InterstageやSystemwalker関連製品: TLSに関する複数製品の脆弱性（CVE-2019-13163）(2020年3月12日)

本セキュリティサイトについてのご注意

1. 脆弱性の説明

InterstageやSystemwalker関連製品などのTLS運用において、TLSに関する複数製品の脆弱性（CVE-2019-13163）に該当する場合があります。

Interstageについては以下のページを参照してください。
ビジネスアプリケーション基盤 FUJITSU Software Interstage
Systemwalkerについては以下のページを参照してください。
統合運用管理 FUJITSU Software Systemwalker

富士通は、3.に示すセキュリティパッチを提供していますので、早急に適用する様にお願いします。

2. 脆弱性のもたらす脅威

サーバとクライアントの間にいる中間攻撃者により暗号通信が解読される可能性があります。

3. 該当システム・対策情報

3-1.該当システム

GP7000F, PRIMEPOWER, GP-S, SPARC Enterprise, SPARC Severs, PRIMERGY, GP5000, CELSIUS, PRIMEQUEST, その他(AT互換機)

3-2.該当製品・対策Patch

[対象OS名の範囲]
下表の対象OS欄に記載しているOS名は、以下の範囲のOSを表わします。
ただし、サポートOSは、各製品およびVLで異なりますのでご注意下さい。

1. Solarisに該当するOS
   • Oracle Solaris 9以降
2. Windows32に該当するOS
   • Microsoft(R) Windows Server(R) 2008 Datacenter
   • Microsoft(R) Windows Server(R) 2008 Datacenter without Hyper-V(TM)
   • Microsoft(R) Windows Server(R) 2008 Enterprise
   • Microsoft(R) Windows Server(R) 2008 Enterprise without Hyper-V(TM)
   • Microsoft(R) Windows Server(R) 2008 Foundation
   • Microsoft(R) Windows Server(R) 2008 Standard
   • Microsoft(R) Windows Server(R) 2008 Standard without Hyper-V(TM)
   • Microsoft(R) Windows Server(R) 2008 R2 Datacenter
   • Microsoft(R) Windows Server(R) 2008 R2 Enterprise
   • Microsoft(R) Windows Server(R) 2008 R2 Foundation
   • Microsoft(R) Windows Server(R) 2008 R2 Standard
   • Microsoft(R) Windows(R) Small Business Server 2011 Essentials
   • Microsoft(R) Windows Server(R) 2012 Datacenter
   • Microsoft(R) Windows Server(R) 2012 Foundation
   • Microsoft(R) Windows Server(R) 2012 Standard
   • Microsoft(R) Windows Server(R) 2012 R2 Datacenter
   • Microsoft(R) Windows Server(R) 2012 R2 Foundation
   • Microsoft(R) Windows Server(R) 2012 R2 Standard
   • Microsoft(R) Windows Server(R) 2016 Datacenter
   • Microsoft(R) Windows Server(R) 2016 Standard
   • Microsoft(R) Windows Server(R) 2019 Datacenter
   • Microsoft(R) Windows Server(R) 2019 Standard
3. Windows64に該当するOS
   • Microsoft(R) Windows Server(R) 2008 Datacenter
   • Microsoft(R) Windows Server(R) 2008 Datacenter without Hyper-V(TM)
   • Microsoft(R) Windows Server(R) 2008 Enterprise
   • Microsoft(R) Windows Server(R) 2008 Enterprise without Hyper-V(TM)
   • Microsoft(R) Windows Server(R) 2008 Foundation
   • Microsoft(R) Windows Server(R) 2008 Standard
   • Microsoft(R) Windows Server(R) 2008 Standard without Hyper-V(TM)
   • Microsoft(R) Windows Server(R) 2008 R2 Datacenter
   • Microsoft(R) Windows Server(R) 2008 R2 Enterprise
   • Microsoft(R) Windows Server(R) 2008 R2 Foundation
   • Microsoft(R) Windows Server(R) 2008 R2 Standard
   • Microsoft(R) Windows(R) Small Business Server 2011 Essentials
   • Microsoft(R) Windows Server(R) 2012 Datacenter
   • Microsoft(R) Windows Server(R) 2012 Foundation
   • Microsoft(R) Windows Server(R) 2012 Standard
   • Microsoft(R) Windows Server(R) 2012 R2 Datacenter
   • Microsoft(R) Windows Server(R) 2012 R2 Foundation
   • Microsoft(R) Windows Server(R) 2012 R2 Standard
   • Microsoft(R) Windows Server(R) 2016 Datacenter
   • Microsoft(R) Windows Server(R) 2016 Standard
   • Microsoft(R) Windows Server(R) 2019 Datacenter
   • Microsoft(R) Windows Server(R) 2019 Standard
4. Linuxに該当するOS
   • Red Hat(R) Enterprise Linux(R) 5 (for x86)
   • Red Hat(R) Enterprise Linux(R) 6 (for x86)
   • Red Hat(R) Enterprise Linux(R) 7 (for x86)
   • Red Hat(R) Enterprise Linux(R) 5 (for Intel64)
   • Red Hat(R) Enterprise Linux(R) 6 (for Intel64)
   • Red Hat(R) Enterprise Linux(R) 7 (for Intel64)

以下の製品は、上記のいずれかの製品を同梱し、本セキュリティ障害の影響を受ける製品です。

[注意1]：
海外版です。

[注意2]：修正の入手方法
各製品の修正情報などの入手は、製品サポート（法人のお客様向け）のSupportDesk契約が必要です。
各製品についてのお問い合わせは、お客様専用ホームページ［SupportDesk-Web］からお願いします。

参考: 該当製品の確認方法
製品のバージョンを確認するには、製品に添付の「ソフトウェア説明書」を参照してください。

  パッケージの有無およびバージョンは以下の表示結果で確認できます。
  ＜Return＞はリターンキーを押下します。

• Linuxの場合
    # rpm -qi FJSVsmee | grep Version ＜Return＞
    # rpm -qi FJSVsmee64 | grep Version ＜Return＞
• Solarisの場合
    # pkginfo -l FJSVsmee | grep VERSION ＜Return＞
    # pkginfo -l FJSVsme64 | grep VERSION ＜Return＞
• Windowsの場合
  管理者権限の「DOSプロンプト」または「コマンドプロンプト」から
  以下を実施してください。
    reg query "HKLM¥SOFTWARE¥Fujitsu¥Install¥F3FSSMEE" | FIND "VersionLevel" ＜Return＞
    reg query "HKLM¥SOFTWARE¥Wow6432Node¥Fujitsu¥Install¥F3FSSMEE" | FIND "VersionLevel" ＜Return＞

  確認結果が以下のバージョンの場合は修正を適用してください。 

    Windows: V4.1L14 から V4.2L11
    Solaris: 4.1.4 から 4.2.1
    Linux : 4.1.4 から 4.2.1
  上記バージョン以前の場合は、先に「InterstageやSystemwalker関連製品：TLS1.0実装におけるセキュリティ脆弱性の問題」の修正を適用してください。
  OSが64bitの場合、複数(32bit/64bit)のパッケージがインストールされている場合があります。

3-3. 回避方法

パッケージが以下のバージョンの場合は、後述の暗号化方式だけを選択することで回避可能です。

ただし、接続相手も後述の暗号化方式をサポートしている必要があります。

• Windows: V4.2L11
• Solaris: 4.2.1
• Linux  : 4.2.1

暗号化方式

• RSA-AES-128-GCM-SHA256
• RSA-AES-256-GCM-SHA384

4. 関連情報

• CVE-2019-13163
  https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-13163

5. 改版履歴

• 2020年3月12日 第2版
  • 「3. 該当システム・対策情報」に、下記製品を追加しました。
    
    • Systemwalker Desktop Keeper V15.3.1
      
    • Systemwalker Desktop Patrol V15.3.1
      
    • Systemwalker Cloud Business Service Management V1.2.0
      
  • 発生製品を同梱し、本セキュリティ障害の影響を受ける製品に以下の製品を追加しました。
    
    • Interstage Mobile Application Server  1.3.0
    • Symfoware Analytics Server Standard Edition  12.3
    • Internet Navigware Enterprise LMS Server  V9.0L10～V9.0L41A
    • Interstage Big Data Complex Event Processing Server  1.0.0,1.1.0
    • Symfoware Server Enterprise Edition  V12.4.0
    • Systemwalker Centric Manager Enterprise Edition  V13.4.0～V15.3.0
    • Systemwalker Centric Manager Global Enterprise Edition  V13.4.0～V15.2.0
    • Systemwalker Centric Manager Standard Edition  V13.4.0～V15.3.0
    • Systemwalker Software Configuration Manager  V15.0.0～V15.4.0
    • Systemwalker Software Configuration Manager V14g  V14.1.0,V14.1.0A

• 2020年2月6日 新規掲載