WebLogicに極めて深刻な脆弱性、Oracleが異例のアラート：臨時で公開

危険度は最も高いCVSS 10.0。四半期パッチ公開直後に、脆弱性情報とそれを突いた悪用コードが公開された。

[ITmedia]

　米Oracleは7月28日、WebLogicの脆弱性に関する臨時アラートを公開した。この問題を突いた悪用コードが出回っているとして、全ユーザーに対し早急に回避策を取るよう促している。

　脆弱性はWebLogic（旧BEA WebLogic）のApacheプラグインに存在する。Oracleが臨時アラートを出すのは、2005年1月に四半期ごとの定例アップデートを開始して以来、初めて。7月15日の四半期パッチ公開直後に、今回の脆弱性の内容とこれを突いた悪用コードが公開フォーラムに掲載されたため、臨時アラートを出さざるを得なくなったとしている。

　影響を受けるのはWebLogic ServerとWebLogic Express。脆弱性は認証を経ずにリモートで悪用することが可能で、システムを制御される恐れがあり、危険度を示すCVSSスコアは最高値の10.0となっている。

　OracleはWebLogicの全顧客へアラートを配信するとともに、サポートサイトでも回避策を紹介。脆弱性の修正パッチは間もなく準備が整う見通しで、テストが済み次第、サポート対象の全バージョン向けに臨時パッチとして配布する。それまでの間、現在のアラートに記載された回避策を取るようユーザーに呼び掛けている。

過去のセキュリティニュース一覧はこちら