Interstage Business Application Server, Interstage Application Server, Interstage Apworks, Interstage Studio, Interstage Application Framework Suite, Interstage Job Workload Server, Interstage Service Integrator, Interstage Interaction Manager : Apache Struts1 における入力値検証機能に関する脆弱性(CVE-2016-1182)(2016年6月7日)

該当製品が提供するStruts1において、入力値検証機能に関する脆弱性が確認されました。

なお、該当製品をインストールしているすべてのコンピュータが、脆弱性の影響を受けるわけではありません。
該当製品に含まれるTERASOLUNAまたはStruts1をインストールしており、かつ、WebアプリケーションにおいてTERASOLUNAまたはStruts1を使用している場合に、脆弱性の影響を受ける可能性があります。
具体的には、以下の場合です。

• WebアプリケーションでApcoordinatorのStruts連携機能を使用して、該当製品に含まれるStruts1を動作させている場合。
• Interstage Business Application Serverについては、WebアプリケーションでオープンJavaフレームワークを使用して、該当製品に含まれるTERASOLUNAを動作させている場合、および該当製品に含まれるStruts1を動作させている場合。
• 上記に加え、上記で対象となるWebアプリケーションにおいて次のActionFormもしくはサブクラスをセッションスコープで利用している場合。
  
  - ValidatorForm
  - ValidatorActionForm
  - ValidatorActionFormEx
  

Interstageについては以下のページを参照してください。
ビジネスアプリケーション基盤 FUJITSU Software Interstage

対策Patchにつきましては、順次ご用意しております。
対策Patchに関するご質問は、ご契約のサービスサポート窓口までお問い合わせください。

2. 脆弱性のもたらす脅威

Webアプリケーションが動作するサーバーが本脆弱性の悪用を目的とした特別なリクエストを受け取った場合、Webアプリケーションの利用が出来なくなる、意図しないデータが登録される、あるいは、Webアプリケーション上で任意のスクリプトが実行される可能性があります。

［脆弱性の影響を受ける一般的な例］

Webアプリケーションが動作するサーバーが、そのシステム外からの不正なHTTPリクエストを受け取った場合、脆弱性の影響を受ける可能性があります。
該当製品が動作するサーバーのネットワーク構成をご確認ください。

3. 該当システム・対策情報

3-1.該当システム

PRIMEQUEST, PRIMERGY, GP5000, CELSIUS, FMV, PRIMEPOWER, GP7000F, GP-S, 富士通S Series, SPARC Enterprise, SPARC M10, その他(AT互換機)

3-2.該当製品・対策Patch

・Interstage Application Framework Suite
・Interstage Application Server
・Interstage Apworks
・Interstage Business Application Server
・Interstage Interaction Manager
・Interstage Job Workload Server
・Interstage Service Integrator
・Interstage Studio