InterstageやSystemwalker関連製品などのSSLセキュリティ脆弱性の問題 (2010年5月7日)

本セキュリティサイトについてのご注意

1. 脆弱性の説明

• 問題1
    InterstageやSystemwalker関連製品などのSSLサーバでのクライアント認証において、バッファオーバフローが発生する脆弱性があります。
• 問題2
    InterstageやSystemwalker関連製品などのSSL機能において、CA証明書が更新された場合、証明書環境の設定に関わらず更新前のCA証明書より発行されたサーバ証明書またはクライアント証明書を用いて、SSL通信できる脆弱性が発生する場合があります。
• 問題3
    InterstageやSystemwalker関連製品などのSSLサーバにおいて、ファイルディスクリプタ等の資源不足が発生する脆弱性があります。

Interstageについては以下のページを参照してください。
http://www.fujitsu.com/jp/products/software/middleware/business-middleware/interstage/
Systemwalkerについては以下のページを参照してください。
http://www.fujitsu.com/jp/products/software/middleware/business-middleware/systemwalker/

富士通は、3.に示すセキュリティパッチを提供していますので、早急に適用する様にお願いします。

2. 脆弱性のもたらす脅威

• 問題1
    インターネットから不当なユーザがSSLのクライアント認証を行っているWebサーバ等に対して、不適切な証明書を返信し、DoS攻撃を行う可能性があります。
• 問題2
    通信相手よりCA証明書が更新されているサイトに対して、証明書環境の設定に関わらず、更新前のCA証明書より発行されたサーバ証明書またはクライアント証明書を有効として、SSL通信を行う場合があります。
• 問題3
    インターネットから不当なユーザがWebサーバ等に対して、不適切なSSL通信データを送信し、 DoS攻撃を行う可能性があります。

3. 該当システム・対策情報

3-1.該当システム

GP7000F, PRIMEPOWER, GP-S, PRIMERGY, PRIMEQUEST, GP5000, CELSIUS, AT互換機

3-2.該当製品・対策Patch

• TP29343/ TP39343/ TP49343/ TP19395は、この修正プログラムを累積している新しいTK20511/ TK30511/ TK40511/ TK10536の修正番号に変りました。
• TP29343/ TP39343/ TP49343/ TP19395の何れかを入手済みの方は、「4.関連情報」の「A. TP29343/ TP39343/ TP49343/ TP19395の何れかを入手済みの場合」を参照してください。

【対象OS名の範囲】
  下表の対象OS欄に記載しているOS名は、以下の範囲のOSを表わします。ただし、サポートOSは、各製品およびVLで異なりますのでご注意下さい。

• Solarisに該当するOS
  • Solaris(TM) 2.5.1, 2.6, 7, 8, 9, 10 OS
• Windowsに該当するOS
  • Windows 95, 98, NT, ME, 2000, XP, Vista, Server 2003
• Linuxに該当するOS
  • Turbolinux 7 Server, Turbolinux 8 Server
  • Red Hat Enterprise Linux AS/ES (v.2.1), OpenLinux eServer 3.1.1J
  • Red Hat Enterprise Linux AS/ES(v.3), Red Hat Linux 9
  • Red Hat Enterprise Linux AS(v.4), Red Hat Enterprise Linux 5
• Windows64-IPFに該当するOS
  • Windows 2003 for Itanium-based Systems
• Linux64-IPFに該当するOS
  • Red Hat Enterprise Linux AS (v.4 for Itanium)
  • Red Hat Enterprise Linux 5 (for Intel Itanium)

3-2-1.対象OSがSolarisの該当製品・対策Patch

• Linkexpress
• InfoDirectory
• InfoProxy
• InfoProxy for Middleware
• INTERSTAGE
• Interstage Application Server
• Interstage Application Framework Suite
• Interstage Security Director
• Interstage Traffic Director
• Safeauthor
• Systemwalker Centric Manager
• SystemWalker/InfoDirectory
• Systemwalker IT Budget Manager
• Systemwalker Software Delivery
• SymfoWARE Universal Data Interchanger

3-2-2.対象OSがLinuxの該当製品・対策Patch

• Interstage Application Server
• Interstage Security Director
• Interstage Traffic Director
• Safeauthor
• Systemwalker CentricMGR-A
• Systemwalker Centric Manager
• Systemwalker Software Delivery
• Systemwalker Desktop Inspection
• Linkexpress

3-2-3.対象OSがWindowsの該当製品・対策Patch

• InfoDirectory
• InfoProvider Pro
• InfoProxy
• InfoProxy for Middleware
• INTERSTAGE
• Interstage Application Framework Suite
• Interstage Apcoordinator
• Interstage Application Server
• Interstage Apworks
• Interstage Business Application Manager
• Interstage Form Coordinator 署名オプション
• Interstage Security Director
• Interstage Traffic Director
• Linkexpress
• Safegate
• Safegate集中管理
• safegate Client
• Systemwalker Formcoordinator 署名オプション
• Systemwalker Centric Manager
• SystemWalker/InfoDirectory
• SystemWalker/IT BudgetMGR
• Systemwalker Software Delivery
• Systemwalker Desktop Inspection
• Systemwalker Desktop Patrol
• SymfoWARE Universal Data Interchanger
• TRADEMASTER
• TRMASTER

Patch IDの表記のみ、あるいはIDの記載のない製品に関しては、当社サポートセンターにお問い合わせください。
(注1)：当該製品に関しては、当社サポートセンターにお問い合わせください。
(注2)：本修正には、セキュリティ障害以外の重要な修正を含んでいます。修正を適用する際には、READMEの修正内容をご確認下さい。

参考: 該当製品の確認方法

製品のバージョンを確認するには、製品に添付の「ソフトウェア説明書」を参照してください。

なお、修正対象のパッケージは複数の製品に同梱されておりますので、同一システム上に複数の製品がインストールされている場合は、パッケージのVLを確認の上、該当する修正の適用をお願いします。

• 【Solaris】
  • FJSVsmee
    1) インストールパッケージのVL確認方法
        # pkginfo -l FJSVsmee | grep VERSION
    2) 該当パッケージVLと修正番号(Patch ID)
        3.3.4 : T008NS-04
        3.3.5 : T025CS-02
        3.3.7 : T025DS-02
        3.3.8 : T025ES-02
        3.3.9 : T025FS-03
        3.3.10 : T025GS-04
        4.0.1 : T000860SP-02
        4.0.4 : T001750SP-02
  • FJSVsclr
    1) インストールパッケージのVL確認方法
        # pkginfo -l FJSVsclr | grep VERSION
    2) 該当パッケージVLと修正番号(Patch ID)
        1.4.6 : T0306S-01
        1.4.7 : T0307S-01
        1.4.9 : T0308S-01
        2.0.1 : T000861SP-01
  • FSUNssll
    1) インストールパッケージのVL確認方法
        # pkginfo -l FSUNssll | grep VERSION
    2) 該当パッケージVLと修正番号(Patch ID)
        4.2.14 : T0309S-02
        4.2.15 : T030AS-01
        4.2.16 : T030BS-01
        4.2.17 : T031CS-01
        4.2.18 : T030CS-02
        4.2.19 : T000863SP-01
        4.2.20 : T001749SP-01
• 【Linux】
  • FJSVsmee
    1) インストールパッケージのVL確認方法
        # rpm -qi FJSVsmee | grep Version
    2) 該当パッケージVLと修正番号(Patch ID)
        3.3.4 : T00163-02
        3.3.5 : T01199-02（注5）
        3.3.8 : T01198-01
        3.3.10: T01200-01
        4.0.1 : T000892LP-01
        4.0.4 : T001752LP-01 または T001753LP-01（注3）
    
    （注3）：『4.0.4』が表示された場合は、修正番号は以下のようになります。
    • Red Hat Enterprise Linux AS (v.4 for x86)またはRed Hat Enterprise Linux AS (v.4 for EM64T)を使用している場合は、T001752LP-01 を適用してください。
    • Red Hat Enterprise Linux 5 (for x86)またはRed Hat Enterprise Linux 5 (for Intel64)を使用している場合は、T001753LP-01 を適用してください。
    
    （注5）：Red Hat Linux 9に関しては、当社サポートセンターにお問い合わせください。
  • FJSVsclr
    1) インストールパッケージのVL確認方法
        # rpm -qi FJSVsclr | grep Version
    2) 該当パッケージVLと修正番号(Patch ID)
        1.4.6 : T01201-01
        1.4.7 : T01201-01
        2.0.1 : T000893LP-01
• 【Linux64-IPF】
  • FJSVsmee
    1) インストールパッケージのVL確認方法
        # rpm -qi FJSVsmee | grep Version
    2) 該当パッケージVLと修正番号(Patch ID)
        3.3.8 : T000822QP-01
        4.0.1 : T000816QP-01
        4.0.4 : T001754QP-01 または T001755QP-01（注4）
    
    （注4）：『4.0.4』が表示された場合は、修正番号は以下のようになります。
    • Red Hat Enterprise Linux AS (v.4 for Itanium)を使用している場合は、T001754QP-01 を適用してください
    • Red Hat Enterprise Linux 5 (for Intel Itanium)を使用している場合は、T001755QP-01 を適用してください。
  • FJSVsclr
    1)インストールパッケージのVL確認方法
        # rpm -qi FJSVsclr | grep Version
    2)該当パッケージVLと修正番号(Patch ID)
        1.4.7 : T000823QP-01
        2.0.1 : T000821QP-01
• 【Windows】
  • F3FSSMEE
    1) インストールパッケージのVL確認方法
    • i) スタートメニューで、「ファイル名を指定して実行」を実行します。
    • ii) 「regedit」と入力し、OKボタンを押します。
    • iii) 開いた画面で、HKEY_LOCAL_MACHINE\SOFTWARE\Fujitsu\Install\F3FSSMEEキーまでたどり、配下の情報を参照します。
      「VersionLevel」の値がバージョン情報です。
    2) 該当パッケージVLと修正番号(Patch ID)
        V3.3L13 : TK20511
        V3.3L14 : TK20511
        V3.3L15 : TK30511
        V3.3L18 : TK40511
        V4.0L11 : T000915WP-01
  • F3EZSCLR
    1) インストールパッケージのVL確認方法
    • i) スタートメニューで、「ファイル名を指定して実行」を実行します。
    • ii) 「regedit」と入力し、OKボタンを押します。
    • iii) 開いた画面で、HKEY_LOCAL_MACHINE\SOFTWARE\Fujitsu\Install\Securecrypto Library Rキーまでたどり、配下の情報を参照します。
      「VersionLevel」の値がバージョン情報です。
    2) 該当パッケージVLと修正番号(Patch ID)
        V1.0L56 : TK10536
        V1.0L57 : TK10536
        V2.0L11 : T000916WP-01
• 【Windows64-IPF】
  • F3FSSMEE (Itanium)
    1) インストールパッケージのVL確認方法
    • i) スタートメニューで、「ファイル名を指定して実行」を実行します。
    • ii) 「regedit」と入力し、OKボタンを押します。
    • iii) 開いた画面で、HKEY_LOCAL_MACHINE\SOFTWARE\Fujitsu\Install\F3FSSMEEキーまでたどり、配下の情報を参照します。
      「VersionLevel」の値がバージョン情報です。
    2) 該当パッケージVLと修正番号(Patch ID)
        V4.0L12 : T000937IP-01
  • F3EZSCLR (Itanium)
    1) インストールパッケージのVL確認方法
    • i) スタートメニューで、「ファイル名を指定して実行」を実行します。
    • ii) 「regedit」と入力し、OKボタンを押します。
    • iii) 開いた画面で、HKEY_LOCAL_MACHINE\SOFTWARE\Fujitsu\Install\Securecrypto Library Rキーまでたどり、配下の情報を参照します。
      「VersionLevel」の値がバージョン情報です。
    2)該当パッケージVLと修正番号(Patch ID)
        V2.0L12 : T000938IP-01

3-3. 回避方法

• 問題1
    本脆弱性は、パッチの適用ができない間、以下の方法で影響を緩和できる場合があります。
  
    【回避方法】
    クライアント認証を行っているSSLサーバ機能が使用する証明書・鍵管理環境に登録する認証局証明書は、
    信頼できるルート証明書だけを証明書環境に登録してください。
• 問題2 および 問題3 に回避方法はありません。

4. 関連情報

A. TP29343/ TP39343/ TP49343/ TP19395の何れかを入手済みの場合
TP29343/ TP39343/ TP49343/ TP19395において、適用した修正プログラムを削除する際にエラーとなる場合がありました。
なお、修正プログラムの適用および修正プログラムの動作に問題はありません。

TP29343/ TP39343/ TP49343/ TP19395については、修正プログラムの適用形式を変更したTK20511/ TK30511/ TK40511/ TK10536を公開致しました。

• まだ、この修正プログラムを適用されていない場合
      再度、新しいTK20511/ TK30511/ TK40511/ TK10536の何れかを入手してください。
• TP29343/ TP39343/ TP49343/ TP19395の何れかを適用済みの場合
      既にTK20511/ TK30511/ TK40511/ TK10536や新たな修正プログラムを適用済みであったり、修正対象よりも新しいパッケージを同梱した製品をインストール済みである場合には、TP29343/ TP39343/ TP49343/ TP19395を削除した際に不整合が発生することがあります。
  適用した修正プログラムを削除したい場合には「TP29343/ TP39343/ TP49343/ TP19395の削除手順」を参照してください。
      今後、新たな修正プログラムを適用する場合や、新たな製品をインストールする場合には、「TP29343/ TP39343/ TP49343/ TP19395の削除手順」を参照し、適用済のこれらの修正プログラムを削除したうえで、新しい修正プログラムの適用または、製品のインストールを行うことを推奨致します。

5. 改版履歴

• 2010年5月7日 3版
  • 「3-2. 該当製品・対策Patch」において、TP29343/ TP39343/ TP49343/ TP19395の何れかを入手済みの場合に「4. 関連情報」を参照するように追記しました。
  • 「3-2. 該当製品・対策Patch」において、以下のように[(21)Patch ID.]を以下のように変更しました。
    • TP29343はTK20511へ
    • TP39343はTK30511へ
    • TP49343はTK40511へ
    • TP19395はTK10536へ
  • 「(22)参考: 該当製品の確認方法 」において、 [修正番号(Patch ID)]を以下のように変更しました。
    • TP29343はTK20511へ
    • TP39343はTK30511へ
    • TP49343はTK40511へ
    • TP19395はTK10536へ
  • 「4. 関連情報」において、TP29343/ TP39343/ TP49343/ TP19395の何れかを入手済みの場合の注意事項を追記しました。
• 2009年11月13日 2版
  • 「3-2.3-2. 該当製品・対策Patch」の[対象OS名の範囲]において、下記OS名を追加しました。
    • Turbolinux 8 Server, OpenLinux eServer 3.1.1J
    • Red Hat Enterprise Linux ES(v.3), Red Hat Linux 9, Red Hat Enterprise Linux 5
  • 「(22)参考: 該当製品の確認方法 」において、修正番号(Patch ID)が T01199-02 に関する注意事項を追加しました。
• 2009年11月10日 新規掲載