Trusted DesignCVE-2024-21287 の詳細
CVEの情報
説明:
Vulnerability in the Oracle Agile PLM Framework product of Oracle Supply Chain (component: Software Development Kit, Process Extension). The supported version that is affected is 9.3.6. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Agile PLM Framework. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle Agile PLM Framework accessible data. CVSS 3.1 Base Score 7.5 (Confidentiality impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N).
CVE更新日: 2024-11-18 22:15:05.897000
CVSSバージョン: 3.1
CVSSスコア: 7.5
KEVの情報
KEV更新日: 2024-11-21
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.017230000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2024-21287に関する脆弱性調査結果を以下に解説します。
1. 脆弱性の概要
CVE-2024-21287は、Oracle Supply Chain製品のOracle Agile PLM Frameworkにおける情報漏洩の脆弱性です。特に、Software Development KitおよびProcess Extensionコンポーネントに存在します。認証されていない攻撃者がネットワーク経由（HTTP/HTTPSプロトコル）で容易に悪用できるため、Oracle Agile PLM Frameworkの重要なデータへの不正アクセス、またはアクセス可能なすべてのデータへの完全なアクセスにつながる可能性があります。
1.1 影響
この脆弱性が悪用されると、機密性の高い製品ライフサイクルデータを含む、Oracle Agile PLM Framework内のデータに対して、認証されていない攻撃者が不正にアクセスできるようになります。成功した場合、システムの機密情報や、フレームワークがアクセス可能なあらゆるデータが漏洩する可能性があります。
1.2 深刻度
CVSS 3.1の基本スコアは7.5（高）と評価されています。 CVSSベクトルは「CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N」です。 CISA (Cybersecurity and Infrastructure Security Agency) は、この脆弱性を既知の悪用されている脆弱性カタログ（KEV）に追加しており、実際の悪用が確認されています。 EPSSスコアは69.83%（98.6パーセンタイル）であり、悪用される可能性が非常に高いことを示しています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
影響を受けるOSバージョンについては、特定のOSバージョンの記載はありません。
2.2 影響を受ける設定
この脆弱性は、Oracle Agile PLM FrameworkのSoftware Development KitおよびProcess Extensionコンポーネントが影響を受けます。 影響を受けるOracle Agile PLM Frameworkのバージョンは9.3.6です。
3. 影響を受けた時の兆候
影響を受けた際の具体的な兆候についての詳細な記述は見つかりませんでした。しかし、情報漏洩の脆弱性であるため、不正なデータアクセスやデータ流出の形跡がないか、システムログの監視やネットワークトラフィックの分析が重要となるでしょう。
4. 推奨対策
4.1 本対策
Oracleは、この脆弱性に対応するためのセキュリティパッチをリリースしています。 Oracle Agile PLM Framework バージョン9.3.6のユーザーは、Oracleが提供するセキュリティアラートで指定されているパッチを、できる限り速やかに適用することが強く推奨されています。
4.2 暫定回避策（緩和策）
直ちにはパッチを適用できない場合の暫定的な回避策として、以下の点が挙げられます。 * Oracle Agile PLMアプリケーションへのネットワークアクセスを制限する。 * PLMシステムがインターネットから直接アクセスできないようにする。リバースプロキシやWebアプリケーションファイアウォールの背後に配置し、認証された内部ネットワークおよびVPNユーザーのみにアクセスを制限する。
参照したサイト