Oracle Java SEのJSSEに認証不要で突ける重大な脆弱性
Oracle Java SE、GraalVM for JDK、GraalVM Enterprise Edition の JSSE(TLS などの暗号通信を担う部品)に、認証なしでネットワーク越しに悪用できる脆弱性が公表されました。CVSS は 9.1 で、重要データの読み取りと改ざんにつながるおそれがあります。自社で使っている Java の版を洗い出し、Oracle の告知を確認して更新を計画してください。
急ぎ度: 早めに
認証も利用者の操作も不要で悪用でき、機密性と完全性への影響が大きい一方、実際の攻撃での悪用は現時点で明らかになっていないためです。
関係があるか
Java SE 8、11、17、21、25、27の該当版を使うサーバー、業務システム、Webサービスが対象です。外部から通信を受けるJavaアプリケーションや、外部のデータをJavaのAPIで処理する構成は特に注意が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Oracle Java SE | 8u511-b32、8u511-perf-b32、11.0.33.0.2、17.0.21.0.2、21.0.13.0.2、25.0.5.0.2、27.0.1.0.2 | 修正版の版番号は、Oracleの告知で確認してください |
| Oracle GraalVM for JDK | 17.0.21.0.2、21.0.13.0.2 | 修正版の版番号は、Oracleの告知で確認してください |
| Oracle GraalVM Enterprise Edition | 21.3.20.0.2 | 修正版の版番号は、Oracleの告知で確認してください |
確かめ方
- 1サーバー、開発端末、コンテナイメージで
java -versionを実行し、表示された版が上の表にあるかを照合します。 - 2Tomcat、Spring Boot、各種ミドルウェアなど、Javaを同梱している製品も洗い出します。同梱のJavaはOS標準のJavaと別の版であることがよくあります。
- 3製品ベンダー提供のアプライアンスや業務パッケージがJavaを内蔵している場合は、ベンダーに影響の有無と対応予定を問い合わせます。
- 4信頼できないコードをJavaのサンドボックスで動かす使い方（Java Web StartアプリケーションやJavaアプレット）が残っていないかを確認します。
何が起きたか
Oracleは、Java SEなどの製品に含まれるJSSEに脆弱性があると公表しました。JSSEはJavaの標準部品で、TLSなど暗号化通信の処理を担っています。認証を持たない第三者が、ネットワーク経由で比較的容易に攻撃でき、Java製品が扱うデータの読み取りや作成・削除・改ざんにつながるおそれがあります。
Oracleの説明では、JSSEのAPIを使うアプリケーションが対象になりえます。たとえば外部から受け取ったデータをAPIに渡すWebサービスが該当します。また、インターネット由来の信頼できないコードをサンドボックスで実行する環境（Java Web Startアプリケーションやアプレット）も対象です。
CVSS 3.1のスコアは9.1です。評価は、ネットワークから攻撃でき、複雑な条件がなく、認証も利用者の操作も不要で、機密性と完全性への影響が高く、可用性への影響はないとされています。弱点の具体的な仕組みや、攻撃が成立する細かい条件は公表されていません。
攻撃の流れ
-
1
到達
攻撃者が、対象のJavaアプリケーションにネットワーク経由で接続できる状態にあります。
-
2
データ投入
JSSEのAPIを通る通信や、外部から受け取ったデータが攻撃者の影響下に置かれます。
-
3
保護の回避
JSSEの弱点により、本来の保護が働かない状態になります。仕組みの詳細は公表されていません。
-
4
情報の窃取と改ざん
Java製品が扱う重要データの閲覧、作成、削除、改ざんが起こりえます。
どう悪用されるか
悪用に認証は不要で、攻撃者はネットワーク越しに攻撃できます。利用者の操作も要りません。攻撃の難易度は低いと評価されています。Oracleは、JSSEのAPIを使うWebサービスのように、外部のデータをAPIに渡す構成が悪用の経路になりうると説明しています。
悪用に成功すると、Java製品がアクセスできる重要データの読み取りと、作成・削除・改ざんが起こりえます。一方、サービス停止など可用性への影響はないと評価されています。つまり、障害として気づきにくいまま情報が漏れたり書き換えられたりする点に注意が必要です。
実際の攻撃での悪用や、攻撃コードの公開状況は、現時点で明らかになっていません。状況は変わりうるため、Oracleの告知や各種の注意喚起を継続して確認してください。
今すぐやること
-
1
Javaの利用箇所を洗い出す
サーバー、コンテナイメージ、開発端末、Javaを同梱する製品を棚卸しし、版を一覧にします。外部に公開しているシステムを先に確認します。
java -version -
2
Oracleの告知で修正版を確認する
Oracleのセキュリティアラートで、各系統の修正版と入手方法を確認します。
-
3
外部公開システムから更新する
インターネットから到達できるサービスや、外部のデータを処理するサービスを優先して更新します。内部向けのシステムはその後に計画します。
-
4
更新後にJavaプロセスを再起動する
Javaを入れ替えても、動作中のプロセスは古いまま動き続けます。アプリケーションサーバーなどを再起動し、新しい版で動いていることを確認します。
-
5
同梱製品のベンダーに確認する
Javaを内蔵する製品は、利用者がJava単体を更新できないことがあります。ベンダーの対応予定を確認し、更新版が出たら適用します。
すぐ更新できないとき
回避策は公表されていません。更新までの暫定措置としては、対象のJavaサービスへ接続できる範囲をファイアウォールなどで必要最小限に絞る方法があります。ただし根本的な解決ではないため、修正版の適用は必要です。
背景
Java SEは、業務システム、Webアプリケーション、ミドルウェアの実行基盤として企業で広く使われています。JSSEは、そのJavaからTLSによる暗号化通信や証明書の検証を行うための標準部品です。この部品の弱点は、個々のアプリケーションの作りに関わらず影響が及びやすいという特徴があります。
TLSや証明書の検証を担う部品は、通信の安全性の土台です。このため過去にも、同種の部品の欠陥が広い範囲で問題になってきました。JavaはOS標準のものとは別に、製品に同梱されていることが多く、更新の見落としが起きやすい点にも注意が必要です。
よくある質問
Q.自社のサーバーでJavaを使っていますが、すぐ止める必要がありますか。
Q.表にない版のJavaは影響を受けませんか。
Q.ブラウザーでJavaアプレットを使っていなくても関係ありますか。
まだ分かっていないこと
- 弱点の具体的な仕組みと、攻撃が成立する細かい条件は公表されていません。
- 実際の攻撃での悪用の有無と、攻撃コードの公開状況は、現時点で明らかになっていません。
- 各系統の修正版の版番号は、Oracleの告知で確認する必要があります。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Oracle Corporation | Oracle Java SE | — | — |
| Oracle Corporation | Oracle GraalVM for JDK | — | — |
| Oracle Corporation | Oracle GraalVM Enterprise Edition | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Vulnerability in the Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: JSSE). Supported versions that are affected are Oracle Java SE: 8u511-b32, 8u511-perf-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2, 27.0.1.0.2; Oracle GraalVM for JDK: 17.0.21.0.2 and 21.0.13.0.2; Oracle GraalVM Enterprise Edition: 21.3.20.0.2. Easily exploitable vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition. Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition accessible data as well as unauthorized access to critical data or complete access to all Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition accessible data. Note: This vulnerability can be exploited by using APIs in the specified Component, e.g., through a web service which supplies data to the APIs. This vulnerability also applies to Java deployments, typically in clients running sandboxed Java Web Start applications or sandboxed Java applets, that load and run untrusted code (e.g., code that comes from the internet) and rely on the Java sandbox for security. CVSS 3.1 Base Score 9.1 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:…
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web secalert_us@oracle.com
- web nvd.nist.gov
- web github.com