Interstage HTTP Server: サーバステータス監視機能におけるセキュリティ脆弱性問題(CVE-2007-6388) (2008年12月17日)

本セキュリティサイトについてのご注意

1.脆弱性の説明

Interstage HTTP Serverのサーバステータス監視機能において、クライアントの意図 しないサイトに接続される問題が確認されました。本脆弱性問題は、CVE-2007-6388に 該当します。

富士通は、3.に示すセキュリティパッチを提供していますので、早急に適用する様に お願いします。

Interstage製品については以下のページを参照してください。
https://www.fujitsu.com/jp/products/software/middleware/business-middleware/interstage/

2. 脆弱性のもたらす脅威

被害者に、悪意のある予期しないサイトを訪問するよう仕向けることで、攻撃者は フィッシングを行ったり、この被害者をクロスサイトスクリプティング(XSS)のある サイトに導いて被害者のブラウザ上で任意のスクリプトの実行が可能です。

3. 該当システム・対策情報

3-1.該当システム

GP7000F, PRIMEPOWER, GP-S, PRIMERGY, GP5000, CELSIUS, FMVシリーズ, AT互換機, PRIMEQUEST, SPARC Enterprise

3-2.該当製品・対策Patch

注意）後述する回避方法は、製品ごとに設定内容が異なるものがあります。製品名末尾の括弧内記載記号は、回避方法の設定内容に対応しています。

・Interstage Application Server
・Interstage Web Server
・Interstage Application Framework Suite
・Interstage Apworks
・Interstage Studio
・Interstage Business Application Server
・Interstage Job Workload Server
・Systemwalker Resource Coordinator

参考: 該当製品の確認方法

製品のバージョンを確認するには、製品に添付の「ソフトウェア説明書」を参照してください。

3-3. 回避方法

環境定義ファイル(httpd.conf)において、下記ディレクティブを削除するか、または 先頭にハッシュマーク(#)を追加してコメント行にすることで、サーバステータス監視 機能を無効にしてください。定義編集後はWebサーバを再起動してください。

• 製品[a]の場合
  #LoadModule status_module modules/mod_status.so
  #AddModule mod_status.c
  #ExtendedStatus On
  #<Location /server-status>
  #    SetHandler server-status
  #    ・
  #    ・
  #    ・
  #</Location>
• 製品[b]の場合
  #LoadModule status_module "C:/Interstage/F3FMihs/modules/mod_status.so"
  #ExtendedStatus On
  #<Location /server-status>
  #    SetHandler server-status
  #    ・
  #    ・
  #    ・
  #</Location>
• 製品[c]の場合
  #LoadModule status_module libexec/mod_status.so
  #AddModule mod_status.c
  #ExtendedStatus On
  #<Location /server-status>
  #    SetHandler server-status
  #    ・
  #    ・
  #    ・
  #</Location>
• 製品[d]の場合
  #LoadModule status_module "/opt/FJSVihs/modules/mod_status.so"
  #ExtendedStatus On
  #<Location /server-status>
  #    SetHandler server-status
  #    ・
  #    ・
  #    ・
  #</Location>

4. 関連情報

• CVE-2007-6388
  Cross-site scripting (XSS) vulnerability in mod_status in the Apache HTTP Server 2.2.0 through 2.2.6, 2.0.35 through 2.0.61, and 1.3.2 through 1.3.39, when the server-status page is enabled, allows remote attackers to inject arbitrary web script or HTML via unspecified vectors.
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-6388

5. 改版履歴

• 2008年12月17日 新規掲載