Trusted Design

CVE-2018-2628 の詳細

CVEの情報

説明:
Vulnerability in the Oracle WebLogic Server component of Oracle Fusion Middleware (subcomponent: WLS Core Components). Supported versions that are affected are 10.3.6.0, 12.1.3.0, 12.2.1.2 and 12.2.1.3. Easily exploitable vulnerability allows unauthenticated attacker with network access via T3 to compromise Oracle WebLogic Server. Successful attacks of this vulnerability can result in takeover of Oracle WebLogic Server. CVSS 3.0 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

CVE更新日: 2018-04-19 02:29:00.457000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-09-08

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999580000

EPSS更新日: 2026-10-20 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2018-2628は、Oracle WebLogic Serverにおける深刻なリモートコード実行の脆弱性です。以下にその詳細を解説します。

1. 脆弱性の概要

CVE-2018-2628は、Oracle Fusion MiddlewareのコンポーネントであるOracle WebLogic ServerのWLS Core Componentsにおける、安全でないデシリアライゼーションに起因する脆弱性です。攻撃者は、T3プロトコルを介して細工されたJavaオブジェクトを送信することで、認証なしでリモートから任意のOSコマンドを実行することが可能です。

1.1 影響

この脆弱性が悪用されると、攻撃者はターゲットのWebLogic Serverを完全に制御（テイクオーバー）し、任意のコードを実行できます。これにより、機密性、完全性、可用性のすべてに深刻な影響を及ぼす可能性があります。

1.2 深刻度

Oracle社は本脆弱性をCVSSv3.0でベーススコア9.8（Critical）と評価しています。CVSSベクトルは CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H です。また、CISAのKnown Exploited Vulnerabilities（KEV）カタログにも追加されており、実環境での悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンではなく、Oracle WebLogic Serverの以下のバージョンに影響を及ぼします。 * Oracle WebLogic Server 10.3.6.0 * Oracle WebLogic Server 12.1.3.0 * Oracle WebLogic Server 12.2.1.2 * Oracle WebLogic Server 12.2.1.3

2.2 影響を受ける設定

T3プロトコルを使用し、ネットワークに公開されているOracle WebLogic Server環境が影響を受けます。特に、WebLogicのデフォルトポートであるTCP 7001番などのT3サービスポートが外部に公開されている場合に悪用のリスクが高まります。

3. 影響を受けた時の兆候

概念実証（PoC）コードが公開された後、T3プロトコルが使用するTCP 7001番ポートへのスキャンが急増したことが観測されています。また、本脆弱性を悪用しようとする攻撃活動が継続的に観測されています。 兆候としては、WebLogic Server上での予期せぬOSコマンドの実行、サーバーのテイクオーバー、または関連するログに不正アクセスや異常な活動が記録されることなどが挙げられます。

4. 推奨対策

4.1 本対策

2018年4月のOracle Critical Patch Update（CPU）で提供された適切なパッチを適用することが推奨されます。正規のソフトウェアライセンスを持つユーザーは、My Oracle Support（https://support.oracle.com）から最新のパッチをダウンロードできます。なお、CVE-2018-2628に対する最初のパッチには不備があり、後にCVE-2018-2893などの関連脆弱性が報告されたため、関連するすべての最新パッチを適用することが重要です。

4.2 暫定回避策（緩和策）

WebLogic Serverの接続フィルター機能を使用して、T3プロトコルへのアクセスを制限することが暫定的な回避策として有効です。 デフォルトの接続フィルター weblogic.security.net.ConnectionFilterImpl を使用し、以下のルールを追加することで、T3およびT3sプロトコルへのアクセスを拒否できます。

  • 接続フィルター設定例:
    • WebLogicコンソールにログインし、base_domainの構成ページで「セキュリティ」タブ、「フィルター」を選択します。
    • 接続フィルターに weblogic.security.net.ConnectionFilterImpl を入力します。
    • 接続フィルター規則に * * 7001 deny t3 t3s と入力します。
    • この設定は保存後、WebLogicサービスを再起動することなく有効になります。
    • 接続フィルターの設定によりWebLogicが起動しなくなる場合は、「Weblogicサービス回復」の項目を参照してください（関連ドキュメントに記載がある場合）。

参照したサイト

  • Oracle WebLogic Serverに含まれるリモートコード実行に関する脆弱性（CVE-2018-2628）についての検証レポート - 株式会社NTTデータ先端技術
  • Oracle WebLogic Server Deserialization RCE (CVE-2018-2628) - Tenable®
  • CVE Record: CVE-2018-2628 - Oracle
  • CVE-2018-2628: Deserialization of Untrusted Data - Rapid7 Vulnerability Database
  • Analysis of Weblogic Deserialization Vulnerability (CVE-2018–2628) - Knownsec 404 team | Medium
  • CVE-2018-2628: Oracle WebLogic Server Unspecified Vulnerability - Safeguard
  • WebLogic反序列化漏洞（CVE-2018-2628）安全处置建议V3.0 - 腾讯云开发者社区-腾讯云
  • 2018年 7月 Oracle 製品のクリティカルパッチアップデートに関する注意喚起 - JPCERT/CC
  • CVE-2018-2628漏洞复现(基于vulhub非常详细！) 原创 - CSDNブログ
  • CVE-2018-2628：Weblogic远程代码执行漏洞预警 - 安全内参
  • Weblogic 反序列化远程コード実行脆弱性CVE-2018-2628 技術分析と防御ソリューション - 绿盟科技技術博客
  • WebLogic - CVE-2018-2628 - 0xPThree.gitbook.io
  • vulhub/weblogic/CVE-2018-2628/README.md at master - GitHub
  • JVNDB-2018-002962 - JVN iPedia - 脆弱性対策情報データベース
  • Oracle WebLogic Server の脆弱性に関する注意喚起 - JPCERT/CC
  • CVE-2018-2628 WebLogic反序列化漏洞 - Bi3g0

NVDサイト

NVDでCVEの詳細を見る

戻る