Trusted Design

CVE-2020-2555 の詳細

CVEの情報

説明:
Vulnerability in the Oracle Coherence product of Oracle Fusion Middleware (component: Caching,CacheStore,Invocation). Supported versions that are affected are 3.7.1.0, 12.1.3.0.0, 12.2.1.3.0 and 12.2.1.4.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via T3 to compromise Oracle Coherence. Successful attacks of this vulnerability can result in takeover of Oracle Coherence. CVSS 3.0 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

CVE更新日: 2020-01-15 17:15:17.347000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.971160000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2020-2555は、Oracle Fusion MiddlewareのOracle Coherence製品における深刻な脆弱性です。この脆弱性は、特にキャッシング、CacheStore、およびInvocationコンポーネントに影響を与えます。

1. 脆弱性の概要

CVE-2020-2555は、Oracle Coherenceライブラリにおける安全でないデシリアライゼーションの脆弱性（CWE-502: Deserialization of Untrusted Data）です。 認証されていない攻撃者がT3プロトコルを介して特別に細工されたシリアライズされたJavaオブジェクトを送信すると、脆弱なCoherenceコンポーネントがこれをデシリアライズする際に、任意のコードが実行される可能性があります。

この脆弱性は、com.tangosol.util.filter.LimitFilterクラスおよび関連クラスが悪用され、任意のメソッド呼び出しにつながるエクスプロイトチェーンを構築できることに起因します。 具体的には、LimitFilterクラスのtoString()メソッドがextract()メソッドを呼び出すように変更されたこと、そしてBadAttributeValueExpExceptionのような標準JREクラスのreadObject()メソッドを介してtoString()に到達できることが悪用されます。ReflectionExtractorクラスを使用すると、攻撃者が制御するパラメーターで任意のメソッドを呼び出すことが可能です。

1.1 影響

  • リモートコード実行 (RCE): 認証されていない攻撃者がネットワーク経由（T3プロトコル利用）で任意のコードを実行し、システムを完全に侵害する可能性があります。
  • システム乗っ取り: 攻撃に成功すると、Oracle Coherenceの完全な制御が奪われる可能性があります。
  • 機密性、完全性、可用性の影響: 機密情報の漏洩、データの改ざん、サービス停止など、すべての側面で深刻な影響（C:H, I:H, A:H）をもたらします。
  • 任意のコマンド実行、ファイルの作成、メソッド呼び出し: 攻撃者はシステム上で任意のコマンドを実行したり、ファイルを任意に作成したり、メソッドを呼び出したりすることができます。
  • CISAの「既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」に追加されており、この脆弱性が実際に悪用されていることが示されています。

1.2 深刻度

  • CVSS v3.0 Base Score: 9.8 (緊急 - CRITICAL)
  • CVSS Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

2. 対象となる環境

この脆弱性は、Oracle Coherenceライブラリに起因するため、このライブラリを使用している様々なOracle製品が影響を受けます。

対象製品: * Oracle Coherence * Oracle WebLogic Server (バージョン11g Release 10.3.4以降および12c以降のバージョンにはCoherenceライブラリがデフォルトで統合されています) * Oracle Access Manager * Oracle Commerce Platform (バージョン11.0.0, 11.1.0, 11.2.0) * Oracle Communications Diameter Signaling Router * Oracle Healthcare Data Repository (バージョン7.0.1) * Oracle Rapid Planning (バージョン12.1, 12.2) * Oracle Retail Assortment Planning (バージョン15.0, 16.0) * Oracle Utilities Framework (バージョン4.2.0.2.0, 4.2.0.3.0, 4.4.0.0.0, 4.4.0.2.0) * Oracle WebCenter Portal (バージョン12.2.1.3.0, 12.2.1.4.0)

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンに限定されるものではなく、Oracle Coherenceライブラリを使用するアプリケーションが稼働している環境が影響を受けます。

2.2 影響を受ける設定

  • Oracle Coherenceが使用されている環境。
  • T3プロトコルを介したネットワークアクセスが可能な環境。攻撃はT3プロトコル経由で行われます。
  • Oracle Coherenceのキャッシング、CacheStore、およびInvocationコンポーネントが影響を受けます。

3. 影響を受けた時の兆候

この脆弱性は主にリモートコード実行やシステム乗っ取りといった重大な影響をもたらすため、直接的な「兆候」として一般的なシステムの異常動作が考えられます。

  • 予期しないプロセスの実行、ファイルの作成・変更、ネットワーク接続の発生。
  • システムログに異常なエラーや警告が記録される。
  • システムリソース（CPU、メモリ、ネットワーク帯域）の異常な消費。
  • アプリケーションのクラッシュまたは応答停止。

4. 推奨対策

4.1 本対策

  • パッチの適用: Oracleは2020年1月のCritical Patch Update (CPU) でこの脆弱性に対処するパッチをリリースしています。 対象製品を使用している場合は、Oracleが提供する最新のセキュリティアップデートを速やかに適用してください。
  • Oracle Coherenceのアップグレード: 影響を受けるバージョン（3.7.1.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0）から、修正済みのバージョンへアップグレードしてください。

4.2 暫定回避策（緩和策）

  • T3プロトコルの無効化: Oracle WebLogic Serverを使用している場合、T3プロトコルを無効にするか、アクセスを制限することで攻撃経路を遮断できます。WebLogicコンソールでフィルタを設定することにより、T3プロトコルを無効にすることができます。 ただし、T3プロトコルに依存するアプリケーションの機能に影響が出る可能性があるため、注意が必要です。
  • 信頼できないデータのデシリアライゼーションの防止: 本質的な対策ではありませんが、信頼できないソースからのシリアライズされたデータを受け入れないようにすることで、攻撃を困難にすることができます。

その他解説すべき観点

  • 脆弱性の公開日: CVE-2020-2555は2020年1月15日にNVDに公開されました。
  • 悪用状況: この脆弱性に対する公開の概念実証（PoC）エクスプロイトが存在し、CISAの「既知の悪用された脆弱性カタログ」にも登録されていることから、実際に悪用されていることが確認されています。

参照したサイト:

NVDサイト

NVDでCVEの詳細を見る

戻る