本文へジャンプ

WebSphere Application Server V6.0/V6.1における、異なるユーザーのレスポンス・データが表示されてしまう脆弱性 (WAS-07-027)

WebSphere Application Server (以下WAS) V6.0/V6.1において、ブラウザーとの接続が閉じられたことによるエラー(closed connection exception)が発生したときに、別のユーザーのレスポンス・データの一部として、異なるユーザーのレスポンス・データが表示される場合があります。

内容/目次

更新ログ

(2007/08/01 12:33) 【解決策】欄の分散系(AIXなど)とi5/OSの解決策を6.0~6.0.1.2と6.0.2~6.0.1.2の2つに分け、6.0~6.0.1.2の解決策には、事前にRefresh Pack 2の適用が必要な旨を追加しました。

【概要】
    WebSphere Application Server (以下WAS) V6.0/V6.1において、ブラウザーとの接続が閉じられたことによるエラー(closed connection exception)が発生したときに、別のユーザーのレスポンス・データの一部として、異なるユーザーのレスポンス・データが表示される場合があります。

【対象のお客様】
    WAS V6.0 / V6.1
    対象となるレベルの詳細情報については、下記対象製品をご参照ください。

【対象製品】
    対象プラットフォーム: AIX, Windows, Linux, Solaris, HP-UX, i5/OS (OS/400), z/OS
    対象エディション:  すべてのエディション
    対象バージョン:
      プラットフォーム対象バージョン
      AIX, Windows, Linux, Solaris, HP-UXWAS 6.0の場合:
        ・6.0以上6.0.2.19以下
      WAS 6.1の場合:
        ・6.1以上6.1.0.7以下
      i5/OS (OS/400)WAS 6.0の場合:
        ・6.0以上6.0.2.17以下
        ・6.0.2.19の一部 (2007年5月30日または、それ以降に提供された6.0.2.19の修正プログラムを適用している場合は該当しません) (注3)
      WAS 6.1の場合:
        ・6.1以上6.1.0.7以下
      z/OSWAS 6.0の場合:
        ・6.0以上6.0.2.19以下
      WAS 6.1の場合:
        ・6.1以上6.1.0.8以下

      お使いのWASのバージョン、Fixレベルの確認方法については、こちらの文書をご参照ください。
        【WAS FAQ】WAS V4, V5, V6でのバージョン、Fixレベル確認方法
        Link

      (注1) すべてのFixレベルにおいて、修正プログラムPK41446 (z/OSの場合、PK42875またはPK46618) が適用されている場合は該当しません
      (注2) WAS V4.0, V5.0, V5.1, V6.0.2.21以上、V6.1.0.9以上では、この問題は発生しません。
      (注3) i5/OS (OS/400) プラットフォームにおいて、Fix Pack V6.0.2.19 を適用している場合には、<install_root>/properties/version/os400.java.component ファイルを確認し、インストールしているV6.0.2.19のレベルを確認してください。
        ・build-versionの値が「cf190717.15」の場合、初期バージョンのV6.0.2.19(2007年5月30日以前のレベル)が適用されています。この問題に該当しますので、解決策となる修正プログラムPK41446の適用が必要です
        ・build-versionの値が「cf190717.15」ではない場合、修正バージョンのV6.0.2.19(2007年5月30日または、それ以降のレベル)が適用されています。この問題には該当しませんので、解決策の実施の必要はありません

【障害内容】
    WAS側レスポンス・データ作成中に、ブラウザーとの接続が閉じられたことによるエラー(closed connection exception)が発生したときに、そのタイミングによって下記の3つのケースが発生します。closed connection exceptionは、ブラウザー側でレスポンス・データを取得する前にキャンセルした場合などに発生します。
    ① WAS側でのクリーンナップが正常に完了し、何も問題は発生しない。ほとんどのケースが該当します。
    ② キャンセルされたレスポンス・データが、後続リクエストのレスポンス・データに追加される。
    ③ 後続リクエストのレスポンス・データが、別の後続リクエストのレスポンス・データに追加される。

    これにより、あるユーザーへのレスポンス・データが、意図しない他ユーザーのブラウザー上にレスポンス・データの一部として表示される場合があります。

    ただし、V6.0.2.15またはV6.1.0.2のFix Packが適用されている場合には、上記③のケースが発生することはなく、②のケースが発生する可能性も大きく減少します。

【回避策】
    なし。

【解決策】

    指定の修正プログラム、または修正プログラムの集合であるFix Packを適用してください。

    プラットフォーム対象バージョン解決策
    AIX, Windows, Linux, Solaris, HP-UXWAS V6.0~6.0.1.2Refresh Pack 2 (6.0.2)を適用のうえ修正プログラムPK41446を適用します。
    または、
    Refresh Pack 2 (6.0.2)を適用のうえV6.0.2.21以上の最新のFix Packを適用します。
    WAS V6.0.2~6.0.2.19修正プログラムPK41446を適用します。
    または、
    V6.0.2.21以上の最新のFix Packを適用します。
    WAS V6.1~6.1.0.7修正プログラムPK41446を適用します。
    または、
    V6.1.0.9以上の最新のFix Packを適用します。
    i5/OS (OS/400)WAS V6.0~6.0.1.2Refresh Pack 2 (6.0.2)を適用のうえ修正プログラムPK41446を適用します。
    または、
    Refresh Pack 2 (6.0.2)を適用のうえV6.0.2.21以上の最新のFix Packを適用します。
    WAS V6.0.2~6.0.2.17修正プログラムPK41446を適用します。
    または、
    2007年5月30日または、それ以降提供のV6.0.2.19以上の最新のFix Packを適用します。
    WAS V6.0.2.19修正プログラムPK41446を適用します。
    WAS V6.1~6.1.0.7修正プログラムPK41446を適用します。
    または、
    V6.1.0.9以上の最新のFix Packを適用します。
    z/OSWAS V6.0~6.0.2.19V6.0.2.20以上の最新のFix Packを適用します。
    (これらのFix Packに修正プログラムPK41446/PK42875が含まれます。)
    WAS V6.1~6.1.0.8V6.1.0.9以上の最新のFix Packを適用します。
    (これらのFix Packに修正プログラムPK41446/PK46618が含まれます。)

    修正プログラムPK41446 (for AIX, Windows, Linux, Solaris, HP-UX, i5/OS (OS/400))
      【PK41446; Possible response buffer corruption after closed connection error】
    Link先
    最新のFix Pack (for AIX, Windows, Linux, Solaris, HP-UX, i5/OS (OS/400))
    最新のFix Pack(for i5/OS (OS/400))
    最新のFix Pack(for z/OS)
      【APAR/PTF Tables by version for IBM WebSphere Application Server for z/OS】
      Link先
【参考情報】

文書情報

有効期限: 2012年7月22日
資料番号: WAS-07-027

掲載内容について

当サイトは、お客様の問題解決のためのヒントとしてご利用ください。 当サイトにおける記載内容は、お客様固有の問題に対し、適切であるかどうか、また、正確であるかどうかは十分検証されていません。 結果について、いかなる保証も責任も負いかねますので、あらかじめご了承ください。

商標について

IBM、IBM(logo)、developerWorks、Lotus、PartnerWorld、Rational、Tivoli、 WebSphereはIBM Corporationの商標です。 他の会社名、製品名およびサービス名等はそれぞれ各社の商標です。

ソフトウェアサポート

ソフトウェア製品のサポート技術情報

ハードウェアサポート

ハードウェア製品のサポート技術情報