本文へジャンプ メニューへジャンプ

富士通

ここから本文です

Webjetに同梱しているSUN JREに含まれる、Java Web Start および SUN JRE のセキュリティ問題(JRE1.4.2_16への更新) (2008年1月18日)

本セキュリティサイトについてのご注意

1.背景と問題点

  PRIMERGY、GP5000およびFMVにおいて提供しているソフトウェア製品 Webjet V3.0L10、Webjet V3.0L20 および Webjet V4.0L10 では米国SUN Microsystems社の Java2 Runtime Environment (以降JREと呼びます)を同梱しています。Java2対応版ディスプレイアプレットまたは簡易環境定義機能をご利用になる場合は、JREをインストールする必要があります。


上記のWebjetに同梱しているJREのバージョン：
  • Webjet V3.0L10 : JRE1.3.1
    また、緊急修正(TP09132)にてJRE1.3.1_20 を提供
  • Webjet V3.0L20 : JRE1.3.1 および JRE1.3.1_02
    また、緊急修正(TP19132)にてJRE1.3.1_20 を提供
  • Webjet V4.0L10 : JRE1.4.0_03
    また、緊急修正(TP29132)にてJRE1.4.2_13 を提供
  • Webjet V4.0L10A: JRE1.4.0_03
    また、緊急修正(TP29132)にてJRE1.4.2_13 を提供
  PRIMERGY6000、GP6000において提供しているASP V17 Webjet 、ASP V18 Webjet 、ASP V19 Webjet 、ASP V20 Webjet 、ASP V21 Webjet 、ASP V22 Webjet および ASP V23 WebjetではJREを同梱しています。
  Java2対応版ディスプレイアプレットをご利用になる場合は、JREをインストールする必要があります。

ASP Webjetに同梱しているJREのバージョン：
  • ASP V17 PTF U04012、ASP V18 PTF U04012 および、
    ASP V19 PTF U03091 から U03121: JRE1.4.0_03
  • ASP V17 から V20 PTF U04031 および V21 出荷開始 から U05021 : JRE1.4.2_03
  • ASP V17 から V21 PTF U05031 から U05091: JRE1.4.2_06
  • ASP V20 から V21 PTF U05121 および V22 出荷開始 から U06021 : JRE1.4.2_08
  • ASP V19 から V22 PTF U06031 から U06121 および V23 出荷開始 : JRE1.4.2_10
  • ASP V20 から V23 PTF U07031以降 : JRE1.4.2_13

  これらのJREに以下の脆弱性問題があります。
  • バージョン1.4系のJRE(JRE1.4.2_13 まで)に含まれるJava Web Startの脆弱性により、信頼できないアプリケーションの特権を昇格させる可能性があります。
    例としては、アプリケーションが、自身に対して、Java Web Start を実行中のユーザが利用可能なローカルファイルの読み込みや書き込みの権限を与える可能性があります。

    この問題は以下のSun Alertに該当します。
  • バージョン1.3系のJRE(JRE1.3.1_20 まで)およびバージョン1.4(JRE1.4.2_14 まで)系のJREに2つの脆弱性があります。
    • JRE の image parsing code におけるバッファオーバーフローの脆弱性は信頼できないアプレット、または、アプリケーションの特権を昇格させる可能性があります。

      例えば、アプレットが自身に、信頼できないアプレットを実行中のユーザがアクセス可能な、ローカルファイルへのread、write権限、またはローカルアプリケーションの実行権限を与える可能性があります。
    • 信頼できないアプレット、またはアプリケーションが、Java 仮想マシンのハングを引き起こす可能性があります。

    この問題は以下のSun Alertに該当します。
  • バージョン1.4系のJRE(JRE1.4.2_14 まで)アプレットクラスローダのセキュリティ脆弱性により、リモートシステムからロードされた信頼されないアプレットが、ネットワークアクセス制御を迂回し、あたかもアプレットが動作しているシステムからロードされたかのように、ローカルホストで動作している信頼できるサービスへ接続することを許可される可能性があります。
    この状況により、信頼されないアプレットは、それ自身が接続したサービスに存在するあらゆるセキュリティの脆弱性を利用できるようになる可能性があります。

    この問題は以下のSun Alertに該当します。
  • バージョン1.4系のJRE(JRE1.4.2_11 から JRE1.4.2_14)に含まれる Java Secure Socket Extension(JSSE)は、SSL/TLS ハンドシェイク要求を正しく処理しません。この脆弱性は、SSL/TLSをサポートする JSSE を使用して、SSL/TLS 接続をリッスンするサーバの、システム全体において、サービス妨害(DoS)状態を作るために悪用される可能性があります。

    この問題が悪用されて、システムにサービス妨害が発生した場合、JSSEを使用するプロセスが過剰な量のCPUを消費し、システムの処理が遅くなり、無反応となります。

    この問題は以下のSun Alertに該当します。
  • バージョン1.4系のJRE(JRE1.4.2_14 まで)のフォント解析コードの脆弱性は、信頼されないアプレットに特権昇格を許可する可能性があります。例えば、あるアプレットが自身に、信頼されないアプレットを実行しているユーザがアクセス可能な、ローカルファイルへのread 、write権限、またはローカルアプリケーションの実行権限を与える可能性があります。

    この問題は以下のSun Alertに該当します。
  • バージョン1.3系のJRE(JRE1.3.1_20 まで)およびバージョン1.4系のJRE(JRE1.4.2_15 まで)に以下の脆弱性があります。
    信頼されないアプレットやJavaアプリケーションがウィンドウを表示したとき、JREはアプレットまたはアプリケーションが信頼されていないことを示すために、ウィンドウ内に警告バナーを含めています。このJREの脆弱性は悪意あるサイトからダウンロードされた信頼されないアプレットまたはアプリケーションに対してディスプレイのサイズを超えたウィンドウ表示を許可する可能性があります。そのため、警告バナーが隠される可能性があります。

    この問題は以下のSun Alertに該当します。
  • バージョン1.3系のJRE(JRE1.3.1_20 まで)およびバージョン1.4系のJRE(JRE1.4.2_15 まで)の脆弱性が、信頼されていないJava Web StartのアプリケーションまたはJavaアプレットに対し、アプリケーションまたはアプレットを使用しているユーザに、アプリケーションまたはアプレットのウィンドウからシステム上のファイルへのacceptおよびwrite権限があるデスクトップのアプリケーションにファイルをドラッグすることを要求することによって、アプリケーションまたはアプレットが動作しているシステム上の任意のファイルをコピーまたは移動することを許可する可能性があります。

    この脆弱性を利用するためには、アプリケーションまたはアプレットはユーザにドラッグやドロップを実行するよう首尾よく導かなければなりません。

    この問題は以下のSun Alertに該当します。
  • バージョン1.4系のJRE(JRE1.4.2_15 まで)に含まれるJava Web Startに2つの脆弱性があります。
    • Java Web Startの脆弱性が、信頼されないアプリケーションに、信頼されていないアプリケーションを実行しているユーザが容易にアクセスできるローカルファイルに対して読込みを許可する可能性があります。
    • Java Web Startの脆弱性が、信頼されないアプリケーションに、Java Web Start キャッシュの位置を決定することを許可する可能性があります。

    この問題は以下のSun Alertに該当します。
  • バージョン1.3系のJRE(JRE1.3.1_20 まで)およびバージョン1.4系のJRE(JRE1.4.2_15 まで)に2つの 脆弱性があります。
    • JREの脆弱性は、悪意あるWebサイトからブラウザによってダウンロードされた悪意あるJavaScriptコードに対し、Java APIを通して、JavaScriptコードがダウンロードされたマシン上とは他のマシンのネットワークサービスへの接続を許可する可能性があります。
      これによって、通常アクセスが容易でないネットワークリソース(Webページなど)や脆弱性(接続したネットワークサービスに存在するもの)へのアクセスや利用が許可される可能性があります。
    • JREの脆弱性は、信頼されないアプレットに対し、Proxy経由で悪意あるサイトからダウンロードされた信頼されないアプレットに対し、アプレットがダウンロードされたマシンとは他のマシンのネットワークサービスへの接続を許可する可能性があります。
      これによって、通常アクセスが容易でないネットワークリソース(Webページなど)や脆弱性(接続したネットワークサービスに存在するもの)へのアクセスや利用が許可される可能性があります。

    この問題は以下のSun Alertに該当します。
  • バージョン1.3系のJRE(JRE1.3.1_20 まで)およびバージョン1.4系のJRE(JRE1.4.2_15 まで)に以下の脆弱性があります。
    アプレットキャッシュ機能を伴うJREの脆弱性により、悪意あるサイトからダウンロードされた信頼されないアプレットがアプレットをダウンロードしたマシンとは他のマシンのネットワークサービスに接続することを許可される可能性があります。
    これによって、通常アクセスが容易でないネットワークリソース(Webページなど)や脆弱性(接続したネットワークサービスに存在するもの)へのアクセスや利用が許可される可能性があります。


    この問題は以下のSun Alertに該当します。
  • バージョン1.3系のJRE(JRE1.3.1_20 まで)およびバージョン1.4系のJRE(JRE1.4.2_15 まで)のJREの仮想マシンの脆弱性により、信頼されないアプレットに対して権限昇格を許可する可能性があります。例えば、アプレットが自身に、信頼できないアプレットを実行中のユーザがアクセス可能な、ローカルファイルへのread 、write権限、またはローカルアプリケーションの実行権限を与える可能性があります。


    この問題は以下のSun Alertに該当します。
  • バージョン1.4系のJRE(JRE1.4.2_13 まで)に含まれるJava Web Startの脆弱性により、信頼できないアプリケーションに対して、そのアプリケーションを実行しているユーザが書き込み可能な任意のファイルを上書きする権限を与える可能性があります。書き込み可能なファイルとして、ユーザの.java.policyファイルがあります。.java.policyファイルは、アプリケーションに対して、信頼できないアプリケーションを実行しているユーザの権限で任意のコードを実行することができるアプレットやJava Web Startアプリケーションを呼び出すことを許可することができます。


    この問題は以下のSun Alertに該当します。

Webjetについては以下のページを参照してください。
http://software.fujitsu.com/jp/webjet/

富士通は、3.に示すセキュリティパッチを提供していますので、早急に適用する様にお願いします。


2. 一時的な回避方法

  • バージョン1.4系のJREに含まれるJava Web Startの脆弱性に対する回避方法
    この問題を回避するために、信頼できないアプリケーションと一緒に Java Web Start を使用することを避けてください。
    また、以下の手順に従って、一時的に Java Web Start との関連付けを無効にすることもご検討ください。

    Internet Explorer の場合
    • Windowsの「スタートボタン」を右クリックし、「エクスプローラ」を選択
    • 「エクスプローラ」のメニューの「ツール」－「フォルダオプション」を選択
    • 「ファイルの種類」タブ画面の「登録されているファイルの種類」でスクロールダウンし、「JNLP File」を選択
    • 「削除」ボタンをクリック
    Netscape/ Mozilla の場合
    • ブラウザの「編集」メニューで「設定」を選択
    • 「設定」ウィンドウの「Navigator」カテゴリで「サポートアプリケーション」を選択
    • 「ファイルタイプ」でスクロールダウンし、「application/x-java-jnlp-file」を選択
    • 「削除」ボタンをクリック
  • バージョン1.3系のJREおよびバージョン1.4系のJREの脆弱性に対する回避方法
    Webjetのサーバおよびクライアントマシン上で、信頼できるWebページ以外にアクセスしないでください。信頼できるWebページ以外にアクセスする場合は、使用するブラウザでJREが無効になるよう設定(注1)してセキュリティの問題を回避してください。
    (注1)Windowsのコントロールパネルで、Java Plug-inのアイコンをダブルクリックして、Java(TM) Plug-in コントロールパネルを起動し、[ブラウザ]パネルで設定します。

    特に、バージョン1.3系のJREは Sun Microsystems社のサポートが終了しています。
    Windows版 Webjet V3.0L10 または Webjet V3.0L20 を使用し、この回避方法を実施できない場合、バージョン1.3系のJREをアンインストールし、簡易環境定義機能を使用しないでください。

3. 該当システム・パッチ情報


該当システム
PRIMERGY, GP5000, FMV, PRIMERGY6000, GP6000


製品名 対象OS パッケージ名 Patch ID
Webjet V3.0L10(緊急修正TP09132を含む) Windows NT 4.0 Server
Windows 2000 Server		 － －
Webjet V3.0L20(緊急修正TP19132を含む) Windows NT 4.0 Server
Windows 2000 Server		 － －
Webjet V4.0L10/ V4.0L10A
(緊急修正TP29132を含む)		 Windows NT 4.0 Server
Windows 2000 Server
Windows Server 2003		 － ダウンロードデータTP09451 (TP09451.exe:14MB)
ASP V17 Webjet ASP V17
(PTF U04012以降)		 － (注2)
ASP V18 Webjet ASP V18
(PTF U04012以降)		 － (注2)
ASP V19 Webjet ASP V19
(PTF U03091以降)		 － N7295(注1)
ASP V20 Webjet ASP V20 － (注2)
ASP V21 Webjet ASP V21 － N7252, N7295(注1)
ASP V22 Webjet ASP V22 － N7252, N7295(注1)
ASP V23 Webjet ASP V23 － N7252, N7295(注1)

注1：
ASP定期修正U07121にて提供予定です。
PRIMERGY 6000会員サービス の会員の方は、
■本製品のサポート - PRIMERGY 6000 : 富士通：http://primeserver.fujitsu.com/primergy6/open/support/ の“ASP 修正情報”のリンクからログインし、参照してください。
会員でない方は、お手数ですがサポート窓口にお問い合わせください。

注2：
ASP V17、V18およびV20をご利用の方も、定期修正U07121のCD-ROMを入手し、定期修正に同梱されたJREをご利用ください。

4. 改版履歴


  • 2008年1月18日 新規掲載

ページの先頭へ

ここからサイト内共通メニューです

Copyright FUJITSU

ページの終わりです