Interstage Application Serverにおけるクロスサイトスクリプティング(XSS)脆弱性の問題 (2009年3月3日)

---

本セキュリティサイトについてのご注意

1.背景と問題点

ServletサービスおよびInterstage管理コンソール用Servletサービス(注1）において、 新たにクロスサイトスクリプティング(XSS)脆弱性の問題が確認されました。

(注1）ご利用の製品バージョンによっては「Interstage運用管理用Servletサービス」と 呼ばれます。以降、必要に応じ読み換えてください。

クロスサイト・スクリプティングの脆弱性を利用すると、悪意のあるサイト運用者が ユーザーのコンピュータ上で任意のコードを実行することができます。 また、そのコードは信頼できるサイトのものとして実行される可能性があります。 危険なコードには以下のようなものがあります。

• ユーザ入力の読み取り
• cookieの読み取り／上書き
• 第三者への情報の転送

Interstage製品については以下のページを参照してください。
http://interstage.fujitsu.com/jp/products/

2. 一時的な回避方法

2.1  Tomcat 3.1ベースのServletサービス(注2）の回避方法
ServletサービスのWebアプリケーション環境定義ファイル（deployment descriptor：web.xml）内に、HTTPステータスコード404および500に対するエラーページを設定します。（設定のみ行います。Locationタグで指定したリソースを格納する必要はありません。）設定後、Servletサービスを再起動してください。再起動方法につきましては、通常ご利用いただいている方法で実施してください。
（注2）V3系からV5系のServletサービスおよびV6系からV7系に含まれる旧バージョンのServletサービス

2.1.1  Tomcat 3.1ベースのServletサービスの設定変更方法
Tomcat 3.1ベースのServletサービスのWebアプリケーション環境定義ファイル（deployment descriptor：web.xml）は以下の場所に格納されています。mime-mapping設定の最終行の後に設定してください。

• Windowsの場合
  "Interstageのインストールフォルダ"\F3FMjs2\conf\web.xml
• Solaris/Linuxの場合
  /opt/FJSVjs2/conf/web.xml

【設定例】Tomcat 3.1ベースのServletサービスのWebアプリケーション環境定義ファイル(deployment descriptor：web.xml)
  <web-app>
             ：
             ：
       <mime-mapping>
             <extension>
               mpv2
             </extension>
             <mime-type>
               video/mpeg2
             </mime-type>
       </mime-mapping>

     <error-page>
           <error-code>
             404
           </error-code>
           <location>
             /error/http/404.html（任意のページを指定してください。）
           </location>
      </error-page>
      <error-page>
           <error-code>
              500
           </error-code>
       <location>
             /error/http/500.html（任意のページを指定してください。）
           </location>
       </error-page>

   </web-app>

2.2 Tomcat 4.1ベースのServletサービス（注3）の回避方法
各IJServerのデフォルトのWebアプリケーション環境定義ファイル（deployment descriptor：web.xml）内に、HTTPステータスコード404および500に対するエラーページを設定します。 （設定のみ行います。Locationタグで指定したリソースを格納する必要はありません。） 設定後、各IJServerを再起動してください。再起動方法につきましては、通常ご利用いただいている方法で実施してください。

（注3）V6系～V8系のServletサービス

2.2.1  Tomcat 4.1ベースのServletサービスの設定変更方法
各IJServerのデフォルトのWebアプリケーション環境定義ファイル（deployment descriptor：web.xml）は以下の場所に格納されています。welcome-file-list設定の後に設定してください。

• Windowsの場合
  "J2EE共通ディレクトリ"\ijserver\[IJServer名]\web.xml
• Solaris/Linuxの場合
  /opt/FJSVj2ee/var/deployment/ijserver/[IJServer名]/web.xml

【設定例】IJServerのデフォルトのWebアプリケーション環境定義ファイル（deployment descriptor：web.xml）

   <web-app>
             ：
             ：
       <welcome-file-list>
             <welcome-file>index.html</welcome-file>
             <welcome-file>index.htm</welcome-file>
             <welcome-file>index.jsp</welcome-file>
       </welcome-file-list>

       <error-page>
             <error-code>
               404
             </error-code>
             <location>
               /error/http/404.html（任意のページを指定してください。）
             </location>
       </error-page>
       <error-page>
             <error-code>
               500
             </error-code>
             <location>
               /error/http/500.html（任意のページを指定してください。）
             </location>
       </error-page>

   </web-app>

2.3  Interstage管理コンソール用Servletサービスの回避方法
Interstage管理コンソール用ServletサービスのWebアプリケーション環境定義ファイル（deployment descriptor：web.xml）内に、HTTPステータスコード404および500に対するエラーページを設定します。 （設定のみ行います。Locationタグで指定したリソースを格納する必要はありません。） 設定後、Interstage管理コンソール用Servletサービスを再起動してください。再起動方法につきましては、「Interstage Application Server運用ガイド」を参照してください。

2.3.1  Interstage管理コンソール用Servletサービスの設定変更方法
Interstage管理コンソール用ServletサービスのWebアプリケーション環境定義ファイル（deployment descriptor：web.xml）は以下の場所に格納されています。mime-mapping設定の最終行の後に設定してください。

• Windowsの場合
  "Interstageのインストールフォルダ"\F3FMjs2su\conf\web.xml
• Solaris/Linuxの場合
  /opt/FJSVjs2su/conf/web.xml

【設定例】Interstage管理コンソール用ServletサービスのWebアプリケーション環境定義ファイル（deployment descriptor：web.xml）

   <web-app>
             ：
             ：
       <mime-mapping>
            <extension>
              mpv2
            </extension>
            <mime-type>
              video/mpeg2
            </mime-type>
       </mime-mapping>

       <error-page>
            <error-code>
              404
            </error-code>
            <location>
              /error/http/404.html（任意のページを指定してください。）
            </location>
       </error-page>
       <error-page>
            <error-code>
              500
            </error-code>
            <location>
              /error/http/500.html（任意のページを指定してください。）
            </location>
       </error-page>

   </web-app>

3. 該当システム・パッチ情報

・Interstage Application Framework Suite
・Interstage Application Server
・Interstage Apworks
・Interstage Business Application Server
・Interstage Job Workload Server
 Patch IDの表記のみの製品に関しては、当社サポートセンターにお問い合わせください。

4. 謝辞

この脆弱性情報をご指摘くださいました 株式会社セキュアスカイ・テクノロジー 福森 大喜 氏に謝意を評します。

5. 改版履歴

• 2009年3月3日 第5版
  • 「3. 該当システム・パッチ情報」の「Patch ID」追加公開。
• 2007年11月29日 第4版
  • 「3. 該当システム・パッチ情報」の下記製品のパッチを公開停止。
    「Interstage Application Server Enterprise Edition 7.0」 「T020LS-06」
    「Interstage Application Server Standard Edition 7.0」 「T020LS-06」
    「Interstage Application Server Web-J Edition 7.0」 「T020LS-06」
    「Interstage Application Server Plus 7.0」 「T020LS-06」
    「Interstage Application Server Enterprise Edition 7.0.1」 「T020LS-06」
    「Interstage Application Server Standard Edition 7.0.1」 「T020LS-06」
    「Interstage Application Server Web-J Edition 7.0.1」 「T020LS-06」
    「Interstage Application Server Plus 7.0.1」 「T020LS-06」
    「Interstage Application Server Enterprise Edition 8.0.0」 「T000572SP-01」
    「Interstage Application Server Standard-J Edition 8.0.0」 「T000573SP-01」
    「Interstage Application Server Web-J Edition 8.0.0」 「T000574SP-01」
    「Interstage Application Server Enterprise Edition V6.0L10」 「TP09494」
    「Interstage Application Server Standard Edition V6.0L10」 「TP09494」
    「Interstage Application Server Web-J Edition V6.0L10」 「TP09494」
    「Interstage Application Server Plus V6.0L10」 「TP09494」
    「Interstage Application Server Plus Developer V6.0L10」 「TP09494」
    「Interstage Application Server Web-J Edition V6.0L10A」 「TP09494」
    「Interstage Application Server Plus V6.0L10A」 「TP09494」
    「Interstage Application Server Enterprise Edition V6.0L10B」 「TP09494」
    「Interstage Application Server Standard Edition V6.0L10B」 「TP09494」
    「Interstage Application Server Web-J Edition V6.0L10B」 「TP09494」
    「Interstage Application Server Plus V6.0L10B」 「TP09494」
    「Interstage Application Server Enterprise Edition V6.0L10C」 「TP09494」
    「Interstage Application Server Standard Edition V6.0L10C」 「TP09494」
    「Interstage Application Server Web-J Edition V6.0L10C」 「TP09494」
    「Interstage Application Server Plus V6.0L10C」 「TP09494」
    「Interstage Application Server Enterprise Edition V6.0L10」 「T00274-05」
    「Interstage Application Server Standard Edition V6.0L10」 「T00274-05」
    「Interstage Application Server Web-J Edition V6.0L10」 「T00274-05」
    「Interstage Application Server Plus V6.0L10」 「T00274-05」
    「Interstage Application Server Web-J Edition V6.0L11」 「T00274-05」
    「Interstage Application Server Plus V6.0L11」 「T00274-05」
    「Interstage Application Server Enterprise Edition V7.0L10」 「T00836-04」
    「Interstage Application Server Standard Edition V7.0L10」 「T00836-04」
    「Interstage Application Server Web-J Edition V7.0L10」 「T00836-04」
    「Interstage Application Server Plus V7.0L10」 「T00836-04」
    「Interstage Application Server Enterprise Edition V7.0L11」 「T00836-04」
    「Interstage Application Server Standard Edition V7.0L11」 「T00836-04」
    「Interstage Application Server Web-J Edition V7.0L11」 「T00836-04」
    「Interstage Application Server Plus V7.0L11」 「T00836-04」
    「Interstage Application Framework Suite Standard Edition 7.0」 「T020LS-06」
    「Interstage Application Framework Suite Web Edition 7.0」 「T020LS-06」
    「Interstage Application Framework Suite Enterprise Edition 7.0.1」 「T020LS-06」
    「Interstage Application Framework Suite Standard Edition 7.0.2」 「T020LS-06」
    「Interstage Application Framework Suite Web Edition 7.0.2」 「T020LS-06」
    「Interstage Application Framework Suite Enterprise Edition V6.0L10」 「TP09494」
    「Interstage Application Framework Suite Standard Edition V6.0L10」 「TP09494」
    「Interstage Application Framework Suite Web Edition V6.0L10」 「TP09494」
    「Interstage Application Framework Suite Web Edition V6.0L10A」 「TP09494」
    「Interstage Application Framework Suite Enterprise Edition V6.0L10B」 「TP09494」
    「Interstage Application Framework Suite Standard Edition V6.0L10B」 「TP09494」
    「Interstage Application Framework Suite Web Edition V6.0L10B」 「TP09494」
    「Interstage Application Framework Suite Enterprise Edition V6.0L10C」 「TP09494」
    「Interstage Application Framework Suite Standard Edition V6.0L10C」 「TP09494」
    「Interstage Application Framework Suite Web Edition V6.0L10C」 「TP09494」
    「Interstage Application Framework Suite Enterprise Edition V6.0L10」 「T00274-05」
    「Interstage Application Framework Suite Standard Edition V6.0L10」 「T00274-05」
    「Interstage Application Framework Suite Web Edition V6.0L10」 「T00274-05」
    「Interstage Application Framework Suite Web Edition V6.0L11」 「T00274-05」
    「Interstage Application Framework Suite Standard Edition V7.0L10」 「T00836-04」
    「Interstage Application Framework Suite Web Edition V7.0L10」 「T00836-04」
    「Interstage Application Framework Suite Standard Edition V7.0L11」 「T00836-04」
    「Interstage Application Framework Suite Web Edition V7.0L11」 「T00836-04」
    「Interstage Apworks Enterprise Edition V6.0L10」 「TP09494」
    「Interstage Apworks Standard Edition V6.0L10」 「TP09494」
    「Interstage Apworks Modelers-J Edition V6.0L10」 「TP09494」
    「Interstage Apworks Enterprise Edition V6.0L10A」 「TP09494」
    「Interstage Apworks Standard Edition V6.0L10A」 「TP09494」
    「Interstage Apworks Modelers-J Edition V6.0L10A」 「TP09494」
    「Interstage Apworks Enterprise Edition V6.0L10B」 「TP09494」
    「Interstage Business Application Server Enterprise Edition 7.0」 「T020LS-06」
    「Interstage Business Application Server Enterprise Edition 7.0.1」 「T020LS-06」
    「Interstage Business Application Server Enterprise Edition 8.0.0」 「T000572SP-01」
    「Interstage Business Application Server Enterprise Edition 8.0.1」 「T000572SP-01」
    「Interstage Business Application Server Standard Edition 8.0.0」 「T000572SP-01」
    「Interstage Job Workload Server 8.1.1」 「T000572SP-01」
• 2007年9月20日 第3版
  • 「3. 該当システム・パッチ情報」の下記製品のパッチを公開停止。
    「INTERSTAGE Application Server Enterprise Edition 4.1」「911892-15」
    「INTERSTAGE Application Server Standard Edition 4.1」「911893-15」
    「INTERSTAGE Application Server Web-J Edition 4.1」「911894-14」
  • 「3. 該当システム・パッチ情報」に 提供開始した 「Patch ID」 を追加。
  • 「3. 該当システム・パッチ情報」に下記製品を追加。
    「Interstage Application Server Enterprise Edition 8.0.3」
    「Interstage Application Server Standard-J Edition 8.0.3」
    「Interstage Application Server Web-J Edition 8.0.3」
    「Interstage Apworks Enterprise Edition V6.0L10B」
    「Interstage Apworks Enterprise Edition 8.1.0」
    「Interstage Business Application Server Enterprise Edition 8.0.1」
    「Interstage Job Workload Server 8.0.0」
    「Interstage Job Workload Server 8.0.1」
  • 「3. 該当システム・パッチ情報」から下記製品を削除。
    「Interstage Application Server Plus 8.0.0」
    「Interstage Business Application Server Enterprise Edition 7.0.2」
• 2007年5月31日 第2版
  • 「3. 該当システム・パッチ情報」の「Patch ID」の一部を提供開始。
  • 「3. 該当システム・パッチ情報」に「Interstage Business Application Server Enterprise Edition 8.0.1」を追加。
• 2007年3月19日 新規掲載