Oracle E-Business Suite Configurator の SSRF（悪用確認済み）

High（CVSS 7.5）に分類されるOracle E-Business Suite (Oracle Configurator)の脆弱性です。Oracle E-Business Suite の Oracle Configurator（コンポーネントは Runtime UI）に、未認証の攻撃者が HTTP 経由で悪用できる欠陥があり、Oracle の記述では機微なリソースへのアクセス、すなわち Configurator が到達できる重要データへの不正な読み出しにつながる。影響を受けるサポート対象版は 12.2.3 から 12.2.14 で、Oracle は個別のセキュリティアラート（alert-cve-2025-61884、初版 2025 年 10 月 11 日）を出し、更新または緩和策の適用を強く推奨している。CISA KEV はこの CVE を Server-Side Request Forgery（SSRF）として登録しており、収載日は 2025-10-20、是正期限は 2025-11-10、そしてランサムウェアキャンペーンでの利用が Known とされている。同じ E-Business Suite を狙う一連の攻撃の一部で、参照には watchtowr Labs による EBS の事前認証 RCE チェーン（CVE-2025-61882）の解析記事が Exploit として載っている。CVSS は Oracle（CNA、Secondary）の 7.5 High（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）のみで、NVD 自身の Primary スコアは付与されていない。影響は機密性のみ High、完全性・可用性は None という評価で、単体では読み出しに留まるが、SSRF は内部にしか無いはずのエンドポイントへの踏み台になるため、他の欠陥と組み合わせた連鎖の起点になり得る点が実務上の怖さである。NVD の vulnStatus は Analyzed。

判定は E-Business Suite の版が 12.2.3 から 12.2.14 の範囲かを見て、Oracle Configurator（Runtime UI）を有効にして使っているか、その画面が外部から到達できるかを確認する順になる。Configurator の Runtime UI は顧客・代理店向けに社外公開していることがあるため、EBS 全体の公開範囲だけでなく Configurator のパスがどこから届くかを個別に確認する必要がある。見落としやすいのは、EBS 本体は内部限定にしているつもりで Configurator の画面だけリバースプロキシで外に出している構成、そして検証環境の公開である。すぐパッチを当てられない場合は、Oracle のアラートが更新または緩和策の適用を推奨しているとおり、アラート記載の手順に沿った緩和を行い、あわせて SSRF の到達先を潰す。具体的には、EBS のアプリ層サーバから外向き・内向きに出られる先を送信方向のファイアウォールで絞り、クラウドのインスタンスメタデータサービスへの到達を封じる（AWS なら IMDSv2 必須化、GCP・Azure はメタデータ取得に専用ヘッダが必要な仕様である点を前提に、そもそも到達させない構成にする）。KEV 収載でランサムウェア利用が Known、かつ是正期限 2025-11-10 は今日（2026-08-17）から見て大幅に超過しているため、未対応の環境が残っているなら期限超過扱いで最優先とし、更新だけで完了とせずに痕跡確認まで行う。Configurator への未認証アクセスの成功、アプリ層サーバから内部の想定外の宛先やメタデータエンドポイントへの通信、その結果として取得され得たトークンや資格情報の利用痕跡を洗い、疑いがあればインスタンスロールの資格情報と DB・連携用アカウントを再発行する。完了条件は、パッチまたはアラート記載の緩和が適用済みであること、Configurator の公開範囲が意図した状態であること、アプリ層からの外向き到達先が絞られていること、ログ遡及の結論が出ていること、の四点である。

Oracle E-Business Suite (Oracle Configurator) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-61884）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/11/10 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。