Interstage Application Serverにおけるクロスサイトスクリプティング(XSS)脆弱性の問題について(CVE-2005-2090) (2007年11月29日)

---

本セキュリティサイトについてのご注意

1.背景と問題点

Tomcat 4.1ベースのServletサービスにおいて、新たにクロスサイトスクリプティング(XSS)脆弱性の問題が確認されました。

クロスサイトスクリプティングの脆弱性を利用すると、悪意のあるサイト運用者がユーザのコンピュータ上で任意のコードを実行することができます。また、そのコードは信頼できるサイトのものとして実行される可能性があります。

危険なコードには以下のようなものがあります。

• ユーザ入力の読み取り
• cookieの読み取り／上書き
• 第三者への情報の転送

本脆弱性は、以下のURLで公開されている脆弱性からの派生情報です。
CVE-2005-2090:http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-2090

2. 一時的な回避方法

以下の 1)、2)の両方を満たすかを確認してください。条件を満たさない場合は、本脆弱性の影響を受けません。

1) Webサーバとワークユニットを同一マシンで運用しない設定である。かつ、

     Interstage管理コンソールにある、以下の設定画面で確認してください。
      - システム
        - 環境設定
          - 詳細設定
            - Servletサービス詳細設定
              - Webサーバとワークユニットを同一マシンで運用する

2) Servletコンテナと接続するWebサーバのIPアドレスの設定が以下のいずれかである。

1. 記載がない。
2. Webサーバ以外のIPアドレスが記載されている。

     Interstage管理コンソールにある、以下の設定画面で確認してください。
      - システム
        - ワークユニット
          - IJServer名
            - 環境設定
              - Webサーバコネクタ(コネクタ)設定
                - WebサーバのIPアドレス

条件を満たす場合は、Interstage管理コンソールの以下の設定箇所に、WebサーバのIPアドレスのみを記載してください。
  - システム
    - ワークユニット
      - IJServer名
        - 環境設定
          - Webサーバコネクタ(コネクタ)設定
            - WebサーバのIPアドレス

3. 該当システム・パッチ情報

・Interstage Application Server
・Interstage Application Framework Suite
・Interstage Apworks/Studio
・Interstage Business Application Server
・Interstage Job Workload Server
・Interstage Web Server

Patch IDの表記のみの製品に関しては、当社サポートセンターにお問い合わせください。

(注1)初版で提供開始した本パッチは、公開停止となりました。
       公開停止となったパッチID: TP09494, T020LS-06, T00836-04, T000572SP-03, T000573SP-03, T000574SP-03
       上記パッチを適用すると、Cookieを利用できないクライアント環境でサーブレット・セションを継続することができません。
       本不具合に該当する場合は、リカバリパッチが提供されるまでは、パッチ適用前の状態に戻し、
       「2. 一時的な回避方法」を実施してください。
       リカバリパッチ提供は、本連絡票の改版にてご案内します。

5. 改版履歴

• 2007年11月29日 第2版
  • 「3. 該当システム・パッチ情報」の下記製品のパッチを公開停止。
    「Interstage Application Server Enterprise Edition 7.0」 「T020LS-06」
    「Interstage Application Server Standard Edition 7.0」 「T020LS-06」
    「Interstage Application Server Web-J Edition 7.0」 「T020LS-06」
    「Interstage Application Server Plus 7.0」 「T020LS-06」
    「Interstage Application Server Enterprise Edition 7.0.1」 「T020LS-06」
    「Interstage Application Server Standard Edition 7.0.1」 「T020LS-06」
    「Interstage Application Server Web-J Edition 7.0.1」 「T020LS-06」
    「Interstage Application Server Plus 7.0.1」 「T020LS-06」
    「Interstage Application Server Enterprise Edition 8.0.0」 「T000572SP-03」
    「Interstage Application Server Standard-J Edition 8.0.0」 「T000573SP-03」
    「Interstage Application Server Web-J Edition 8.0.0」 「T000574SP-03」
    「Interstage Application Server Enterprise Edition 8.0.3」 「T000572SP-03」
    「Interstage Application Server Standard-J Edition 8.0.3」 「T000573SP-03」
    「Interstage Application Server Web-J Edition 8.0.3」 「T000574SP-03」
    「Interstage Application Server Enterprise Edition V6.0L10」 「TP09494」
    「Interstage Application Server Standard Edition V6.0L10」 「TP09494」
    「Interstage Application Server Web-J Edition V6.0L10」 「TP09494」
    「Interstage Application Server Plus Edition V6.0L10」 「TP09494」
    「Interstage Application Server Plus Developer V6.0L10」 「TP09494」
    「Interstage Application Server Web-J Edition V6.0L10A」 「TP09494」
    「Interstage Application Server Plus Edition V6.0L10A」 「TP09494」
    「Interstage Application Server Enterprise Edition V6.0L10B」 「TP09494」
    「Interstage Application Server Standard Edition V6.0L10B」 「TP09494」
    「Interstage Application Server Web-J Edition V6.0L10B」 「TP09494」
    「Interstage Application Server Plus Edition V6.0L10B」 「TP09494」
    「Interstage Application Server Enterprise Edition V6.0L10C」 「TP09494」
    「Interstage Application Server Standard Edition V6.0L10C」 「TP09494」
    「Interstage Application Server Web-J Edition V6.0L10C」 「TP09494」
    「Interstage Application Server Plus Edition V6.0L10C」 「TP09494」
    「Interstage Application Server Enterprise Edition V7.0L10」 「T00836-04」
    「Interstage Application Server Standard Edition V7.0L10」 「T00836-04」
    「Interstage Application Server Web-J Edition V7.0L10」 「T00836-04」
    「Interstage Application Server Plus V7.0L10」 「T00836-04」
    「Interstage Application Server Enterprise Edition V7.0L11」 「T00836-04」
    「Interstage Application Server Standard Edition V7.0L11」 「T00836-04」
    「Interstage Application Server Web-J Edition V7.0L11」 「T00836-04」
    「Interstage Application Server Plus V7.0L11」 「T00836-04」
    「Interstage Application Framework Suite Standard Edition 7.0」 「T020LS-06」
    「Interstage Application Framework Suite Web Edition 7.0」 「T020LS-06」
    「Interstage Application Framework Suite Enterprise Edition 7.0.1」 「T020LS-06」
    「Interstage Application Framework Suite Standard Edition 7.0.2」 「T020LS-06」
    「Interstage Application Framework Suite Web Edition 7.0.2」 「T020LS-06」
    「Interstage Application Framework Suite Enterprise Edition V6.0L10」 「TP09494」
    「Interstage Application Framework Suite Standard Edition V6.0L10」 「TP09494」
    「Interstage Application Framework Suite Web Edition V6.0L10」 「TP09494」
    「Interstage Application Framework Suite Web Edition V6.0L10A」 「TP09494」
    「Interstage Application Framework Suite Enterprise Edition V6.0L10B」 「TP09494」
    「Interstage Application Framework Suite Standard Edition V6.0L10B」 「TP09494」
    「Interstage Application Framework Suite Web Edition V6.0L10B」 「TP09494」
    「Interstage Application Framework Suite Enterprise Edition V6.0L10C」 「TP09494」
    「Interstage Application Framework Suite Standard Edition V6.0L10C」 「TP09494」
    「Interstage Application Framework Suite Web Edition V6.0L10C」 「TP09494」
    「Interstage Application Framework Suite Standard Edition V7.0L10」 「T00836-04」
    「Interstage Application Framework Suite Web Edition V7.0L10」 「T00836-04」
    「Interstage Application Framework Suite Standard Edition V7.0L11」 「T00836-04」
    「Interstage Application Framework Suite Web Edition V7.0L11」 「T00836-04」
    「Interstage Apworks Enterprise Edition V6.0L10」 「TP09494」
    「Interstage Apworks Standard Edition V6.0L10」 「TP09494」
    「Interstage Apworks Modelers-J Edition V6.0L10」 「TP09494」
    「Interstage Apworks Enterprise Edition V6.0L10A」 「TP09494」
    「Interstage Apworks Standard Edition V6.0L10A」 「TP09494」
    「Interstage Apworks Modelers-J Edition V6.0L10A」 「TP09494」
    「Interstage Apworks Enterprise Edition V6.0L10B」 「TP09494」
    「Interstage Business Application Server Enterprise Edition 7.0」 「T020LS-06」
    「Interstage Business Application Server Enterprise Edition 7.0.1」 「T020LS-06」
    「Interstage Business Application Server Enterprise Edition 8.0.0」 「T000572SP-03」
    「Interstage Business Application Server Standard Edition 8.0.0」 「T000572SP-03」
    「Interstage Business Application Server Enterprise Edition 8.0.1」 「T000572SP-03」
    「Interstage Job Workload Server 8.1.1」 「T000572SP-03」
• 2007年9月6日 新規掲載