Apache Tomcat には、次の複数の脆弱性が存在します。

• CVE-2016-8745

WebOTX AS では、Servlet/JSPエンジンとしてTomcatをベースにしたWebコンテナを提供しています。 WebOTX AS は、上記Apache Tomcatの脆弱性の影響があります。

【CVE-2016-8745】

次の製品が該当し、それらがサポートする全てのOSで影響があります。

• WebOTX Application Server Express V9.1～V9.4
• WebOTX Application Server Standard V9.2～9.4
• WebOTX Application Server Enterprise V9.2～9.5
• WebOTX Developer V9.1～V9.5
• WebOTX Portal V9.1～V9.2

(※)WebOTX Enterprise Service Bus V9.2～V9.3、および、 WebOTX Portal V9.1～V9.3にバンドルされている WebOTX Application Server Expressを使用している場合にも 該当します。

【CVE-2016-8745】

[脆弱性の影響]
SendFile機能のエラー処理に問題があり、複数のリクエストが同時に実行された場合にセッション ID やレスポンス情報が漏えいする可能性があります。

[脆弱性に該当する条件]
次の条件を全て満たす場合に影響があります。

• Javaベースの内蔵Webサーバを利用している
• 「NIO」プロトコルを利用している(*1)
　Web版統合運用管理コンソールで確認する場合：
　Web版統合運用管理コンソールで左のツリーから次のノードを確認します。
　アプリケーションサーバ > ネットワーク構成 > プロトコル構成 > protocol > HTTPリスナ > プロトコルの種類
　アプリケーションサーバ > ネットワーク構成 > プロトコル構成 > protocol > HTTPSリスナ > プロトコルの種類

　値が「http(nio)」であれば「NIO」プロトコルを利用しています。

　運用管理コマンドで確認する場合：
　次の運用管理コマンドを実行して結果を確認します(*2)。
　otxadmin > get -u admin -w adminadmin server.network-config.protocols.protocol.http-listener.type
　otxadmin > get -u admin -w adminadmin server.network-config.protocols.protocol.https-listener.type

　値が「nio」であれば「NIO」プロトコルを利用しています。

　(*1) デフォルトでは「NIO」プロトコルは利用されていません。
　(*2) -w オプションは運用管理ユーザのパスワードです。実際の環境に合わせて指定してください。


• Webアプリケーションで、SendFile機能を利用している

パッチの公開時期は現在検討中です。

急ぎでパッチが必要な場合は調整しますのでご相談ください。

(注意) パッチモジュールは製品保守契約を結んでいただいたお客様に限定して提供させていただいています。 まだ契約がお済みでないお客様は、保守契約締結の後、ダウンロードをお願いいたします。

【CVE-2016-8745】

Javaベースの内蔵Webサーバで「NIO」プロトコル以外のプロトコルに変更する、または利用するWebサーバをWebOTX WebサーバやIIS等の外部Webサーバに変更する事で回避可能です。

2018/09/18 初版

1. 弊社製品に関する正確なセキュリティ情報をご提供するよう努力しておりますが、 それぞれの情報におきまして内容を予告なく変更することがありますので、 あらかじめご了承ください。

2. 本サイトに掲載した製品には他社の製品も含まれており、 これらの製品の情報につきましては、 他社から提供または公開された情報を基にしております。 最新の情報につきましては製品開発元の情報を参照してください。

3. 本サイトは弊社製品のセキュリティ情報の提供を目的としております。 掲載情報に従い対応を行った（あるいは行わなかった）結果につきまして、 弊社では責任を負いかねますのでご了承ください。

セキュリティ問題に関する情報は変化しておりますので、 お客様には常に最新の情報をご確認いただけますようお願い申し上げます。