概要
Oracle REST Data Services の Backend-as-a-Service コンポーネントにCVSS 10.0の認証バイパス脆弱性が存在します。未認証の攻撃者がネットワーク経由でHTTPSアクセスでき、システムを完全に掌握できます（機密性・完全性・可用性すべてに影響）。さらにスコープ変更（隣接製品への影響）を含むことが評価されており、CVSS最高スコアの10.0が付与されています。
2026年5月のOracle Critical Patch Update（CPU）にて公開されました。
CVSSベクトル
| 項目 | 内容 |
|---|---|
| 深刻度 | Critical（CVSS 3.1: 10.0） |
| 攻撃経路（AV） | ネットワーク（N） |
| 攻撃の複雑さ（AC） | 低（L） |
| 必要な権限（PR） | なし（N） |
| ユーザー操作（UI） | 不要（N） |
| スコープ（S） | 変更あり（C） |
| 機密性への影響（C） | 高（H） |
| 完全性への影響（I） | 高（H） |
| 可用性への影響（A） | 高（H） |
| CWE | CWE-284（不適切なアクセス制御）、CWE-287（不適切な認証）、CWE-306（重要機能への認証なし） |
影響を受けるソフトウェア
| 製品名 | ベンダー | 影響バージョン |
|---|---|---|
| Oracle REST Data Services | Oracle | 24.2.0〜26.1.0 |
修正バージョンと回避策
- 修正: Oracle Critical Patch Update（2026年5月）を適用してください。
- 参考ページ: Oracle Security Alertsページで最新のパッチセットを確認し、適用してください。
- 回避策: 公式パッチの適用が最優先です。適用が困難な場合は、インターネット等からのアクセスを制限するネットワーク制御を暫定措置として検討してください。
関連リンク
データソース: NVD (NIST), Oracle Security Alerts AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。