Interstage HTTP Server: クロスサイトスクリプティングの問題(CVE-2007-4465/ CVE-2007-6203) (2010年7月27日)

本セキュリティサイトについてのご注意

1. 脆弱性の説明

• 問題1
  Interstage HTTP Serverのディレクトリリスト自動生成機能において、クロスサイトスクリプティング脆弱性の問題が確認されました。
  本脆弱性問題は、CVE-2007-4465に該当します。
  
  富士通は、3-3.に回避方法を示していますので、早急に対応願います。
• 問題2
  Interstage HTTP Serverのステータスコード 413 の応答処理において、クロスサイトスクリプティング脆弱性の問題が確認されました。
  本脆弱性問題は、CVE-2007-6203に該当します。
  
  富士通は、3-2.に示すセキュリティパッチを提供していますので、早急に適用する様にお願いします。
  なお、発行予定なしの製品につきましては、3-3.に回避方法を示していますので、早急に対応願います。

2. 脆弱性のもたらす脅威

攻撃者は悪意のあるスクリプトを潜り込ませることにより、被害者のアカウント乗っ取りやユー ザ設定の変更、クッキーの盗用や改ざん、不正な広告の表示などが可能となります。

3. 該当システム・対策情報

3-1.該当システム

GP7000F, PRIMEPOWER, GP-S, PRIMERGY, GP5000, CELSIUS, FMVシリーズ, AT互換機, PRIMEQUEST, SPARC Enterprise

3-2.該当製品・対策Patch

注意）後述する回避方法は、製品ごとに設定内容が異なるものがあります。製品名末尾の括弧内記載記号は、回避方法の設定内容に対応しています。

Interstage Application Server
Interstage Web Server
Interstage Application Framework Suite
Interstage Apworks
Interstage Studio
Interstage Business Application Server
Interstage Job Workload Server
Systemwalker Resource Coordinator

（注）本パッチは、「1. 脆弱性の説明」で示す「問題2」のみを解決します。「問題1」に関しては、「3-3. 回避方法」の適用をお願いします。

参考: 該当製品の確認方法

製品のバージョンを確認するには、製品に添付の「ソフトウェア説明書」を参照してください。

3-3. 回避方法

• 問題1
  以下のいずれかの方法で、環境定義ファイル(httpd.conf)を編集し、回避してください。編集後は、Interstage HTTP Serverを再起動する必要があります。
  • 1-1)
    Optionsディレクティブに"Indexes"が設定されている場合は、"Indexes"を削除することで、ディレクトリリスト自動生成機能を無効にします。
  • 1-2)
    コンテンツの文字セットを明示的に設定することで回避してください。
    • 例）コンテンツの種類がtext/plain、またはtext/htmlで、コンテンツの文字セットが UTF-8である場合は、AddDefaultCharsetディレクティブでutf-8を設定します。
      設定例）AddDefaultCharset utf-8
    • 注意）コンテンツの文字セットが複数混在する環境では文字化けする可能性があります。その場合は、1-1)で回避してください。
• 問題2
  以下の方法で環境定義ファイル(httpd.conf)を編集し、ステータスコード413発生時のエラーをテキストメッセージに設定することで回避してください。編集後は、Interstage HTTP Serverを再起動する必要があります。
  • 製品[a]の場合
    テキストメッセージをダブルクォーテーション(")のあとに指定してください。
    設定例）ErrorDocument 413 "413 Request Entity Too Large
  • 製品[b]の場合
    テキストメッセージをダブルクォーテーション(")で囲んでください。
    設定例）ErrorDocument 413 "413 Request Entity Too Large"

4. 関連情報

• CVE-2007-4465
  Cross-site scripting (XSS) vulnerability in mod_autoindex.c in the Apache HTTP Server before 2.2.6, when the charset on a server-generated page is not defined, allows remote attackers to inject arbitrary web script or HTML via the P parameter using the UTF-7 charset. NOTE: it could be argued that this issue is due to a design limitation of browsers that attempt to perform automatic content type detection.
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4465
• JVNDB-2007-001022
  Apache の mod_autoindex.c における UTF-7 エンコードに関するクロスサイトスクリプティングの脆弱性
  http://jvndb.jvn.jp/ja/contents/2007/JVNDB-2007-001022.html
• CVE-2007-6203
  Apache HTTP Server 2.0.x and 2.2.x does not sanitize the HTTP Method specifier header from an HTTP request when it is reflected back in a "413 Request Entity Too Large" error message, which might allow cross-site scripting (XSS) style attacks using web client components that can send arbitrary headers in requests, as demonstrated via an HTTP request containing an invalid Content-length value, a similar issue to CVE-2006-3918.
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-6203
• JVNDB-2007-001017
  Apache HTTP Server の 413 エラーメッセージにおける HTTP メソッドを適切に検査しない問題
  http://jvndb.jvn.jp/ja/contents/2007/JVNDB-2007-001017.html

5. 改版履歴

• 2010年7月27日 第2版
  • 「1. 脆弱性の説明」の対処方法を修正しました。
  • 「3-2. 該当製品・対策Patch」に「Patch ID.」を記載しました。
  • 「3-2. 該当製品・対策Patch」に以下の製品を追加しました。
    Interstage Application Server Enterprise Edition V9.0.0B
    Interstage Application Server Standard-J Edition V9.0.0B
    Interstage Application Server Enterprise Edition V9.0.1B
    Interstage Application Server Standard-J Edition V9.0.1B
    Interstage Application Server Enterprise Edition V9.2.0
    Interstage Application Server Standard-J Edition V9.2.0
    Interstage Application Server Enterprise Edition V9.2.0A
    Interstage Application Server Standard-J Edition V9.2.0A
    Interstage Studio Standard-J Edition V9.0.1A
    Interstage Studio Enterprise Edition V9.1.0B
    Interstage Studio Standard-J Edition V9.1.0B
    Interstage Studio with UML Modeling TOOL V9.1.0B
    Interstage Studio Enterprise Edition V9.2.0
    Interstage Studio Standard-J Edition V9.2.0
    Interstage Studio with UML Modeling TOOL V9.2.0
  • 「4. 関連情報」にJVNDB-2007-001022、JVNDB-2007-001017を追記しました。
• 2008年12月15日 新規掲載