Trusted Design

解説:

CVE-2013-0431について以下の観点で解説します。

1. 脆弱性の概要

Oracle Java SE 7 Update 11以前およびOpenJDK 7のJava Runtime Environment (JRE) コンポーネントに、未指定の脆弱性が存在します。これは、Javaセキュリティサンドボックスをバイパスされる可能性がある脆弱性です。JMXに関連する未指定のベクターを介して、ユーザーを誘導するリモートの攻撃者によって悪用される可能性があります。この脆弱性は「Issue 52」とも呼ばれており、CVE-2013-1490とは異なる脆弱性です。攻撃が成功すると、Javaを実行しているローカルユーザーと同じ権限で任意のコードが実行される危険性があります。

1.1 影響

• Javaセキュリティサンドボックスのバイパス。
• ログインしているユーザーと同じ権限でのリモートからの任意のコード実行。
• 機密性、完全性、可用性が影響を受ける可能性があります。
• この脆弱性は実際に悪用されており、CISAの「既知の悪用された脆弱性カタログ」に掲載されています。

1.2 深刻度

• CVSS v2 基本評価値: 5.0 (警告)
  • Vector: AV:N/AC:L/Au:N/C:N/I:P/A:N
• CVSS v3.1 基本評価値: 5.3 (警告)
  • Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
• EPSS (Exploit Prediction Scoring System) は、高い確率で悪用される可能性を示唆しています (例: 0.89987または0.902)。
• Microsoft Security Intelligenceは、リモートコード実行につながる深刻なセキュリティ脅威と説明しています。

2. 対象となる環境

• 2.1 影響を受けるOSバージョン この脆弱性は、特定のOSバージョンではなく、Oracle Java SE JDK 7およびJRE 7の特定のバージョンに影響を与えます。影響を受けるJavaのバージョンを実行している任意のOSが脆弱性の影響を受けます。検証レポートでは、Windows 8上でJava SE JRE 7 Update 11が検証ターゲットシステムとして挙げられています。
• 2.2 影響を受ける設定 Oracle Java SE 7 Update 11以前、およびOpenJDK 7のJava Runtime Environment (JRE) コンポーネントが影響を受けます。特にJMXに関連する未指定のベクターが悪用されます。この脆弱性は、JMXクラスがサンドボックス外のJavaコードを実行してしまうことに起因します。

3. 影響を受けた時の兆候

NVDやTenableの詳細には明示的な兆候は記載されていませんが、攻撃が成功した場合は、ログインしているユーザーと同じ権限で任意のコードが実行される可能性があります。これにより、予期せぬプログラムの動作、新規プロセスの起動、データの改ざん、システムの不安定化などの一般的なシステム侵害の兆候が見られる可能性があります。攻撃者は、特別に細工されたWebサイトにユーザーを誘導してJavaアプレットを読み込ませるか、細工されたJavaアプリケーションを添付した電子メールを開かせるといった手法で悪用を試みる可能性があります。

4. 推奨対策

• 4.1 本対策

  • Oracle社からこの脆弱性を修正するバージョンがリリースされています。最新バージョンへのアップデートが強く推奨されます。具体的には、Oracle Java JRE 7 Update 15以降にアップデートしてください。
  • ベンダーの指示に従って更新を適用してください。

• 4.2 暫定回避策（緩和策）

  • Microsoftは、「Exploit:Java/CVE-2013-0431」に対する対策として、他のソフトウェアも最新の状態に保つことを推奨しています。
  • ユーザーによる誘導が必要な攻撃であるため、信頼できないJavaアプレットやアプリケーションの実行を避けることがリスク軽減につながります。

他に解説すべき観点

• この脆弱性は、CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用された脆弱性（KEV）カタログに掲載されており、実際に悪用されていることが確認されています。
• CISAは、2022年6月15日までにこの脆弱性に対処するよう期限を設定していました。
• 既知のランサムウェアキャンペーンに関連付けられています。

参照したサイト

• cve-2013-0431 - NVD
• CVE-2013-0431 | Tenable®
• CVE-2013-0431: Vulnerabilità di bypass della sandbox di Oracle JRE | Kitploit
• CVE-2013-0431 — Patch first | CVE Explorer - Peter Bassill
• CVE-2013-0431 — Oracle JRE Sandbox Bypass Vulnerability - eVulnAble
• CVE Cross Reference 2013
• Exploit:Java/CVE-2013-0431 threat description - Microsoft Security Intelligence
• Web Attack: Java CVE-2013-0431 RCE 3 - Broadcom Inc.
• CVE-2013-0431: Oracle JRE 沙箱绕过漏洞 - Kitploit
• Oracle Java SE JDK7およびJRE7のJMXクラスの脆弱性により任意のコードを実行される脆弱性（CVE-2013-0431）に関する検証レポート