Interstage Application Serverにおけるクロスサイトスクリプティング(XSS)脆弱性の問題について(CVE-2007-1358) (2009年3月3日)

本セキュリティサイトについてのご注意

1.背景と問題点

Tomcat 4.1ベースのServletサービスおよびTomcat 5.5ベースのServletサービスにおいて、新たにクロスサイトスクリプティング(XSS)脆弱性の問題が確認されました。

クロスサイトスクリプティングの脆弱性を利用すると、悪意のあるサイト運用者がユーザのコンピュータ上で任意のコードを実行することができます。また、そのコードは信頼できるサイトのものとして実行される可能性があります。
危険なコードには以下のようなものがあります。

• ユーザ入力の読み取り
• cookieの読み取り／上書き
• 第三者への情報の転送

本脆弱性は、以下のURLで公開されている脆弱性からの派生情報です。
CVE-2007-1358: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-1358

2. 一時的な回避方法

以下の 1) ～ 3)の全てを満たすかを確認してください。条件を満たさない場合は、本脆弱性の影響を受けません。

1) Webアプリケーションで以下のいずれかのServlet APIを利用している。かつ、
    a) javax.servlet.ServletRequest#getLocale()
    b) javax.servlet.ServletRequest#getLocales()

2) 1) で取得した java.util.Locale クラスの以下のいずれかのメソッドを利用し、値を取得している。かつ、
    a) getCountry()
    b) getLanguage()
    c) getVariant()

3) レスポンスボディに 2) で取得した結果をそのまま含めている。

条件を満たす場合は、2) の a) ～ c) で取得した値に対し、以下のいずれかの修正を行ってください。

• RFC規約に従っているかチェックし、従っていない値はレスポンスボディに出力しない。
• レスポンスボディに出力する必要がある場合は、必ずサニタイジングを行う。

3. 該当システム・パッチ情報

・Interstage Application Framework Suite
・Interstage Application Server
・Interstage Apworks/Studio
・Interstage Business Application Server
・Interstage Job Workload Server
・Interstage Web Server

Patch IDの表記のみの製品に関しては、当社サポートセンターにお問い合わせください。

5. 改版履歴

• 2009年3月3日 第3版
  • 「1. 背景と問題点」にTomcat5.5ベースのServletサービスに関する記載を追加。
  • 「3. 該当システム・パッチ情報」に下記製品を追加
    「Interstage Studio Enterprise Edition V9.0.1」
    「Interstage Studio Standard-J Edition V9.0.1」
  • 「3. 該当システム・パッチ情報」の下記製品のパッケージ名をF3FMjs4からF3FMjs5に修正。
    「Interstage Studio Enterprise Edition V9.0.0」
    「Interstage Studio Standard-J Edition V9.0.0」
    「Interstage Studio Enterprise Edition V9.0.0A」
    「Interstage Studio Standard-J Edition V9.0.0A」
    「Interstage Studio with UML Modeling Tool V9.0.0」
  • 「3. 該当システム・パッチ情報」に、第2版にて公開停止としたパッチの再公開と新たなパッチ提供の情報を記載。
    これに伴い、公開停止パッチに関する(注1)の記載を削除。
• 2007年11月29日 第2版
  • 「3. 該当システム・パッチ情報」の下記製品のパッチを公開停止。
    「Interstage Application Server Enterprise Edition 7.0」「T020LS-06」
    「Interstage Application Server Standard Edition 7.0」 「T020LS-06」
    「Interstage Application Server Web-J Edition 7.0」 「T020LS-06」
    「Interstage Application Server Plus 7.0」 「T020LS-06」
    「Interstage Application Server Enterprise Edition 7.0.1」 「T020LS-06」
    「Interstage Application Server Standard Edition 7.0.1」「T020LS-06」
    「Interstage Application Server Web-J Edition 7.0.1」「T020LS-06」
    「Interstage Application Server Plus 7.0.1」「T020LS-06」
    「Interstage Application Server Enterprise Edition 8.0.0」 「T000572SP-03」
    「Interstage Application Server Standard-J Edition 8.0.0」 「T000573SP-03」
    「Interstage Application Server Web-J Edition 8.0.0」「T000574SP-03」
    「Interstage Application Server Enterprise Edition 8.0.3」 「T000572SP-03」
    「Interstage Application Server Standard-J Edition 8.0.3」 「T000573SP-03」
    「Interstage Application Server Web-J Edition 8.0.3」「T000574SP-03」
    「Interstage Application Server Enterprise Edition V6.0L10」 「TP09494」
    「Interstage Application Server Standard Edition V6.0L10」 「TP09494」
    「Interstage Application Server Web-J Edition V6.0L10」 「TP09494」
    「Interstage Application Server Plus Edition V6.0L10」 「TP09494」
    「Interstage Application Server Plus Developer V6.0L10」「TP09494」
    「Interstage Application Server Web-J Edition V6.0L10A」「TP09494」
    「Interstage Application Server Plus Edition V6.0L10A」 「TP09494」
    「Interstage Application Server Enterprise Edition V6.0L10B」 「TP09494」
    「Interstage Application Server Standard Edition V6.0L10B」「TP09494」
    「Interstage Application Server Web-J Edition V6.0L10B」「TP09494」
    「Interstage Application Server Plus Edition V6.0L10B」 「TP09494」
    「Interstage Application Server Enterprise Edition V6.0L10C」 「TP09494」
    「Interstage Application Server Standard Edition V6.0L10C」「TP09494」
    「Interstage Application Server Web-J Edition V6.0L10C」「TP09494」
    「Interstage Application Server Plus Edition V6.0L10C」 「TP09494」
    「Interstage Application Server Enterprise Edition V7.0L10」 「T00836-04」
    「Interstage Application Server Standard Edition V7.0L10」 「T00836-04」
    「Interstage Application Server Web-J Edition V7.0L10」 「T00836-04」
    「Interstage Application Server Plus V7.0L10」 「T00836-04」
    「Interstage Application Server Enterprise Edition V7.0L11」 「T00836-04」
    「Interstage Application Server Standard Edition V7.0L11」 「T00836-04」
    「Interstage Application Server Web-J Edition V7.0L11」 「T00836-04」
    「Interstage Application Server Plus V7.0L11」 「T00836-04」
    「Interstage Application Framework Suite Standard Edition 7.0」 「T020LS-06」
    「Interstage Application Framework Suite Web Edition 7.0」 「T020LS-06」
    「Interstage Application Framework Suite Enterprise Edition 7.0.1」 「T020LS-06」
    「Interstage Application Framework Suite Standard Edition 7.0.2」「T020LS-06」
    「Interstage Application Framework Suite Web Edition 7.0.2」 「T020LS-06」
    「Interstage Application Framework Suite Enterprise Edition V6.0L10」 「TP09494」
    「Interstage Application Framework Suite Standard Edition V6.0L10」 「TP09494」
    「Interstage Application Framework Suite Web Edition V6.0L10」「TP09494」
    「Interstage Application Framework Suite Web Edition V6.0L10A」 「TP09494」
    「Interstage Application Framework Suite Enterprise Edition V6.0L10B」 「TP09494」
    「Interstage Application Framework Suite Standard Edition V6.0L10B」「TP09494」
    「Interstage Application Framework Suite Web Edition V6.0L10B」 「TP09494」
    「Interstage Application Framework Suite Enterprise Edition V6.0L10C」 「TP09494」
    「Interstage Application Framework Suite Standard Edition V6.0L10C」「TP09494」
    「Interstage Application Framework Suite Web Edition V6.0L10C」 「TP09494」
    「Interstage Application Framework Suite Standard Edition V7.0L10」 「T00836-04」
    「Interstage Application Framework Suite Web Edition V7.0L10」「T00836-04」
    「Interstage Application Framework Suite Standard Edition V7.0L11」 「T00836-04」
    「Interstage Application Framework Suite Web Edition V7.0L11」「T00836-04」
    「Interstage Apworks Enterprise Edition V6.0L10」 「TP09494」
    「Interstage Apworks Standard Edition V6.0L10」「TP09494」
    「Interstage Apworks Modelers-J Edition V6.0L10」 「TP09494」
    「Interstage Apworks Enterprise Edition V6.0L10A」「TP09494」
    「Interstage Apworks Standard Edition V6.0L10A」 「TP09494」
    「Interstage Apworks Modelers-J Edition V6.0L10A」「TP09494」
    「Interstage Apworks Enterprise Edition V6.0L10B」「TP09494」
    「Interstage Business Application Server Enterprise Edition 7.0」「T020LS-06」
    「Interstage Business Application Server Enterprise Edition 7.0.1」 「T020LS-06」
    「Interstage Business Application Server Enterprise Edition 8.0.0」 「T000572SP-03」
    「Interstage Business Application Server Standard Edition 8.0.0」「T000572SP-03」
    「Interstage Business Application Server Enterprise Edition 8.0.1」 「T000572SP-03」
    「Interstage Job Workload Server 8.1.1」 「T000572SP-03」
• 2007年9月6日 新規掲載