Trusted Design

CVE-2020-2883 の詳細

CVEの情報

説明:
Vulnerability in the Oracle WebLogic Server product of Oracle Fusion Middleware (component: Core). Supported versions that are affected are 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0 and 12.2.1.4.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via IIOP, T3 to compromise Oracle WebLogic Server. Successful attacks of this vulnerability can result in takeover of Oracle WebLogic Server. CVSS 3.0 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

CVE更新日: 2020-04-15 14:15:33.513000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2025-01-07

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.945820000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2020-2883は、Oracle WebLogic Serverにおける重大なリモートコード実行（RCE）の脆弱性です。以下に詳細を解説します。

1. 脆弱性の概要

CVE-2020-2883は、Oracle Fusion MiddlewareのコンポーネントであるOracle WebLogic Serverに存在する深刻なデシリアライゼーションの脆弱性です。この脆弱性はCoreコンポーネント、特にCoherenceライブラリ内のcom.tangosol.coherence.mvel2.sh.ShellSessionクラスに存在します。

認証されていないリモートの攻撃者が、Internet Inter-ORB Protocol (IIOP) およびT3プロトコルを介して、巧妙に作成されたシリアライズされたJavaオブジェクトを送信することで、任意のJavaコード実行を引き起こす可能性があります。

1.1 影響

この脆弱性が悪用されると、認証されていない攻撃者は基盤となるシステム上で悪意のあるコマンドを認証なしで実行し、WebLogic Serverを完全に掌握することが可能になります。 成功した攻撃は、リモートコード実行（RCE）につながり、データの持ち出し、サービスの中断、および追加のネットワーク侵入といった被害が発生する可能性があります。

1.2 深刻度

  • CVSS v3.0基本スコア: 9.8 (Critical)
    • ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (攻撃元区分: ネットワーク, 攻撃条件の複雑さ: 低, 必要な特権レベル: なし, ユーザー関与: なし, 影響範囲: 変更なし, 機密性への影響: 高, 完全性への影響: 高, 可用性への影響: 高)
  • CVSS v2.0基本スコア: 9.0 (危険)
  • この脆弱性は容易に悪用可能であり、公開されたPoC（概念実証コード）が脆弱性公開後すぐに流通し、実世界での活発な悪用が観測されています。 米国CISAは2025年1月にこの脆弱性を既知の悪用された脆弱性カタログ（KEV）に追加し、現在も悪用が続いていることを強調しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンは示されていません。本脆弱性はアプリケーションサーバーであるOracle WebLogic Serverに影響を与えるため、基盤となるOSに依存しません。

2.2 影響を受ける設定

  • Oracle WebLogic ServerのCoreコンポーネントが影響を受けます。
  • IIOP (Internet Inter-ORB Protocol) およびT3プロトコルを介して悪用されます。
  • T3プロトコルはWebLogicコンソールが有効になっている場合にデフォルトで有効になっているため、影響範囲が広くなります。
  • 脆弱性は、これらのプロトコルがリモートクライアントから送信されたシリアライズされたJavaオブジェクトを、クラスタイプを十分に検証せずに受け入れることに起因します。

3. 影響を受けた時の兆候

検索結果には具体的な「兆候」は明示されていませんが、リモートコード実行が成功した場合に起こりうる一般的な兆候としては以下のものが考えられます。

  • サーバー上で予期しないプロセスが実行されている。
  • 異常なネットワークトラフィックが観測される。
  • データへの不正なアクセス。
  • サービスパフォーマンスの低下や停止。
  • 予期しないファイルの変更。

4. 推奨対策

4.1 本対策

  • Oracleから提供されている公式のセキュリティパッチを直ちに適用してください。 Oracleは2020年4月のクリティカルパッチアップデート（CPU）でこの脆弱性に対するパッチをリリースしています。
  • パッチのダウンロードには、正規のソフトウェアライセンスアカウントが必要です。https://support.oracle.comから入手し、パッチインストールパッケージに含まれるreadmeファイルを参照して適用してください。

4.2 暫定回避策（緩和策）

  • T3プロトコルへのアクセスを制御する。
    • WebLogicコンソールで接続フィルターを構成することにより、T3プロトコルへのアクセスを制限できます。具体的には、base_domainの構成ページで「セキュリティ」タブ、「フィルター」に進み、接続フィルターにweblogic.security.net.ConnectionFilterImplを設定し、環境に応じたルールを構成してください。
    • ルールを保存しても反映されない場合は、WebLogicサービスを再起動する必要がある場合があります（サービスの中断が発生する可能性があるため、事前にリスクを評価してください）。
  • IIOPプロトコルを無効にする（不要な場合）。 T3プロトコルと同様にIIOPも攻撃経路となり得るため、必須でない場合は無効化することで攻撃対象領域を減らすことができます。

他に解説すべき観点

  • 公開日: この脆弱性は2020年4月14日にOracleの2020年4月クリティカルパッチアップデート（CPU）で公表されました。
  • 悪用状況: 脆弱性公開後すぐに公開の概念実証コードが出回り、活発な悪用が観測されました。 米国CISAは2025年1月7日にこの脆弱性を既知の悪用された脆弱性カタログ（KEV）に追加しており、パッチがリリースされて数年が経過した現在でも、未パッチのシステムが依然として存在し、悪用されていることを示しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る