WebLogic Severの脆弱性 (CVE-2010-0073) に対するセキュリティ アラート
WebLogic Sever (7.0〜10.3.2) の脆弱性 (CVE-2010-0073) に対するセキュリティ アラート、および修正が、数日前にリリースされています。WebLogic Severをお使いのお客様、特にインターネット上でお使いのお客様は、早急に詳細を確認し、修正を適用してください。
- OTN > Oracle Security Alert for CVE-2010-0073
- The Oracle Global Product Security Blog > Security Alert For CVE-2010-0073 Released (2010/02/04)
(このブログ エントリの適当訳)
こんにちは、再びEric Mauriceです。
オラクルは、Oracle WebLogic Server ノード マネージャ (Node Manager) に影響を与える 脆弱性 CVE-2010-0073の修正を伴うセキュリティ アラート をリリースしたところです。この脆弱性は最近公表されたもので、この脆弱性を発見した組織は、それに関する詳細な技術情報を公開する前に、オラクルに連絡しようとしませんでした。
この脆弱性の利用に成功すると、Windows上の対象サーバの完全なセキュリティ侵害を引き起こす可能性があります。(Unix、Linuxなど) 他のプラットフォーム上では、攻撃者が、WebLogic Serverプロセスと同じ権限で対象サーバにアクセスする可能性があります。この種の脆弱性は、慎重に扱うべきプロセスやアプリケーションを実行するためのOS上ではできる限りの「最小権限」を使用する必要性を、さらに際立たせます。加えて、多くの組織では、外部ユーザによるノード マネージャ管理ポートへの接続を阻止するファイヤウォール ポリシーを持っており、それが匿名のインターネット ユーザによる脆弱性の利用を阻止することに注意してください。
WebLogicをお使いのお客様ができる限り早く この修正 を適用し、場合によってはWebLogicノード マネージャへのTCP/IPアクセスを数少ない信頼できるスタッフだけにさらに制限するために、ネットワーク アクセス ポリシーを見直すことを、オラクルは強く推奨します。
さらなる情報:
- Critical Patch Updatesとセキュリティ アラートのページ:
- オラクル セキュリティ通知の購読方法に関する情報:
