Interstage Business Application Server, Interstage Application Server, Interstage Apworks, Interstage Studio, Interstage Application Framework Suite, Interstage Job Workload Server, Interstage Service Integrator, Interstage Interaction Manager : Apache Struts1 におけるメモリ上にあるコンポーネントを操作可能な脆弱性(CVE-2016-1181) (2016年6月7日)

該当製品が提供するStruts1において、サーバモジュールを遠隔操作可能な脆弱性が確認されました。

なお、該当製品をインストールしているすべてのコンピュータが、脆弱性の影響を受けるわけではありません。
該当製品に含まれるTERASOLUNAまたはStruts1をインストールしており、かつ、WebアプリケーションにおいてTERASOLUNAまたはStruts1を使用している場合に、脆弱性の影響を受ける可能性があります。
具体的には、以下の場合です。

• WebアプリケーションでApcoordinatorのStruts連携機能を使用して、該当製品に含まれるStruts1を動作させている場合。
• Interstage Business Application Serverについては、WebアプリケーションでオープンJavaフレームワークを使用して、該当製品に含まれるTERASOLUNAを動作させている場合、および該当製品に含まれるStruts1を動作させている場合。
• 上記に加え、以下の2つの条件を満たした場合。
  
  - 上記で対象となるWebアプリケーションに対してマルチパート形式のリクエストが到達可能な状態にある場合。かつ
  - 上記で対象となるWebアプリケーションにおいて次のActionFormもしくはサブクラスをセッションスコープで利用している場合。
  

  - ActionForm
  - ValidatorForm
  - ValidatorActionForm
  - ValidatorActionFormEx
  

Interstageについては以下のページを参照してください。
ビジネスアプリケーション基盤 FUJITSU Software Interstage

対策Patchにつきましては、順次ご用意しております。
対策Patchに関するご質問は、ご契約のサービスサポート窓口までお問い合わせください。

2. 脆弱性のもたらす脅威

Strutsのサーバモジュールに対する不正な遠隔操作を受けた場合、Webアプリケーションの利用が出来なくなる、あるいは、サーバモジュールを取得されるなどの被害を受ける可能性があります。

［脆弱性の影響を受ける一般的な例］

Webアプリケーションが動作するサーバーが、そのシステム外からの不正なHTTPリクエストを受け取った場合、脆弱性の影響を受ける可能性があります。
該当製品が動作するサーバーのネットワーク構成をご確認ください。

3. 該当システム・対策情報

3-1.該当システム

PRIMEQUEST, PRIMERGY, GP5000, CELSIUS, FMV, PRIMEPOWER, GP7000F, GP-S, 富士通S Series, SPARC Enterprise, SPARC M10, その他(AT互換機)

3-2.該当製品・対策Patch

・Interstage Application Framework Suite
・Interstage Application Server
・Interstage Apworks
・Interstage Business Application Server
・Interstage Interaction Manager
・Interstage Job Workload Server
・Interstage Service Integrator
・Interstage Studio