《重要》【障害情報】WAS V5.1/6.0/6.1および V7.0上で稼動するWebモジュールに含まれるファイルが閲覧・実行される可能性 (WAS-09-015)

【重要情報】Webベース・アプリケーション(Webサービス・アプリケーションを含む)がWAS上で稼動している場合、warモジュールに含まれる静的ファイル（一時ファイルを含む）をリモートから閲覧されたり実行されたりする可能性があります。このアプリケーションには、セキュリティーが無効の状態のWASの管理コンソールも含まれます。当文書に記載の解決策の適用をお願いします。回避策はありません。

内容/目次

更新ログ

(2009/04/24 20:13) 「PK60256はV6.1.0.9のレベルに対してのみ提供されています。」を追加。
(2009/04/30 17:32) 件名を修正しました。PK83788のテクニカルフラッシュのリンク先を追記しました。
(2009/06/29 10:06) 分散プラットフォームに対して、V5.1の各レベルでの修正モジュールが提供されたことに伴い、"解決策"の表を更新しました。
(2009/07/06 23:01) 「・修正モジュール適用時にご注意いただきたい点」以降を削除
(2009/07/13 20:14) ８．解決策： - z/OSの場合を修正しました。

内容について確認が必要な場合は、IBMサービス・ラインにお問い合わせ下さい。

【1. 対象のお客様：】
WebSphere Application Server( 以下 WAS ) V5.1, 6.0, 6.1および V7.0をお使いのお客様
WebSphere Enterprise Service Bus( 以下 WESB ) V6.0, V6.1, V6.2をお使いのお客様
WebSphere Commerce( 以下 WC ) V5.6.1, V6.0をお使いのお客様

※WebSphere Portal Family製品に対する影響、対応策についても外部サイトに公開されています。
詳細は下記【9.参考情報】に掲載しているリンクをご参照ください。

【2. 対象ソフトウェア：】
対象プラットフォーム　　　：AIX 、 HP-UX 、 Linux 、 Solaris 、 Windows、 i5/OS、 z/OS
対象エディション　　　　　　：全てのエディション
WAS V5.1 ～ 5.1.1.19
WAS V6.0 ～ 6.0.2.33
WAS V6.1 ～ 6.1.0.22
WAS V7.0 ～ 7.0.0.1

対象プラットフォーム　　　：AIX 、 HP-UX 、 Linux 、 Solaris 、 Windows、 i5/OS、 z/OS
WESB V6.0.1 ～ 6.0.1.6
WESB V6.0.2 ～ 6.0.2.5
WESB V6.1 ～ 6.1.2.2
WESB V6.2.0

対象プラットフォーム　　　：AIX 、 Linux 、 Solaris 、 Windows、 i5/OS
対象エディション　　　　　　：Enterprise
WC V6.0

対象プラットフォーム　　　：Linux 、Windows、 i5/OS
対象エディション　　　　　　：Express
WC V5.6.1
WC V6.0

対象プラットフォーム　　　：AIX 、 Linux 、 Solaris 、 Windows、 i5/OS
対象エディション　　　　　　：Business Edition
WC V5.6.1

【3. 障害内容：】
Webベース・アプリケーション(Webサービス・アプリケーションを含む)がWAS上で稼動している場合、warモジュールに含まれるファイル（一時ファイルを含む）をリモートから閲覧されたり実行されたりする可能性があります。
このアプリケーションには、セキュリティーが無効の状態のWASの管理コンソールも含まれます。

【4. 原因：】
セキュリティーの脆弱性問題であるため詳細は公開されません。

【5. 発生条件：】
アプリケーションに対して閲覧を目的とした特別なリクエストを受け取った場合。

【6. 確認方法：】
該当する修正レベルであるかをご確認ください。

【7. 回避策：】
回避策はありません。

【8. 解決策：】
PK81387 の修正プログラムは、下記サイトから入手いただけます。

PK81387; 7.0.0.1: Possible application source file exposure

お使いのWASのレベル、OSによって対応方法が異なりますので、下表の解決策をご確認ください。

※WAS V6.1、7.0に対しては本事象の修正が含まれる累積修正(それぞれFixPack23、FixPack3)がリリースされています。
修正モジュールPK81387は暫定修正(個別修正)であり、それが含まれる累積修正がリリースされるまでの一時的なものになります。
そのため、解決策としては累積修正の適用をご検討頂けますようお願い致します。

【分散プラットフォーム(AIX, HP-UX, Solaris, Windows, Linux) の場合】

【i5/OSの場合】

【z/OSの場合】
■V7.0からV7.0.0.1までの場合
Fix Pack V7.0.0.3（もしくはそれ以降）を適用してください。PK81387の修正策はV7.0.0.3のPTF群の内、UK45120（APAR PK81944）に含まれます。

■V6.1からV6.1.0.22までの場合
Fix Pack V6.1.0.23（もしくはそれ以降）を適用してください。PK81387の修正策はV6.1.0.23のPTF群の内、UK44450（APAR PK81212）に含まれます。

■V6.0からV6.0.2.33までの場合
Fix Pack V6.0.2.34（もしくはそれ以降）を適用したください。PK81387の修正策はV6.0.2.34のPTF群の内、UK45080（APAR PK82244）に含まれます。

■V5.1からW510247までの場合
W510247に適用可能な修正プログラムPK81387 がリクエストに応じて利用可能です。
V5.1は2008年9月末をもってEOS(end of service)となっております。

APAR/PTF Tables by version for IBM WebSphere Application Server for z/OS