Apache Commons FileUpload 1.3 から 1.3.1 および 1.2 から 1.2.2には以下の脆弱性が存在します。

• マルチパートリクエストの処理に起因する、サービス運用妨害 (DoS) 攻撃を受ける脆弱性

• WebOTX Application Server Web Edition V8.1
• WebOTX Application Server Standard-J Edition V8.1
• WebOTX Developer V8.1
• WebOTX Application Server Express V8.2～V9.4
• WebOTX Application Server Standard V8.2～V9.4
• WebOTX Application Server Enterprise V8.2～V9.4
• WebOTX Developer(with Developer's Studio) V8.2～V9.4
• WebOTX Portal V8.41～V9.3

■CVE-2016-3092の脆弱性の影響

サービス運用妨害(DoS)攻撃を受ける可能性があります。また、不正なリクエストを処理することで 対象サーバのCPUリソースが枯渇する可能性があります。

■WebOTXの以下の機能でApache Commons FileUploadを使用しています。

• Web版統合運用管理コンソール(Ajax版)
• Servlet 3.0 ファイルアップロード機能
• WebOTX Portalが提供するメニューポートレット、お知らせポートレット

■WebOTX Application Server、WebOTX Developer、WebOTX Portal

本脆弱性を修正したパッチを順次公開いたします。
パッチ公開までは、回避方法に記載されている手順を実施してください。

内蔵Webサーバ、外部Webサーバのどちらを使用しているかで対処方法が変更となります。 以下の手順で内蔵Webサーバ、外部Webサーバのどちらを使用しているか確認してください。
WebOTX Developerの場合には、同梱しているテスト用サーバに対して対処を行ってください。
WebOTX Portalの場合は、同梱している実行サーバに対して対処を行ってください。

1. WebOTX Application Server を起動
   
2. 使用しているWebサーバの種類の確認
   • WebOTX V8を使用している場合
     1. 使用しているhttp-listenerの確認
        otxadmin > get server.http-service.virtual-server.server.http-listeners
     2. a. で取得したhttp-listenerに対して有効/無効の確認を行います。(※)
        otxadmin > get server.http-service.http-listener.[http-listener名].enabled
        例：
        otxadmin > get server.http-service.http-listener.http-listener-1.enabled
        

        (※)	a. の結果で表示されたhttp-listenerに対してのみ実施します。

     3. b. の結果がtrueとなったhttp-listenerが使用されています。
   • WebOTX V9を使用している場合
     1. 使用しているhttp-listenerの確認
        otxadmin > get server.http-service.virtual-server.server.network-listeners
     2. a. で取得したhttp-listenerに対して有効/無効の確認を行います。※
        otxadmin > get server.network-config.network-listeners.network-listener.[http-listener名].enabled
        例：
        otxadmin > get server.network-config.network-listeners.network-listener.http-listener-1.enabled
        

        (※)	a. の結果で表示されたhttp-listenerに対してのみ実施します。

     3. b. の結果がtrueとなったhttp-listenerが使用されています。
3. 使用しているWebサーバの判別方法
   http-listener-1、http-listener-2、admin-listenerのいずれかまたはすべてがtrueの場合は内蔵Webサーバを使用しています。
   ajp-listener-1がtrueの場合は外部Webサーバが使用されています。

• 内蔵Webサーバを使用している場合の対処方法
  以下では内蔵Webサーバを使用している場合の対処方法をバージョンごとに記載いたします。
  1. WebOTX Application Serverを起動
  2. 最大HTTPヘッダサイズを設定
     • V8.1の場合
       otxadmin > set server.http-service.http-listener.[http-listener名].buffer-size=<size>(※1)(※2)
     
     
     • V8.2～V8.4の場合
       otxadmin > set server.http-service.http-listener.[http-listener名].property.maxHttpHeaderSize=<size>(※1)(※2)
       ただし、V8.2の場合は「8.22.01.00」パッチの適用が必要になります。
     
     
     • V9.1～V9.4の場合
       otxadmin > set server.network-config.protocols.protocol.http-listener.http.header-buffer-length-bytes=<size>(※2)
       otxadmin > set server.network-config.protocols.protocol.admin-listener.http.header-buffer-length-bytes==<size>(※2)
  3. 設定反映のためWebOTX Application Serverを再起動


• 外部Webサーバを使用している場合の対処方法
  外部Webサーバをご使用の環境での対処方法を以下に記載いたします。
  1. WebOTX Application Serverを停止
  2. 以下のファイルをエディタで開く
     {ドメインディレクトリ}/config/WebServer/httpd.conf (※3)
  3. 以下の定義を追記
     LimitRequestFieldSize <size> (※2)
  4. WebOTX Application Serverを起動


• ご使用のアプリケーションで使用するHTTPヘッダの最大値が2048バイトよりも大きい場合以下の対処をお願いします。
  • FirewallでWeb版統合運用管理コンソール(Ajax版)への外部からのアクセスを遮断
  • アプリケーションがWebOTX Application Serverが提供するServlet 3.0 ファイルアップロード機能をご使用の場合、アプリケーションに脆弱性が修正されたApache Commons FileUpload 1.3.2以降を含めてください。

• ご利用のWebアプリケーションが脆弱性のあるApache Commons FileUploadを利用している場合、ご利用のWebOTXの製品、バージョンに関係なく、該当のWebアプリケーションについて対策が必要となります。 脆弱性が修正されたApache Commons FileUpload 1.3.2以降を使用してください

• 2016/07/22 初版

1. 弊社製品に関する正確なセキュリティ情報をご提供するよう努力しておりますが、 それぞれの情報におきまして内容を予告なく変更することがありますので、 あらかじめご了承ください。

2. 本サイトに掲載した製品には他社の製品も含まれており、 これらの製品の情報につきましては、 他社から提供または公開された情報を基にしております。 最新の情報につきましては製品開発元の情報を参照してください。

3. 本サイトは弊社製品のセキュリティ情報の提供を目的としております。 掲載情報に従い対応を行った（あるいは行わなかった）結果につきまして、 弊社では責任を負いかねますのでご了承ください。

セキュリティ問題に関する情報は変化しておりますので、 お客様には常に最新の情報をご確認いただけますようお願い申し上げます。