Oracle、CVSS 10.0の脆弱性6件を含む1,209件の欠陥を修正

Oracleの管理者は今週、1,000件を超える脆弱性への対応を迫られています。このうち6件は、CVSSスコアが最高値の10.0です。修正対象には、認証、財務、データベースなど、重要な業務に使われるソフトウェアが含まれます。

Tenableの分析によると、Oracleが10月20日に公開した四半期ごとの重要パッチ更新（Critical Patch Update）には、33の製品ファミリーにわたる1,209件の固有のCVEに対処する1,295件のセキュリティパッチが含まれています。最高深刻度の脆弱性には、認証なしでリモートから悪用される恐れのあるものが複数あります。セキュリティチームは、影響を受ける環境を特定する必要があります。とくに、信頼できないネットワークから到達可能なサービスは要注意です。

CVSS 10.0の脆弱性6件が主要な企業向けシステムに影響

Oracleの公式リスクマトリックスでは、最高深刻度の脆弱性が6件確認されています。いずれも、認証なしでリモートから悪用される可能性があります。影響を受けるのは、4種類の企業向けソフトウェアです。

Oracleによると、影響を受けるバージョンは次のとおりです。E-Business Suiteは12.2.3から12.2.15、Access Managerは12.2.1.4.0と14.1.2.1.0、SOA Suiteは12.2.1.4.0と14.1.2.0.0、JD Edwards EnterpriseOne Orchestratorは9.2.0.0から9.2.26.5です。

Access ManagerとSOAアダプターの問題はHTTPを使用します。SOA Fabric Layerの2件の脆弱性には、T3とIIOPが関係します。認証なしで悪用できる可能性があることは、実際に攻撃が発生したことを意味しません。なお、アドバイザリーは、この6件のCVEが実際に悪用されているとは確認していません。

最も修正が多いのはFusion Middleware

Tenableの集計では、重要（Critical）パッチは112件で、固有のCVEは95件です。Oracle Fusion Middlewareには206件のパッチが適用され、そのうち134件は認証なしでリモートから悪用される可能性があります。次いで多いのがE-Business Suiteの194件で、Siebel CRMが122件、Communicationsが110件、PeopleSoftが109件、JD Edwardsが102件と続きます。

パッチ数と脆弱性数が一致しないのは、1件のCVEの修正が複数のOracle製品で必要になる場合があるためです。複数の製品ファミリーを使う企業では、同じ根本的な問題に対処するために、異なる更新プログラムが必要になる可能性があります。定例パッチの負担が繰り返し生じていることについては、943件の脆弱性を修正した前回のパッチ公開も参考になります。

セキュリティチームはOracleパッチをどう優先すべきか

Oracleは、顧客に対し、10月の更新プログラムを速やかに適用し、製品ごとのパッチガイダンスを活用するよう促しています。

管理者は、深刻度、ネットワークへの露出、業務への影響に基づいて、対象システムの優先順位を決める必要があります。そのうえで、アプリケーションの担当者と連携し、テストと展開を進めてください。社内システムの評価も欠かせません。インターネットへのアクセスを制限しても、悪用される経路がすべて断たれるわけではないためです。

E-Business Suiteの管理者は、基盤となるOracle DatabaseとFusion Middlewareのコンポーネントを別途確認する必要があります。Oracleによると、これらのセキュリティ更新はE-Business Suiteのリスクマトリックスに含まれていません。そのため、このマトリックスだけを確認すると、必要な修正を見落とす恐れがあります。

• 露出している資産を特定する：ベンダーが管理するシステムを含め、Oracle製品とバージョンを棚卸しします。Oracleのリスクマトリックスと照合し、インターネットに公開されている認証、ワークフロー、アプリケーションの各サービスを洗い出します。公開アプリケーションを評価する際は、過去のリモートコード実行を可能にするOracleのSQLインジェクション攻撃も参考になります。
• パッチ適用中はアクセスを制限する：脆弱なHTTP、T3、IIOPのエンドポイントを優先します。不要なネットワーク露出を制限し、メンテナンス時間帯を調整し、更新の適用前にバックアップとロールバックの手順を準備します。
• 修正を確認する：適用済みのパッチレベルを検証し、重要な業務機能をテストします。必要に応じて再スキャンを行い、未解決の例外は担当者と目標期日を決めて追跡します。

Oracleの管理を外部委託している企業は、ベンダーから「更新を予定している」という説明を受けるだけでなく、パッチ適用の証拠を求めるべきです。すぐに修正できない場合は、一時的なアクセス制御と、期限を明確にした再確認日を文書化してください。過去には、Webアプリケーションファイアウォールのルールを回避したPeopleSoftへの攻撃がありました。この事例は、代替的な対策には有効性の検証が必要であり、根本的なパッチの代わりにはならないことを示しています。セキュリティチームは、悪用が起きたと決めつけることなく、関連するログに不審な動きがないかも確認してください。

関連記事：所有者の明確化と検証がなぜ重要かを示す最近の事例として、次の記事もご覧ください。パッチ未適用のOracle PeopleSoftシステムが、FBI関連のShinyHunters侵害にどう関わったか。