Trusted DesignCVE-2022-21445 の詳細
CVEの情報
説明:
Vulnerability in the Oracle Application Development Framework (ADF) product of Oracle Fusion Middleware (component: ADF Faces). Supported versions that are affected are 12.2.1.3.0 and 12.2.1.4.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Application Development Framework (ADF). Successful attacks of this vulnerability can result in takeover of Oracle Application Development Framework (ADF). Note: Oracle Application Development Framework (ADF) is downloaded via Oracle JDeveloper Product. Please refer to Fusion Middleware Patch Advisor for more details. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
CVE更新日: 2022-04-19 21:15:15.907000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2024-09-18
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.624780000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2022-21445に関する脆弱性調査結果を以下に解説します。
1. 脆弱性の概要
1.1 影響
本脆弱性は、Oracle Application Development Framework (ADF)製品のADF Facesコンポーネントにおける「安全でないデシリアライゼーション」の欠陥です。認証されていない攻撃者がHTTP経由でネットワークアクセスを行うことにより、影響を受けるOracle ADFのインストール環境を完全に制御（テイクオーバー）することが可能になります。これにより、機密性、完全性、および可用性に深刻な影響を及ぼす可能性があります。具体的には、リモートからのコード実行（RCE）を許し、開発環境の侵害や、ソースコード、知的財産、機密性の高いビジネスロジックへの不正アクセス、データ漏洩、サービスの停止につながるおそれがあります。
1.2 深刻度
この脆弱性の深刻度は緊急（Critical）であり、CVSS v3.1基本スコアは9.8です。 悪用が容易で、影響が甚大であるため、CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用されている脆弱性（Known Exploited Vulnerabilities）カタログにも追加されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性の影響を受けるOracle JDeveloperのサポート対象バージョンは以下の通りです。
2.2 影響を受ける設定
Oracle JDeveloperを通じてダウンロードされるOracle Application Development Framework (ADF)のADF Facesコンポーネントが影響を受けます。 また、Oracle Business Intelligence、Oracle Enterprise Manager、Oracle Identity Management、Oracle SOA Suite、Oracle WebCenter Portal、Oracle Application Testing Suite、Oracle Transportation Management、Oracle Access Managerなど、ADF Facesフレームワーク上で開発されたあらゆるプログラムがこの脆弱性の影響を受ける可能性があります。
3. 影響を受けた時の兆候
この脆弱性は、認証されていないリモートからのコード実行を可能にするため、攻撃が成功した場合、システムが不正に制御されたり、データが改ざん・窃取されたり、サービスが停止したりする可能性があります。しかし、この脆弱性自体に特有の直接的な「兆候」（例: 特定のエラーログ出力や異常なCPU使用率の急増など）については、公開されている情報では明確に記載されていません。攻撃が成功した場合は、通常の不正アクセスやシステム侵害の兆候（予期せぬシステムの挙動、不正なファイルの作成・変更、通信ログの異常など）として現れると考えられます。
4. 推奨対策
4.1 本対策
Oracleは、2022年4月のクリティカルパッチアップデート（CPU）の一部として、この脆弱性に対処するパッチをリリースしています。 組織は、Oracle Critical Patch Update Advisory - April 2022 およびFusion Middleware Patch Advisorを参照し、速やかにパッチを適用することが強く推奨されます。
4.2 暫定回避策（緩和策）
パッチがすぐに適用できない場合、影響を受ける製品の使用を中止するか、リスクを軽減するための代替制御策（compensating controls）を実装することを検討してください。
その他に解説すべき観点
技術的な詳細
CVE-2022-21445は、ADF Facesコンポーネント内の不安全なデシリアライゼーション（CWE-502）に起因します。特に、
org.apache.myfaces.trinidad.webapp.ResourceServletクラスに欠陥があり、このサーブレットが信頼できない着信データを適切に検証せずにデシリアライズしてしまうことで発生します。攻撃者は、特別に細工したJavaオブジェクトをURLエンコードされたペイロードとしてGETリクエストの一部として送信し、任意のコマンドをサーバー上で実行させることが可能です。悪用状況
この脆弱性は、発見されて以来、活発に悪用されていることが確認されています。 その深刻度と容易な悪用性から、CISAのKnown Exploited Vulnerabilitiesカタログにも追加されており、即時のパッチ適用が不可欠です。
参照したサイト