Trusted Design

CVE-2013-2423 の詳細

CVEの情報

説明:
Unspecified vulnerability in the Java Runtime Environment (JRE) component in Oracle Java SE 7 Update 17 and earlier, and OpenJDK 7, allows remote attackers to affect integrity via unknown vectors related to HotSpot. NOTE: the previous information is from the April 2013 CPU. Oracle has not commented on claims from the original researcher that this vulnerability allows remote attackers to bypass permission checks by the MethodHandles method and modify arbitrary public final fields using reflection and type confusion, as demonstrated using integer and double fields to disable the security manager.

CVE更新日: 2013-04-17 18:55:07.087000

CVSSバージョン: 3.1

CVSSスコア: 3.7

KEVの情報

KEV更新日: 2022-05-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.852150000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: medium

Automatable: True

AIを使った解説

解説:

CVE-2013-2423に関する調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2013-2423は、Oracle Java SE 7 Update 17およびそれ以前のバージョン、ならびにOpenJDK 7のJava Runtime Environment (JRE) コンポーネントに存在する、特定されていない脆弱性です。この脆弱性はHotSpotに関連しており、リモートの攻撃者によって整合性への影響を与える可能性があります。

研究者からの情報によると、この脆弱性により、MethodHandlesメソッドによるパーミッションチェックを迂回し、リフレクションと型混同を利用して任意のpublic finalフィールドを変更し、セキュリティマネージャーを無効にすることが可能であるとされています。

1.1 影響

この脆弱性が悪用されると、リモートの攻撃者がシステムの整合性に影響を与える可能性があります。 これは、信頼できないJava Web Startアプリケーションや信頼できないJavaアプレットを介してのみ悪用可能です。 攻撃者は、悪意のあるJavaアプレットやJava Network Launching Protocol (JNLP) ファイルをユーザーにロードさせることで、脆弱なシステム上でJavaプラグインプロセスの権限で任意のコードを実行できる可能性があります。

1.2 深刻度

  • CVSS v2.0 Base Score: 4.3 (Medium)
  • CVSS v3.1 Base Score (CISA-ADP): 3.7 (Low) (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N)

この脆弱性はCISAのKnown Exploited Vulnerabilitiesカタログにリストされており、活発に悪用されたことが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Oracle Java SE 7 Update 17およびそれ以前のバージョン
  • OpenJDK 7

具体的には、JREバージョン1.7.0およびベンダーパッチが適用される前の全てのアップデートが影響を受けます。

2.2 影響を受ける設定

  • 信頼できないJava Web Startアプリケーション。
  • 信頼できないJavaアプレット。
  • Javaプラグインを使用しているWebブラウザは高いリスクに晒されます。

3. 影響を受けた時の兆候

  • セキュリティソフトウェアからのアラートが唯一の兆候である可能性があります。

4. 推奨対策

4.1 本対策

  • ベンダーの指示に従ってアップデートを適用してください。
  • この脆弱性はJava 7 Update 21で修正されています。 Java 7 Update 17も一部の関連脆弱性に対処しており、デフォルトのJavaセキュリティ設定が「高」に設定され、未署名または自己署名のJavaアプレットを実行する前にプロンプトが表示されるようになります。
  • 古く、サポートされていないJavaバージョンはセキュリティ上の深刻なリスクであるため、削除することを推奨します。

4.2 暫定回避策（緩和策）

  • 適切なアップデートが利用可能になるまで、WebブラウザでJavaを無効にすることを検討してください。
  • 攻撃に必要なネットワークプロトコルをブロックしたり、不要な権限やパッケージへのアクセスを削除したりすることで、攻撃が成功するリスクを軽減できる可能性があります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る