Interstage Application ServerにおけるWebアプリケーションのルートパス開示の脆弱性について (2007年10月9日)

---

本セキュリティサイトについてのご注意

1.背景と問題点

Tomcat 4.1ベースのServletサービスにおいて、Webアプリケーションのルートパス開示の脆弱性が確認されました。

本脆弱性を利用すると、リモートの攻撃者のリクエストに対し、Webアプリケーションのルートパス（ドキュメントルートの物理パス）を含むエラーページが返却される可能性があります。

富士通は、2.に回避方法を示していますので、早急に対応願います。

Interstage製品については以下のページを参照してください。
http://interstage.fujitsu.com/jp/products/

2. 回避方法

IJServerワークユニットの環境設定において、下記JavaVMオプション(注1)を追加してください。
    -Dsun.io.useCanonCaches=false

    (注1)以下の入力フォームに指定します。
        - Interstage管理コンソール
          - Interstage Application Server
            - システム
              - ワークユニット
                - [ワークユニット（IJServer）名]
                  - 環境設定
                    - ワークユニット設定
                      - JavaVMオプション

なお、当社では本脆弱性をTomcat 4.1ベースのServletサービスの問題として認識しておりますが、JavaVMオプションの設定有無による問題であるため、次期バージョンでの修正を予定しております。

3. 該当システム・パッチ情報

・Interstage Application Framework Suite
・Interstage Application Server
・Interstage Apworks/Studio
・Interstage Business Application Server
・Interstage Web Server

(注2)パッチ情報につきましては、「2. 回避方法」を参照願います。

4. 改版履歴

• 2007年10月9日 新規掲載