Trusted Design

CVE-2025-61884 の詳細

CVEの情報

説明:
Vulnerability in the Oracle Configurator product of Oracle E-Business Suite (component: Runtime UI). Supported versions that are affected are 12.2.3-12.2.14. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Configurator. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle Configurator accessible data. CVSS 3.1 Base Score 7.5 (Confidentiality impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N).

CVE更新日: 2025-10-12 03:15:34.720000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2025-10-20

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.958910000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-61884は、Oracle E-Business SuiteのOracle Configurator製品に存在する高 severity の脆弱性です。以下に詳細を解説します。

1. 脆弱性の概要

CVE-2025-61884は、Oracle E-Business SuiteのOracle Configuratorコンポーネント（Runtime UI）における、認証なしでの情報開示の脆弱性です。攻撃者はHTTP経由でネットワークアクセスを持つことで、認証なしに機密性の高い構成データにアクセスできる可能性があります。

1.1 影響

  • 認証されていないリモートの攻撃者が、機密性の高いリソース、重要なデータ、またはOracle Configuratorがアクセス可能なすべてのデータにアクセスできる可能性があります。
  • 機密性の高いビジネス情報のデータ流出や公開が発生する可能性があります。
  • ERPからデータベースへの統合を通じて、企業ネットワーク内でのラテラルムーブメント（横方向の移動）に利用される可能性があります。
  • 内部記録の操作により、財務およびサプライチェーンの運用が中断される可能性があります。

1.2 深刻度

  • CVSSv3.1基本スコアは7.5（高 severity）です。
  • CVSSベクトルはAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:Nであり、リモートから認証やユーザー操作なしで悪用可能であり、機密性への影響が「高」であることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Oracle E-Business Suiteのバージョン12.2.3から12.2.14が影響を受けます。
  • 「sustaining support」（維持サポート）またはサポート終了（r11, r12.0, r12.1）のOracle E-Business Suiteを使用している組織も影響を受けますが、これらのバージョンにはセキュリティパッチが提供されないため、サポートされているバージョンにアップグレードする必要があります。

2.2 影響を受ける設定

  • Oracle E-Business SuiteのOracle Configurator製品のRuntime UIコンポーネントに影響があります。
  • この脆弱性は、公開されているRuntime UIインターフェースに存在し、HTTP経由で認証されていないリクエストに対して構成モデルを公開します。

3. 影響を受けた時の兆候

この脆弱性は認証なしのデータ開示を伴うため、明確な兆候がシステムログに直接現れるとは限りませんが、以下のような状況が影響の兆候となる可能性があります。

  • Oracle Configurator関連データへの異常なアクセスパターン。
  • 予期せぬデータの流出、または承認されていないチャネルでの機密ビジネス情報の発見。
  • 概念実証（PoC）エクスプロイトの存在が報告されており、サイバー犯罪者がパッチ未適用のOracle E-Business Suiteのデプロイメントに対して機会主義的にこれを利用する可能性が高いと評価されています。

4. 推奨対策

4.1 本対策

  • Oracleがリリースした、この脆弱性に対処する関連するアウトオブバンドセキュリティアップデートまたはパッチをできるだけ早く適用することが強く推奨されます。
  • パッチの入手と適用に関する詳細な手順は、OracleのSecurity Alert Advisoryで確認できます。

4.2 暫定回避策（緩和策）

  • 主な対策はパッチの適用です。
  • 「sustaining support」またはサポート終了のOracle E-Business Suiteリリース（r11, r12.0, r12.1）を使用している組織は、セキュリティパッチが提供されないため、サポートされているバージョンにアップグレードする必要があります。
  • 攻撃ベクトルがHTTP経由のネットワークアクセスを必要とすることから、パッチ適用が直ちに不可能な場合、Oracle Configurator Runtime UIへのネットワークアクセスを制限することが一時的な緩和策となる可能性があります（ただし、これは検索結果で明示的な回避策として示されているわけではありません）。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る