最初の10月パッチのバイパスに対処するためのアウトオブバンドのセキュリティパッチをリリースしています。

4.2 暫定回避策（緩和策）

  • WebLogic管理コンソール（/console/console.portal）への外部からのアクセスをブロックしてください。
  • ネットワークトラフィックとログを継続的に監視し、console.portalやダブルエンコードされたパス traversalsを含むHTTPリクエストなどの疑わしいアクティビティがないか確認してください。
  • アプリケーションによって開始されるcmd.exeや/bin/shなどの疑わしいプロセスがないか確認してください。
  • 侵入防御システム (IPS) を使用し、悪用試行を検出およびブロックするルールを適用してください。
  • 管理サーバーでコンソールが不要な場合は、無効化を検討してください（ただし、根本的な修正にはパッチ適用が必要です）。

5. 他に解説すべき観点

  • CVE-2020-14883との関連: CVE-2020-14882は、認証バイパスの脆弱性であるCVE-2020-14883（認証されたRCE）と組み合わせて悪用されることで、認証なしでリモートコード実行を達成するケースが多く見られます。
  • PoCの公開と積極的な悪用: 本脆弱性のProof-of-Concept (PoC) エクスプロイトコードが、パッチ公開後すぐに公開され、これにより世界中で積極的な悪用が行われました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る