Interstage HTTP Server: 2件のセキュリティ脆弱性(CVE-2011-3368/ CVE-2011-0419) (2013年11月26日)

本セキュリティサイトについてのご注意

1. 脆弱性の説明

1. Interstage HTTP Serverのリバースプロキシ機能を利用した場合、リモートから任意のホストへアクセスされる脆弱性の問題が確認されました。
   本脆弱性問題は、CVE-2011-3368に該当します。
   
   ただし、以下の条件に合致しない場合は、本脆弱性問題の影響を受けません。
   1. 環境定義ファイル(httpd.conf)において、RewriteRuleディレクティブの"[P]"により、リバースプロキシ機能を利用している、かつ
   2. リバースプロキシ機能による接続先ホスト名（例：images.example.com）の直後に$N(N:1から9までの数値)が設定されている場合。
      
      例) RewriteRule (.*)\.(jpg|gif|png) http://images.example.com$1.$2 [P]
2. Interstage HTTP Serverのディレクトリリスト自動生成機能において、サービス運用妨害(DoS)となる脆弱性の問題が確認されました。
   本脆弱性問題は、CVE-2011-0419に該当します。
   
   ただし、以下の条件に合致しない場合は、本脆弱性問題の影響を受けません。
   1. 環境定義ファイル(httpd.conf)において、Optionsディレクティブに"Indexes"が設定されている、かつ
   2. 環境定義ファイル(httpd.conf)において、IndexOptionsディレクティブに"IgnoreClient"が設定されていない、かつ
   3. Interstage HTTP Server上で公開するコンテンツにおいて、ファイル名の長いファイル（目安：50バイト以上）が存在する場合。

Interstageについては以下のページを参照してください。
http://www.fujitsu.com/jp/products/software/middleware/business-middleware/interstage/

富士通は、3.に示すセキュリティパッチを提供していますので、早急に適用するようにお願いします。

2. 脆弱性のもたらす脅威

1. リモートの攻撃者から細工されたリクエストが送信されることにより、任意のホストへ不正にアクセスされる可能性があります。
2. リモートの攻撃者から細工されたリクエストが送信されることにより、Webサーバ上のCPUを大量に消費し、サービス運用妨害(DoS)となる可能性があります。

3. 該当システム・対策情報

3-1.該当システム

GP7000F, PRIMEPOWER, GP-S, PRIMERGY, GP5000, CELSIUS, FMVシリーズ, AT互換機, PRIMEQUEST, SPARC Enterprise

3-2.該当製品・対策Patch

・Interstage Application Framework Suite
・Interstage Application Server
・Interstage Apworks
・Interstage Business Application Server
・Interstage Job Workload Server
・Interstage Studio
・Interstage Web Server
・Systemwalker Resource Coordinator

[※a] CVE-2011-3368の影響を受けます。後述する回避方法 a に対応しています。
[※b] CVE-2011-0419の影響を受けます。後述する回避方法 b に対応しています。

パッチ入手に関しては、当社サポートセンターにお問い合わせください。

参考: 該当製品の確認方法

製品のバージョンを確認するには、製品に添付されている「ソフトウェア説明書」を参照してください。

3-3. 回避方法

1. 環境定義ファイル(httpd.conf)において、RewriteRuleディレクティブのURLパターンの先頭と接続先ホスト名（例：images.example.com）の直後に"/"を設定し、回避してください。
   編集後は、Interstage HTTP Serverを再起動する必要があります。
   
   [編集前]
       例) RewriteRule (.*)\.(jpg|gif|png) http://images.example.com$1.$2 [P]
   
   [編集後]
       例) RewriteRule /(.*)\.(jpg|gif|png) http://images.example.com/$1.$2 [P]
2. 以下のいずれかの方法で回避してください。
   1. 環境定義ファイル(httpd.conf)において、Optionsディレクティブに"Indexes"が設定されている場合は、"Indexes"を削除することで、ディレクトリリスト自動生成機能を無効にします。
      編集後は、Interstage HTTP Serverを再起動する必要があります。
   2. 環境定義ファイル(httpd.conf)において、IndexOptionsディレクティブに"IgnoreClient"を設定することで、リクエストのクエリを無効にします。
      編集後は、Interstage HTTP Serverを再起動する必要があります。
   3. Interstage HTTP Server上で公開するコンテンツにおいて、ファイル名の長いファイルが存在する場合は、短いファイル名（目安：50バイト未満）に変名します。

4. 関連情報

1. CVE-2011-3368
   The mod_proxy module in the Apache HTTP Server 1.3.x through 1.3.42, 2.0.x through 2.0.64, and 2.2.x through 2.2.21 does not properly interact with use of (1) RewriteRule and (2) ProxyPassMatch pattern matches for configuration of a reverse proxy, which allows remote attackers to send requests to intranet servers via a malformed URI containing an initial @ (at sign) character.
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3368
   JVNDB-2011-002351
   Apache HTTP Server の mod_proxy モジュールにおけるイントラネットサーバにリクエストを送信される脆弱性
   http://jvndb.jvn.jp/ja/contents/2011/JVNDB-2011-002351.html
2. CVE-2011-0419
   Stack consumption vulnerability in the fnmatch implementation in apr_fnmatch.c in the Apache Portable Runtime (APR) library before 1.4.3 and the Apache HTTP Server before 2.2.18, and in fnmatch.c in libc in NetBSD 5.1, OpenBSD 4.8, FreeBSD, Apple Mac OS X 10.6, Oracle Solaris 10, and Android, allows context-dependent attackers to cause a denial of service (CPU and memory consumption) via *? sequences in the first argument, as demonstrated by attacks against mod_autoindex in httpd.
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0419
   JVNDB-2011-001638
   Apache Portable Runtime ライブラリなどの製品で使用される apr_fnmatch.c および fnmatch.c におけるサービス運用妨害 (CPU とメモリ消費) の脆弱性
   http://jvndb.jvn.jp/ja/contents/2011/JVNDB-2011-001638.html

5. 改版履歴

• 2013年11月26日 第3版
  • 「3-2. 該当製品・対策Patch」のPatch IDを修正しました。
• 2012年2月20日 第2版
  • Patch提供開始に伴い、「3-2. 該当製品・対策Patch」にPatch IDを記載しました。
  • 「3-2. 該当製品・対策Patch」にいくつかの影響製品を追加しました。
• 2011年10月19日 新規掲載