（参考）XML Access の脆弱性の問題について（APAR PK67104）

WebSphere Portal (WP)、Lotus (Workplace) Web Content Management および Lotus Quickr services for WebSphere Portal の XmlAccess コンポーネントで、重大な脆弱性の問題が報告されました。

ある特定の環境下で、リモートの攻撃者がネットワークを経由して、通常の WebSphere Portal のセキュリティをバイパスしてしまう可能性があります。この攻撃により、侵入者が管理コマンドを正規の権限なしに実行できてしまう可能性があります。この問題は、National Australia Bank の Security Assurance チームにより報告されました。

この問題は WebSphere Portal 6.0.1 Fix Pack 4 (6.0.1.4) で修正されました。

下記のバージョンをご利用のお客様は、APAR PK67104 を適用してください。

※ 以下は WebSphere Portal のバージョンになります。Lotus (Workplace) Web Content Management や Lotus Quickr をご利用の場合は、それらのベースとなっている WebSphere Portal のバージョンをご確認ください。

• WebSphere Portal 6.1.0.0
• WebSphere Portal 6.0.0.0, 6.0.0.1, 6.0.1.0, 6.0.1.1, 6.0.1.3
• WebSphere Portal 5.1.0.2, 5.1.0.3, 5.1.0.4, 5.1.0.5

• Unix系
  <WP 導入ディレクトリ>/bin/WPVersionInfo.sh
• Windows
  <WP 導入ディレクトリ>/bin/ WPVersionInfo.bat

• Windows
  <Quickr 導入ディレクトリ>/bin/ WPVersionInfo.bat

本事象はセキュリティ問題に該当しているため、問題の再現手順など詳細に関するお問い合わせについて、ここに掲載された以上の情報提供を行っておりません。セキュリティ保全の観点による措置のため、あらかじめご了承くださいますようお願いします。

重要度、発生頻度など当事象を評価する情報については、以下の CVSS 評価値を利用ください。CVSS の評価値の読み方については、「共通脆弱性評価システム CVSS V2 概説」 をご参照ください。

(英文)「Fix Available: Security vulnerability in XML Access (versions 6.0, 6.1)」(Technote #1318491)
(英文)「Fix Available: Security vulnerability in XML Access (versions 5.1)」(Technote #1318500)
(英文)「Required fix for Lotus Quickr services for Portal to address XML Access vulnerability」(Technote #1367105)
「（参考）Lotus Expeditor 6.1、6.2 に関連する XML Access の脆弱性の問題について」(Technote #732326)

----- 更新履歴 -----
2008/09/16 初公開
2008/10/02 WCM の記載と、バージョンの確認方法を追加
2009/03/04 関連文書 #1367105 と #732326 の追加