お知らせ

[WebOTX] Apache Tomcat Native の複数の脆弱性(JVNVU#99687822)による影響と対策について

概要

Apache Tomcat Native には、次の脆弱性が存在します。

JVNVU#99687822

CVE-2018-8019
CVE-2018-8020

WebOTX Application Server では、aprリスナのためにApache Tomcat Native を提供しています。
WebOTX Application Server は、上記Apache Tomcat Native の脆弱性の影響があります。

影響のある製品

次の製品が該当し、それらがサポートする全てのOSで影響があります。

WebOTX Application Server Express V10.11～V10.12
WebOTX Application Server Standard V10.11～V10.12
WebOTX Portal V10.1
WebOTX Enterprise Service Bus V10.1

詳細

【CVE-2018-8019】

[脆弱性の影響]
不正な OCSP レスポンスが適切に処理されない問題があり、失効した証明書を用いたユーザが認証されてしまう可能性があります。

[脆弱性に該当する条件]
次の条件を全て満たす場合に影響があります。

a.	HTTPSでクライアント認証を行う。
b.	HTTPS用のリスナプロトコルとして、種別が"apr"のJavaベースの内蔵Webサーバを利用している。確認方法利用しているリスナを確認します。 otxadmin> get server.http-service.virtual-server.server.network-listeners 設定されている{リスナ名}の一覧が表示されるため、それぞれについて確認します。 "tpsystem-ajp-listener"の場合: 影響無し "agent-ajp-listener"の場合 : 影響無し "http-listener-1"の場合 : 影響無し "http-listener-2"の場合 : 2へ上記以外の場合 : 2へリスナが有効か確認します。 otxadmin> get server.network-config.network-listeners.network-listener.{リスナ名}.enabled "false" の場合: 影響なし "true" の場合 : 3へプロトコルの種別が"apr"かつSSLを利用しているか確認します。 otxadmin> get server.network-config.network-listeners.network-listener.{リスナ名}.protocol 表示された{プロトコル名}で以下を確認します。 otxadmin> get server.network-config.protocols.protocol.{プロトコル名}.type otxadmin> get server.network-config.protocols.protocol.{プロトコル名}.security-enabled typeが"apr" かつ security-enabledが"true" の場合: 影響あり上記以外の場合 : 影響無し
c.	クライアントのCA証明書やクライアント証明書に、OCSPを利用してステータスをチェックするための情報が含まれている。確認方法 Windowsの場合 %JAVA_HOME%\bin\keytool -printcert -file {証明書ファイル名} その他のOSの場合 ${JAVA_HOME}/bin/keytool -printcert -file {証明書ファイル名} OCSPを利用してステータスをチェックするための情報は証明書拡張領域の以下に存在します。 ObjectId: 1.3.6.1.5.5.7.1.1 AuthorityInfoAccess [ [ accessMethod: ocsp accessLocation: URIName: {OCSPレスポンダのURL} ] ]

【CVE-2018-8020】

[脆弱性の影響]
OCSP レスポンスに含まれる証明書のステータス情報が適切にチェックされない問題があり、失効した証明書を用いたユーザが認証されてしまう可能性があります。

[脆弱性に該当する条件]
【CVE-2018-8019】に同じ。

対処方法

本件の問題に対応する累積パッチの公開時期は現在検討中です。
急ぎでパッチが必要な場合はご連絡ください。

回避方法

【CVE-2018-8019/CVE-2018-8020 共通】
WebサーバをWebOTX Webサーバに変更し、失効した証明書の確認にCRL(証明書失効リスト)ファイルを利用する事で回避可能です。
CA(認証局)から提供されるCRLファイルを取得して、以下の設定を行ってください。
※Webサーバの変更によりWebアプリケーションの動作に影響が出る事がありますので、試験環境での十分な評価をお願いします。

□WebOTX Webサーバの設定変更

運用管理コマンドにログインします。

otxadmin> login --user <ユーザ名> --password <パスワード> --host <ホスト名> --port <対象ドメインのポート番号>
SSLの使用を有効にします。

otxadmin> set server.WebServer.security-enabled=true
HTTP/2を利用している場合は、WebOTX WebサーバのHTTP/2使用を有効にします。

otxadmin> set server.WebServer.http2-enabled=true
SSL関連の設定を行います。
- 設定ファイル
  <ドメインディレクトリ>/WebServer/ssl.conf
- 設定内容
  # サーバ証明書用の設定
  SSLCertificateFile "＜種別が"apr"の内蔵Webサーバで利用していたサーバ証明書ファイルのパス＞" SSLCertificateKeyFile "＜種別が"apr"の内蔵Webサーバで利用していた秘密鍵ファイルのパス＞"
  # クライアント認証用の設定
  <Location ＜クライアント認証を行うURI＞>
  SSLVerifyClient require
  SSLOptions +ExportCertData
  </Location>
  SSLCACertificateFile "＜種別が"apr"の内蔵Webサーバで利用していたCA証明書ファイルのパス＞"
  
  # 証明書失効対応用の設定
  SSLCARevocationCheck chain
  SSLCARevocationFile "＜CAから取得したCRLファイルのパス＞"

□Webコンテナの設定変更

リスナをエージェントプロセスでWebコンテナ外部のWebサーバを利用する設定に変更します。

otxadmin> login --user <ユーザ名> --password <パスワード> --host <ホスト名> --port <対象ドメインのポート番号>
otxadmin> set server.http-service.virtual-server.server.network-listeners=agent-ajp-listener
otxadmin> set server.network-config.network-listeners.network-listener.agent-ajp-listener.enabled=true
初期設定ツールでWebOTX WebサーバとWebコンテナを連携設定します。
起動方法
- Windows:
  スタートメニュー > WebOTX 10.x > 初期設定ツール
- その他のOS:
  # <WebOTXインストールディレクトリ>/bin/setconf.sh

更新履歴

2019/04/26 初版

本サイトについてのご注意

弊社製品に関する正確なセキュリティ情報をご提供するよう努力しておりますが、それぞれの情報におきまして内容を予告なく変更することがありますので、あらかじめご了承ください。
本サイトに掲載した製品には他社の製品も含まれており、これらの製品の情報につきましては、他社から提供または公開された情報を基にしております。最新の情報につきましては製品開発元の情報を参照してください。
本サイトは弊社製品のセキュリティ情報の提供を目的としております。掲載情報に従い対応を行った（あるいは行わなかった）結果につきまして、弊社では責任を負いかねますのでご了承ください。

セキュリティ問題に関する情報は変化しておりますので、お客様には常に最新の情報をご確認いただけますようお願い申し上げます。

製品名カテゴリ

WebOTX
WebOTX Application Server
WebOTX Service Integration
WebOTX Portal

コンテンツID： 3010102745
公開日： 2019年05月10日
最終更新日：2019年05月10日

ページの先頭へ戻る