![\"soulver.png](\"https://c16e-esa-io-public-files.s3-ap-northeast-1.amazonaws.com/uploads/production/attachments/15637/2020/05/28/18740/c37d0884-7252-47f7-86fc-d4731bfc6cbc.png\")
こんにちは、れおです。
\nOracleがCritical Patch Updatesを公開していますね。
\n\n\n\nOracle Java SE receives 25 new security fixes, 24 of which are remotely exploitable without authentication. The highest reported CVSS Base Score for these Java SE vulnerabilities is 10.0. 20 of the Java SE vulnerabilities only affect client deployment of Java SE (e.g., Java in the browser). The remaining 5 vulnerabilities affect client and server deployments of Java SE. Java home users should visit the java.com web site, to ensure that they are using the most recent version of Java and remove obsolete JAVA SE versions from their desktop if they are not needed.
\n
Java SEにおいては、24件の認証が不要なリモートから悪用可能な脆弱性が修正されているとのことです。これは早急にアップデートしたほうがよいですね。報告されている最大のCVSS Base Scoreは、10.0とのことです。CVSS Base Scoreは10.0ということは、「リモートから認証なしで機密性がある情報を改竄もしくはそっくり盗み、業務を妨害できる」ということですね…おそろしい。CVSS Base Scoreの計算方法/IPA:共通脆弱性評価システムCVSS概説
\n過去のJavaのバージョンにおける脆弱性一覧はこちらにあります。
\nJavaの脆弱性リスト(CVE)
10.0がどれだけ怖いか、実際に計算してみました。
\nAV: 攻撃元区分(Access Vector)\navLocal = 0.395 = 0.395\navAdjacentNetwork = 0.646 = 0.646\navNetwork = 1.0 = 1\n\nAC: 攻撃条件の複雑さ(Access Complexity)\nacHigh = 0.35 = 0.35\nacMiddle = 0.61 = 0.61\nacLow = 0.71 = 0.71\n\nAu : 攻撃前の認証要否(Authentication) = 0.704\nauMultiple = 0.45 = 0.45\nauSingle = 0.56 = 0.56\nauNone = 0.704 = 0.704\n\nC : 機密性への影響(情報漏えいの可能性)(Confidentiality Impact) = 10.00084536\ncNone = 0.0 = 0\ncPartial = 0.275 = 0.275\ncComplete = \t0.660 = 0.66\n\nI : 完全性への影響(情報改ざんの可能性)(Integrity Impact) = 10.00084536\niNone = 0.0 = 0\niPartial = 0.275 = 0.275\niComplete = 0.660 = 0.66\n\nA : 可用性への影響(業務停止の可能性)(Availability Impact) = 10.00084536\naNone = 0.0 = 0\naPartial = 0.275 = 0.275\naComplete = 0.660 = 0.66\n\nAccessVector = avNetwork = 1\nAccessComplexity = acLow = 0.71\nAuthentication = auNone = 0.704\n\nExploitability = 20 × AccessVector × AccessComplexity × Authentication = 9.9968\n\n## Imptacts\nConfImpact = cComplete = 0.66\nIntegImpact = iComplete = 0.66\nAvailImpact = aComplete = 0.66\n\nImpact = 10.41 × (1 - (1 - ConfImpact) × (1 - IntegImpact) × (1 - AvailImpact))) = 10.00084536\n\nBaseScore = ((0.6 × Impact) + (0.4 × Exploitability) - 1.5) × 1.176 = 9.995091206\nはい、9.995091206となり、decimalにroundすると。10.0となりますね。
\nこういう計算のときに、SoulverというMacのアプリを使うと見易く紙で計算しているように計算できるので便利です。
\n\n今回はJava8 Update65のアップデートとCVSS Base Scoreについてでした。
\nセキュリティはこまめに対応しないとならないので大変ですね! それでは皆様安全には気をつけて頑張りましょう! ではまた!