製品・ソフトウェアに関する情報
Vulnerability Search
Oracle WebLogic Server の WLS Security コンポーネントにおける任意のコマンドを実行される脆弱性
Title Oracle WebLogic Server の WLS Security コンポーネントにおける任意のコマンドを実行される脆弱性
Summary

Oracle WebLogic Server の WLS Security コンポーネントには、oracle_common/modules/com.bea.core.apache.commons.collections.jar に関する処理に不備があるため、任意のコマンドを実行される脆弱性が存在します。 本脆弱性の範囲は WebLogic Server 製品に限定されています。 補足情報 : CWE による脆弱性タイプは、CWE-77: Improper Neutralization of Special Elements used in a Command (コマンドインジェクション) と識別されています。 http://cwe.mitre.org/data/definitions/77.html

Possible impacts 第三者により、TCP ポート 7001 への T3 プロトコルトラフィックの巧妙に細工されたシリアル化された Java オブジェクトを介して、任意のコマンドを実行される可能性があります。
Solution

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date Nov. 10, 2015, midnight
Registration Date Nov. 20, 2015, 12:18 p.m.
Last Update Nov. 20, 2015, 12:18 p.m.
CVSS2.0 : 危険
Score 7.5
Vector AV:N/AC:L/Au:N/C:P/I:P/A:P
Affected System
オラクル
Oracle WebLogic Server 10.3.6.0
Oracle WebLogic Server 12.1.2.0
Oracle WebLogic Server 12.1.3.0
Oracle WebLogic Server 12.2.1.0
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
0 [2015年11月20日]
  掲載		 Feb. 17, 2018, 10:37 a.m.
NVD Vulnerability Information
CVE-2015-4852
Summary

The WLS Security component in Oracle WebLogic Server 10.3.6.0, 12.1.2.0, 12.1.3.0, and 12.2.1.0 allows remote attackers to execute arbitrary commands via a crafted serialized Java object in T3 protocol traffic to TCP port 7001, related to oracle_common/modules/com.bea.core.apache.commons.collections.jar. NOTE: the scope of this CVE is limited to the WebLogic Server product.

Summary

El componente WLS Security en Oracle WebLogic Server 10.3.6.0, 12.1.2.0, 12.1.3.0 y 12.2.1.0 permite a atacantes remotos ejecutar comandos arbitrarios a través de un objeto Java serializado manipulado en el tráfico del protocolo T3 al puerto 7001 TCP, relacionado con oracle_common/modules/com.bea.core.apache.commons.collections.jar. NOTA: el alcance de esta CVE se limita al producto WebLogic Server.

Publication Date Nov. 19, 2015, 12:59 a.m.
Registration Date Jan. 26, 2021, 2:51 p.m.
Last Update April 22, 2026, 4:14 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:oracle:virtual_desktop_infrastructure:*:*:*:*:*:*:*:* 3.5.2
cpe:2.3:a:oracle:storagetek_tape_analytics_sw_tool:2.3:*:*:*:*:*:*:*
cpe:2.3:a:oracle:weblogic_server:10.3.6.0.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:weblogic_server:12.1.2.0.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:weblogic_server:12.1.3.0.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:weblogic_server:12.2.1.0.0:*:*:*:*:*:*:*
Related information, measures and tools
Common Vulnerabilities List