Trusted Design

解説:

CVE-2015-4852について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2015-4852は、Oracle WebLogic ServerのWLS Securityコンポーネントにおける、Apache Commons Collectionsライブラリのデシリアライゼーションの脆弱性です。認証なしでリモートから悪用可能であり、リモートコード実行（RCE）につながる可能性があります。この脆弱性は、T3プロトコルトラフィック内の巧妙に作成されたシリアライズされたJavaオブジェクトを介して悪用されます。

1.1 影響 攻撃者は、認証なしでネットワーク経由で任意のコードをリモートで実行できます。これにより、機密データの抽出、認証バイパス、およびシステム内でのラテラルムーブメント（横方向の移動）につながる可能性があります。

1.2 深刻度 この脆弱性は、深刻度が「緊急（Critical）」と評価されています。 * CVSS v3.x ベーススコア: 9.8 (Critical) * CVSS v2.0 ベーススコア: 7.5 (High)

2. 対象となる環境

2.1 影響を受けるOSバージョン 本脆弱性は主にOracle WebLogic Serverの製品に関するものであり、特定のOSバージョンが直接的に影響を受けるわけではありません。しかし、WebLogic Serverが動作する基盤となるOS上で脆弱なバージョンのWebLogic Serverが稼働している場合に影響を受けます。なお、このCVEのスコープはWebLogic Server製品に限定されています。

2.2 影響を受ける設定 * 影響を受けるOracle WebLogic Serverのバージョン: * 10.3.6.0 * 12.1.2.0 * 12.1.3.0 * 12.2.1.0 * 脆弱なコンポーネント: WLS Securityコンポーネント（T3プロトコル） * 関連するライブラリ: oracle_common/modules/com.bea.core.apache.commons.collections.jar に関連するApache Commons Collectionsライブラリが基盤となる問題です。 * T3プロトコルがTCPポート7001で使用されている場合に脆弱性が存在します。

3. 影響を受けた時の兆候

この脆弱性に関する具体的な侵入の痕跡（Indicators of Compromise: IoC）は、検索結果には明示されていません。しかし、リモートコード実行（RCE）の性質上、以下の兆候が考えられます。

• WebLogic Server上で予期しないプロセスが実行されている。
• システムログやアプリケーションログに、通常とは異なるエラーやアクティビティが記録されている。
• ネットワークトラフィック分析で、T3プロトコルを介した異常なシリアライズされたJavaオブジェクトの送受信が確認される。
• ファイルシステムの変更、新しいファイルの作成、既存ファイルの改ざんなど、不審な変更がある。
• WebLogic Serverの動作が不安定になる、または予期せず停止する。

対策として、監査ログの確認を推奨する情報もあります。

4. 推奨対策

4.1 本対策 Oracle WebLogic Serverのベンダーパッチを速やかに適用することが強く推奨されます。 脆弱性修正は、以下のPatch Set Update (PSU) およびそれ以降のリリースに含まれています。

• WLS Release 12.2.1.0: Patch 22248372 for CVE-2015-4852、またはPSU 12.2.1.0.1以降。
• WLS Release 12.1.3.0: PSU 12.1.3.0.5 + Patch 22248372 for CVE-2015-4852、またはPSU 12.1.3.0.6以降。
• WLS Release 12.1.2.0: PSU 12.1.2.0.7 + Patch 22248372 for CVE-2015-4852、またはPSU 12.1.2.0.8以降。
• WLS Release 10.3.6.0: PSU 10.3.6.0.12 + Patch 22248372 for CVE-2015-4852、またはPSU 10.3.6.0.13以降。

サポートされていない古いバージョン（例: 10.3.6または12.1.2より古いバージョン）を使用している場合は、サポート対象バージョンへのアップグレードが必要です。

基盤となるApache Commons Collectionsライブラリの脆弱性は、バージョン3.2.2および4.1で修正されています。

4.2 暫定回避策（緩和策） * 多層防御の導入: WAFルール、ネットワークセグメンテーション、エンドポイント検出を導入し、攻撃の影響範囲を限定します。 * T3プロトコルの無効化/制限: T3プロトコルが不要な場合は無効にするか、信頼できるソースからのアクセスのみに制限します。 * 脆弱なクラスファイルの削除: commons-collectionsのjarファイルから、脆弱性に関連するクラスファイル（InvokerTransformer, InstantiateFactory, InstantiateTransformer）を削除する方法がJBoss製品向けに言及されています。ただし、手動での変更は予期せぬ問題を引き起こす可能性があるため、十分なテストが必要です。

5. 参照したサイト

• Oracle Security Alert CVE-2015-4852
• CVE-2015-4852: Deserialization of Untrusted Data Vulnerability | Precogs AI
• NVD-CVE-2015-4852 - NIST
• WebLogic Deserialization of Untrusted Data Vulnerability (CVE-2015-4852) - Invicti
• Deserialization of Untrusted Data in commons-collections:commons-collections | CVE-2015-4852 - Snyk Vulnerability Database
• CVE-2015-4852 Patch Availability Document for Oracle WebLogic Server Component of Oracle Fusion Middleware - Renaps
• CVE-2015-4852 - Ubuntu
• CVE-2015-4852 | Tenable®
• K30518307: Java commons-collections library vulnerability CVE-2015-4852 - MyF5
• CVE-2015-4852 Common Vulnerabilities and Exposures - SUSE
• CVE-2015-4852——WebLogic反序列化初探-安全KER - 安全资讯平台
• Security Bulletin: IBM Content Navigator uses Apache Commons Collections resulting in multiple CVEs
• CVE-2015-4852-Weblogic反序列化漏洞复现与分析 - 极客无影
• CVE-2015-4852 Plugins | Tenable®
• Apache Commons Collections Security Vulnerabilities
• Oracle WebLogic Java Object Deserialization RCE | Tenable®
• Do the unserialization/deserialization exploits against the commons-collections library affect Red Hat JBoss products? (CVE-2015-7501 )

その他解説すべき観点

Apache Commons Collectionsの一般的なデシリアライゼーションの脆弱性 CVE-2015-4852は、Apache Commons Collectionsライブラリにおける一般的なJavaオブジェクトのデシリアライゼーションの脆弱性（CWE-502）に起因しています。この脆弱性はWebLogic Serverに限定されず、Apache Commons Collectionsを使用し、信頼できないデータをデシリアライズする他の多くのJavaアプリケーション（例: IBM WebSphere, JBoss, Jenkins, OpenNMSなど）にも影響を与えました。 攻撃者は、Javaのデシリアライズ機能が悪用可能なクラスパスに存在する悪用可能なクラスと組み合わされることで、任意のコード実行を達成できます。 このため、WebLogic Server以外の環境でも、同様のライブラリを使用している場合は注意が必要です。