Trusted Design

CVE-2021-35587 の詳細

CVEの情報

説明:
Vulnerability in the Oracle Access Manager product of Oracle Fusion Middleware (component: OpenSSO Agent). Supported versions that are affected are 11.1.2.3.0, 12.2.1.3.0 and 12.2.1.4.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Access Manager. Successful attacks of this vulnerability can result in takeover of Oracle Access Manager. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

CVE更新日: 2022-01-19 12:15:09.727000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-11-28

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.962840000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-35587について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2021-35587は、Oracle Fusion MiddlewareのOracle Access Manager製品における認証バイパスの脆弱性です。具体的には、OpenSSO Agentコンポーネントに存在します。認証されていない攻撃者がネットワーク経由でHTTPアクセスを行うことで、この脆弱性を悪用し、Oracle Access Managerを完全に侵害する可能性があります。これにより、システム全体の乗っ取りやリモートコード実行（RCE）が可能になります。

1.1 影響

この脆弱性が悪用されると、認証されていない攻撃者がOracle Access Managerを完全に掌握することができます。結果として、システム全体の乗っ取り、リモートコード実行（RCE）、保護されたリソースへの広範なアクセス、および認証ポリシーの操作が可能になります。攻撃に成功するために特権やユーザーの操作は不要です。

1.2 深刻度

この脆弱性はCritical（緊急）と評価されており、CVSSスコアは9.8（Critical）です。 CISA (Cybersecurity & Infrastructure Security Agency) は、この脆弱性を既知の悪用されている脆弱性カタログに追加しており、実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンに限定されるものではなく、Oracle Fusion Middlewareの以下のOracle Access Managerのバージョンが影響を受けます。

  • Oracle Access Manager 11.1.2.3.0
  • Oracle Access Manager 12.2.1.3.0
  • Oracle Access Manager 12.2.1.4.0

2.2 影響を受ける設定

この脆弱性は、Oracle Access Manager製品のOpenSSO Agentコンポーネントに存在します。 特定の設定が直接影響を受けるというよりは、当該コンポーネントが存在する環境全体が脆弱性の影響を受けます。

3. 影響を受けた時の兆候

明確な「兆候」として特定のログメッセージやエラーコードは公開されていませんが、脆弱性が悪用された場合、以下のような事象が発生する可能性があります。

  • システムへの不正アクセスや、予期しないシステム挙動。
  • Oracle Access Managerの機能停止や認証システムの異常。
  • JKSファイル、暗号化されたSSOパスワードやLDAPパスワード、JPSキーなどの機密情報が窃取される可能性があります。
  • リモートコード実行による、不正なプログラムの実行やシステムの改ざん。

4. 推奨対策

4.1 本対策

Oracleは、最新のCritical Patch Updates (CPU)を適用することを強く推奨しています。 特に、顧客管理環境向けには、月次で提供されるCritical Security Patch Update (CSPU)プログラムを適用し、常に最新の状態を維持することが重要です。

4.2 暫定回避策（緩和策）

直ちにパッチを適用できない場合の暫定的な回避策として、以下が挙げられます。

  • すべてのSSO、LDAP、および関連する資格情報をリセットし、強力なパスワードポリシーと多要素認証（MFA）を導入してください。
  • 潜在的な不正アクセスを特定し、さらなるリスクを軽減するために徹底的なインシデント調査とフォレンジック分析を実施してください。
  • 漏洩したデータに関連するダークウェブやハッカーフォーラムでの議論を継続的に監視してください。

参照したサイト

その他解説すべき観点

  • 攻撃ベクトル: 認証されていない攻撃者がHTTP経由でネットワークアクセスを行うことで悪用可能です。
  • 認証・ユーザー操作の要件: この脆弱性の悪用には、特権やユーザーの操作は必要ありません。
  • 公開日: 本脆弱性は2022年1月に公開されました。

NVDサイト

NVDでCVEの詳細を見る

戻る