Interstage Application Server: Javadocで生成したHTML内のフレームインジェクションに関する脆弱性(CVE-2013-1571) (2013年11月5日)

本セキュリティサイトについてのご注意

1. 脆弱性の説明

JDKのjavadocコマンドで作成したHTMLファイルのフレーム内に、任意のコンテンツを挿入されてしまう脆弱性があります。
本脆弱性問題は、CVE-2013-1571に該当します。

Interstageについては以下のページを参照してください。
http://www.fujitsu.com/jp/products/software/middleware/business-middleware/interstage/

2. 脆弱性のもたらす脅威

リモートの攻撃者により、javadocコマンドで作成し公開したHTMLファイルを改ざんされ、悪意あるWebサイトへ導かれてしまう可能性があります。

3. 該当システム・対策情報

3-1.該当システム

PRIMEQUEST, PRIMERGY, GP5000, CELSIUS, FMV, PRIMEPOWER, GP7000F, GP-S, 富士通S Series, SPARC Enterprise(APL), SPARC M10

3-2.該当製品・対策Patch

注意） 本脆弱性の対処として、HTMLファイルを変換する必要があります。
変換方法については、「3-3. 回避方法」を適用願います。
パッチ入手に関しては、当社サポートセンターにお問い合わせください。

参考: 該当製品の確認方法

製品のバージョンは、製品に添付されている「ソフトウェア説明書」で確認してください。

3-3. 回避方法

• 以下の製品に同梱されたJDKのjavadocコマンドで作成した、HTMLファイルに影響があります。
  • Interstage Application Framework Suite
  • Interstage Application Server
  • Interstage Apworks
  • Interstage Business Application Server
  • Interstage Job Workload Server
  • Interstage Studio
  • Interstage Web Server
  • Interstage Web Server Express
  以下の手順で、HTMLファイルの変換を行ってください。
  1. 以下のURLからJavadocUpdaterTool.zip (Java API Documentation Updater Tool)をダウンロードしてください。
     Java API Documentation Updater Tool
     ダウンロードしたJavadocUpdaterTool.zipを解凍すると、以下のファイルがJavadocUpdaterTool-1_2_2013フォルダまたはディレクトリ配下に展開されます。
     • JavadocFixTool.java
     • JavadocUpdaterTool.jar
     • LICENSE
     • README
  2. 任意のフォルダまたはディレクトリに、javadocコマンドで作成した、HTMLファイルを格納してください。
     (以降、HTMLファイルを格納したフォルダまたはディレクトリを、<Path>で表記します。)
     なお、万一の場合に備えて、事前にHTMLファイルはバックアップしておいてください。
  3. ダウンロードしたツールを実行するJDKのバージョンにより、手順が異なります。
     • [JDK7で実行する場合]
       java -jar JavadocUpdaterTool.jar -R -C <Path>
       を実行し、
       Vulnerable file found: "問題のあるHTMLファイル名"
       が表示された場合は、以下を実行してください。
       java -jar JavadocUpdaterTool.jar -R <Path>
       以下が表示されると、HTMLファイルの修正は完了です。
       Patching file: "問題のあるHTMLファイル名"
       なお、修正前のHTMLファイルには、拡張子".orig"が追加されて<Path>配下に保存されますので、不要の場合は削除してください。
     • [JDK5.0またはJDK6で実行する場合]
       JavadocFixTool.javaを、実行するJDK(JDK5.0またはJDK6)のjavacコマンドでコンパイルしてください。
       javac JavadocFixTool.java
       コンパイルが完了しましたら、
       java JavadocFixTool -R -C <Path>
       を実行し、
       Vulnerable file found: "問題のあるHTMLファイル名"
       が表示された場合は、以下を実行してください。
       java JavadocFixTool -R <Path>
       以下が表示されると、HTMLファイルの修正は完了です。
       Patching file: "問題のあるHTMLファイル名"
       なお、修正前のHTMLファイルには、拡張子".orig"が追加されて<Path>配下に保存されますので、不要の場合は削除してください。
     • [JDK1.4.2以前しかない場合]
       JavadocUpdaterTool.zip (Java API Documentation Updater Tool)は、JDK1.4.2以前に対応していないため、以下のURLのJDK7またはJRE7を使用し、[JDK7で実行する場合]の手順に従ってHTMLファイルを修正してください。
       Java SE Downloads
       上記URLのJDK/JREを使用する場合、すでにインストール済みの製品のJDK/JREと競合することがありますので、本番運用機での修正作業は避けて、必ず開発機またはテスト機上で実施してください。
     変換対象のHTMLファイルを作成したOS環境と、上記の変換を行うOSが異なる場合、作成されたHTMLファイルのコード系が異なり、ブラウザで表示した際に文字化けすることがありますので、注意してください。

4. 関連情報

• CVE-2013-1571
  Unspecified vulnerability in the Javadoc component in Oracle Java SE 7 Update 21 and earlier, 6 Update 45 and earlier, and 5.0 Update 45 and earlier; JavaFX 2.2.21 and earlier; and OpenJDK 7 allows remote attackers to affect integrity via unknown vectors related to Javadoc.
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1571
• JVNDB-2012-001258
  Oracle Javadoc ツールに脆弱性
  https://jvn.jp/cert/JVNVU94189582/

5. 改版履歴

• 2013年11月5日 新規掲載