NetCOBOL: クロスサイトスクリプティング(XSS)脆弱性 (2017年12月7日)

本セキュリティサイトについてのご注意

1. 脆弱性の説明

NetCOBOL組込みのMeFt/Webサービスマネージャ機能において、クロスサイトスクリプティング(XSS)脆弱性の問題が確認されました。

富士通は、3-3.に回避策を示していますので、早急に対応をお願いします。

2. 脆弱性のもたらす脅威

イントラネット(注)内で悪意のあるサイト運用者が、MeFt/WebサービスマネージャのXSS脆弱性を利用するページを作成することで、このページへアクセスしたユーザ(被害者)のコンピュータ上で、任意のコードを実行することができます。
また、被害者が標的となるサイトを信頼できるサイトとして設定している場合、このコードは信頼できるサイトのものとして実行される可能性があります。

危険なコードには以下のようなものがあります。

• ユーザ入力の読み取り
• cookieの読み取り／上書き
• 第三者への情報の転送

注）製品サポート外のインターネット利用をされている場合、インターネットからの攻撃可能性があります。

3. 該当システム・対策情報

3-1.該当システム

PRIMEQUEST, PRIMERGY, GP5000, CELSIUS, FMVシリーズ, PRIMEPOWER, GP7000F, GP-S, 富士通S Series, SPARC Enterprise, SPARC Servers

3-2.該当製品・対策Patch

[注意1]32ビット版
[注意2]64ビット版

参考: 該当製品の確認方法

製品のバージョンを確認するには、製品に添付されている「ソフトウェア説明書」を参照してください。

3-3. 回避方法

以下の方法で、サービスマネージャの「プログラム起動」、「MeFt/Web ドキュメント編集」および「スプール一覧」の機能を無効にしてください。

無効にする機能は開発時に管理者が使用する機能であるため運用への影響はないと判断しています。
もし、運用時に使用されている場合は、ご契約のサービスサポート窓口までお問い合わせください。

なお、無効にする機能の役割は次のとおりです。
 「プログラム起動」
      開発時にサーバ上の利用者プログラムを起動できる画面を表示する。
 「MeFt/Web ドキュメント編集」
      開発時にMeFt/Webドキュメントを作成・編集する。
 「スプール一覧」
      開発時にサーバにスプールされた印刷要求の一覧を表示する。

      [機能を無効にする方法]

1. Windows版の場合
   1. NetCOBOL(32bit)の場合
      1. 利用しているWebサーバを停止する、かつ
      2. 以下のファイルを削除する、かつ
         
         • (NetCOBOLインストールディレクトリ)\MeFtWeb\mw-mgr\kidou.htm
         • (NetCOBOLインストールディレクトリ)\MeFtWeb\mw-mgr\p_hensyuu.htm
         • (NetCOBOLインストールディレクトリ)\MeFtWeb\mw-mgr\spool.htm
      3. 利用しているWebサーバを起動する。
   2. NetCOBOL(64bit)の場合
      1. 利用しているWebサーバを停止する、かつ
      2. 以下のファイルを削除する、かつ
         
         • (NetCOBOLインストールディレクトリ)\MeFtWeb64\mw-mgr\kidou.htm
         • (NetCOBOLインストールディレクトリ)\MeFtWeb64\mw-mgr\p_hensyuu.htm
         • (NetCOBOLインストールディレクトリ)\MeFtWeb64\mw-mgr\spool.htm
      3. 利用しているWebサーバを起動する。
2. Solaris版の場合
   1. 利用しているWebサーバを停止する、かつ
   2. 以下のファイルを削除する、かつ
      
      • /opt/FSUNmeftw/mw-mgr/kidou.htm
      • /opt/FSUNmeftw/mw-mgr/p_hensyuu.htm
      • /opt/FSUNmeftw/mw-mgr/spool.htm
   3. 利用しているWebサーバを起動する。
3. Linux版の場合
   1. NetCOBOL(32bit)の場合
      1. 利用しているWebサーバを停止する、かつ
      2. 以下のファイルを削除する、かつ
         
         • /opt/FSUNmeftw/mw-mgr/kidou.htm
         • /opt/FSUNmeftw/mw-mgr/p_hensyuu.htm
         • /opt/FSUNmeftw/mw-mgr/spool.htm
      3. 利用しているWebサーバを起動する。
   2. NetCOBOL(64bit)の場合
      1. 利用しているWebサーバを停止する、かつ
      2. 以下のファイルを削除する、かつ
         
         • /opt/FJSVXmeftw/mw-mgr64/kidou.htm
         • /opt/FJSVXmeftw/mw-mgr64/p_hensyuu.htm
         • /opt/FJSVXmeftw/mw-mgr64/spool.htm
      3. 利用しているWebサーバを起動する。

4. 関連情報

ありません。

5. 改版履歴

• 2017年12月7日 新規掲載