INTERSTAGE APWORKSおよびINTERSTAGE Application Serverにおける、Java実行環境(JRE)のセキュリティの問題(圧縮・復元ライブラリ(zlib)に脆弱性) (2003年10月10日)

 本情報は、該当製品におけるセキュリティ上の問題について、広報日までに、コンピュータ緊急対応センター「CERT/CC」に報告されたものもしくは、弊社独自の調査により検出されたものに基づき、情報を提供するものです。
 また、該当製品には他社が開発した製品が含まれている場合もあり、その製品については、他社から提供された情報をそのまま掲載している場合があります。
 本ドキュメントに関して、弊社は、本情報の正確性、完全性あるいは特定目的への適合性について何ら保証するものではなく、本情報に従い対応を行った（あるいは行わなかった）ことによりお客様に生じた損害について一切の責任を負いかねます。
 お客様には、常に最新の情報をご確認いただきますようお願い申し上げます。

 本セキュリティ広報を再配布する際には、全文を転載すること。

[概要]

1. 背景

 CERT(R) Advisory CA-2002-07 に基づく障害です。http://www.cert.org/advisories/CA-2002-07.html

 JavaVMのデータ圧縮・復元ライブラリ(zlib)にセキュリティホールが見つかっています。
 通常のJavaプログラムでは、このセキュリティホールを利用することはありませんが、不正に圧縮コードを改変した悪意のあるプログラムを利用した場合は、このセキュリティホールを利用して第三者がそのコードをユーザのコードとして実行させ、結果としてサービスの異常や、情報の漏洩などの影響を与える可能性があります。

 発生条件は次のとおりです。

 1)以下のJDK/JREを使用している。
  JDK/JRE 1.1～1.1.8_09
  JDK/JRE 1.2.2～1.2.2_011(注)
  JDK/JRE 1.3.0～1.3.1_03(注)
  JDK/JRE 1.4.0(注)
  (注)富士通提供のJDK/JRE 1.2.2_011、1.3.1_03及び1.4.0では修正済み。

 かつ、
  
 2)以下の(2.1)または(2.2)のいずれか一方の条件を満たす。
  (2.1)実行するアプリがJRE以外の*.zipや*.jarなどの圧縮形式のクラスライブラリを使用している。
  (2.2)実行するアプリ内でjava.util.zipパッケージでデータ復元機能を実装し、任意の圧縮ファイルの復元を行っている。

  富士通は、5.に示すセキュリティパッチを提供していますので、早急に適用する様にお願いします。

 Interstage Application Serverについては以下のページを参照してください。
https://www.fujitsu.com/jp/products/software/middleware/business-middleware/interstage/

2. 該当システムの範囲

3. 発見されている問題点

 悪意のあるJavaプログラムにより任意のコードの実行、サービスの異常、または、情報漏洩が行われる場合があります。

4. 一時的な回避方法

 ありません。
 信頼できないWebサイトのアクセス、または、信頼できないプログラムの実行をしないようにしてください。

5. パッチ情報

お願い）
 912321-01，912398-01，912399-01につきましては、パッチに不備があり、適用できないケースがございます。ただし、2002年11月23日以降にダウンロードされたパッチには問題はございません。
 11月22日以前にダウンロードされた場合、お手数ながら912321-02，912398-02，912399-02を適用いただきたくお願いいたします。
 なお、お手数ですが、本修正の入手方法など詳細に関しましては、当社サポート窓口にお問い合わせください。

6. 改版履歴

• 2003年10月10日 2.該当システムの範囲、5.パッチ情報 にLinux版の製品情報を追加
• 2003年1月31日 5.パッチ情報を一部更新
               対象OS Solaris OE のパッチファイル一部の版数アップ
• 2002年11月22日 5.パッチ情報を一部更新
               対象OS Solaris OE のパッチファイルを公開
• 2002年11月15日 新規掲載