[WebOTX]Apache Tomcat のデフォルトサーブレットにおけるセキュリティマネージャの制限を回避される脆弱性(CVE-2014-0096)への影響と対策について
概要
セキュリティ脆弱性 CVE-2014-0096 が報告されました。
デフォルトサーブレットは、XSLT スタイルシートを適切に制限しないため、第三者により、巧妙に細工された Web アプリケーションを介して、セキュリティマネージャの制限を回避され、任意のファイルを読まれる脆弱性が存在します。
詳細は、以下の URL を参照してください。
影響を受ける条件
細工された Web アプリケーションが配備されている場合に影響を受けます。
影響のある製品
- WebOTX Web Edition V6.1～V6.5
- WebOTX Standard-J Edition V6.1～V6.5
- WebOTX Standard Edition V6.1～V6.5
- WebOTX Enterprise Edition V6.1～V6.5
- WebOTX UDDI Registry V1.1～V7.1
- WebOTX 開発環境 V6.1～V6.5
- WebOTX Developer V7.1～V8.5
- WebOTX Application Server Web Edition V7.1～V8.1
- WebOTX Application Server Standard-J Edition V7.1～V8.1
- WebOTX Application Server Standard Edition V7.1～V8.1
- WebOTX Application Server Enterprise Edition V7.1～V8.1
- WebOTX Application Server Express V8.2～V8.5
- WebOTX Application Server Foundation V8.2～V8.5
- WebOTX Application Server Standard V8.2～V8.5
- WebOTX Application Server Enterprise V8.2～V8.5
- WebOTX Enterprise Service Bus V6.4～V8.5
- WebOTX SIP Application Server Standard Edition V7.1～V8.1
- WebOTX Portal V8.2～V8.5
- WebOTX Application Server Express V9.1～V9.2
- WebOTX Application Server Standard V9.2
- WebOTX Application Server Enterprise V9.2
- WebOTX Portal V9.1
対処方法
パッチの公開時期は現在検討中です。
急ぎでパッチが必要な場合は調整しますのでご相談ください。
回避方法
回避方法はありません。
細工された Web アプリケーションを配備されないように、Web版運用管理コンソールのポート番号（既定値では4848(WebOTX V7以前)、もしくは5858(WebOTX V8以降)）や、運用管理ポート（既定値では6212）に対し、外部からアクセスできないようにする対処(ファイアウォールの設定、もしくはWeb版運用管理コンソールの外部アクセスの無効化(※))を行うことでも対処可能です。
(※)Web版運用管理コンソールの外部アクセスの無効化は、Web版運用管理コンソールの受付アドレスをループバックアドレスに変更することで行えます。
以下にコマンドイメージを記します。
otxadmin > set server.http-service.http-listener.admin-listener.address=127.0.0.1
製品名カテゴリ
WebOTX
WebOTX Application Server
-
コンテンツID：
3010100991
-
公開日：
2014年07月29日
-
最終更新日：2014年07月29日