Interstage Business Application Server, Interstage Application Server, Interstage Apworks, Interstage Studio, Interstage Application Framework Suite, Interstage Job Workload Server, Interstage Service Integrator, Interstage Interaction Manager : Apache Commons Fileupload ライブラリに応答不能にさせられる脆弱性(CVE-2016-3092) (2016年8月9日)

該当製品が提供するApache Commons Fileupload ライブラリに、リクエストに対して応答不能にさせられる脆弱性が確認されました。

なお、該当製品をインストールしているすべてのコンピュータが、脆弱性の影響を受ける訳ではありません。
該当製品に含まれるTERASOLUNAまたはStruts1をインストールしており、かつ、WebアプリケーションにおいてTERASOLUNAまたはStruts1を使用している場合に、脆弱性の影響を受ける可能性があります。
具体的には、以下の場合です。

• WebアプリケーションでApcoordinatorのStruts連携機能を使用して、該当製品に含まれるStruts1を動作させている場合。
• Interstage Business Application Serverについては、WebアプリケーションでオープンJavaフレームワークを使用して、該当製品に含まれるTERASOLUNAを動作させている場合、および該当製品に含まれるStruts1を動作させている場合。
• 上記に加え、以下の条件を満たした場合。
  • 上記で対象となるWebアプリケーションに対してマルチパート形式のリクエストが到達可能な状態にある場合。

Interstageについては以下のページを参照してください。
ビジネスアプリケーション基盤 FUJITSU Software Interstage

対策Patchにつきましては、"3-2. 該当製品・対策Patch"に記載しています。

2. 脆弱性のもたらす脅威

Webアプリケーションが動作するサーバーが本脆弱性の悪用を目的とした特別なリクエストを受け取った場合、対象サーバのCPUリソースが枯渇する可能性があります。
その結果、Webアプリケーションが応答不能な状態になる可能性があります。

［脆弱性の影響を受ける一般的な例］

Webアプリケーションが動作するサーバーが、そのシステム外からの不正なリクエストを受け取った場合、脆弱性の影響を受ける可能性があります。
該当製品が動作するサーバーのネットワーク構成をご確認ください。

3. 該当システム・対策情報

3-1.該当システム

PRIMEQUEST, PRIMERGY, GP5000, CELSIUS, FMV, PRIMEPOWER, GP7000F, GP-S, 富士通S Series, SPARC Enterprise, SPARC Servers, その他(AT互換機)

3-2.該当製品・対策Patch

対策Patchのうち発行予定のあるものは、8月中に出荷予定です。
最新のスケジュールに関しては、ご契約のサービスサポート窓口までお問い合わせください。

参考: 該当製品の確認方法
製品のバージョンは、製品に添付されている「ソフトウェア説明書」で確認してください。

3-3. 回避方法

以下のいずれかの方法で回避できます。

1. Webアプリケーションが利用するHTTPリクエストヘッダのサイズが2048バイト以下である場合、HTTPサーバーにより、HTTPリクエストヘッダのサイズを2048バイトに制限する。
   例えば、次のような対策が考えられます。
   • Interstage HTTP Serverの場合、httpd.confにおいてLimitRequestFieldsizeディレクティブの指定により制限する。
   • Interstage Java EE 6の場合、受信バッファーサイズ(buffer-size-bytes)の指定によりリクエストラインと全リクエストヘッダーの合計サイズを制限する。
2. マルチパート形式のフォームを使用していない場合、マルチパート形式のリクエストを遮断する。
   例えば、次のような対策が考えられます。
   • ネットワーク機器により遮断する。
     WAF（Web Application Firewall）やIPS（Intrusion Prevention System）などを使用している場合、本脆弱性への対処が可能かどうか、ご使用製品の提供元にご確認ください。
   • HTTPサーバーにより遮断する。
     例えば、Interstage HTTP Serverの場合、httpd.confにおいてRewriteEngineディレクティブ、RewriteCondディレクティブ、RewriteRuleディレクティブを用いてアクセスを拒否できます。
     Content-Typeにmultipartの文字を含むリクエストを遮断する例を以下に示します。
     -------------------------------------------------------------------
     LoadModule rewrite_module "/opt/FJSVihs/modules/mod_rewrite.so"
     
     <Location />
     RewriteEngine On
     RewriteCond %{HTTP:Content-Type} multipart
     RewriteRule .* - [F]
     </Location>
     -------------------------------------------------------------------
3. マルチパート形式のフォームを使用していない場合、クラスパスからCommons Fileuploadのjarを削除する。
4. Apacheコミュニティから公開されているcommons-fileupload-1.3.2.jarを入手して既存のCommons Fileuploadのjarの代わりにクラスパスに設定する。
   また、Commons IOのjarがクラスパスに設定されていない場合は Apacheコミュニティから入手して追加設定します。

4. 関連情報

• CVE-2016-3092
  https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3092
• JVN#89379547
  Apache Commons FileUpload におけるサービス運用妨害 (DoS) の脆弱性
  http://jvn.jp/jp/JVN89379547/index.html
• JVNDB-2016-000121
  Apache Commons FileUpload におけるサービス運用妨害 (DoS) の脆弱性
  http://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-000121.html
• www-announce mailing list archives
  Apache Commons Fileupload information disclosure vulnerability(Apache Software Foundation Mail Archives)

5. 改版履歴

• 2016年8月9日 
  • 「3-2. 該当製品・対策Patch」を更新
  • 「3-3. 回避方法」にApacheコミュニティからのjarの入手による対処を追記。
• 2016年7月7日 初版