|
IHS 1.3, 2.0, 6.0において、複数のセキュリティーの脆弱性が報告されています。
この脆弱性に対応するには、修正プログラムを適用してください。
IBM HTTP Server(以下IHS) 1.3, 2.0, 6.0において、下記の複数のセキュリティーの脆弱性が報告されています。この脆弱性に対応するには、下記[対応方法]の修正プログラムを適用してください。
【IHS 2.0, 6.0に該当する脆弱性】
- CAN-2005-2088
HTTP Proxyを使用している場合、悪意のあるHTTPリクエストの送信により、HTTPリクエストの分割による攻撃や偽装が行われるApache 2.0と1.3の脆弱性
尚、この脆弱性はIHSをProxy構成にして使用している場合のみ該当します。デフォルトでは、IHSのProxy関連は未構成です。(httpd.conf構成ファイルにおいて、mod_proxyモジュールを有効にしている場合のみこの脆弱性に該当します。)
- CAN-2005-2491
Apache 2.0で使用しているPerl互換正規表現(PCRE)の欠陥により、バッファーオーバーフローが引き起こされる脆弱性
- CAN-2005-2728
Apache 2.0で使用しているbyte-rangeフィルターの欠陥により、悪意のあるリクエストにより、DoS攻撃を引き起こされる脆弱性
- CAN-2005-2970
特殊な状況における接続の中断で、worker MPMでメモリーリークが発生するApache 2.0の脆弱性
【IHS 1.3に該当する脆弱性】
尚、CAN-2005-1268のmod_sslの脆弱性は、いずれのバージョンのIHSにも該当しません。
CAN-2005-2088, 2491, 2728, 2970の4つの脆弱性に該当する製品とCAN-2005-2088のみに該当する製品があります。
CAN-2005-2088, 2491, 2728, 2970の4つの脆弱性に該当する製品
IBM HTTP Server 2.0.x
IBM HTTP Server 6.0.0.x, 6.0.1.x, 6.0.2.0, 6.0.2.1, 6.0.2.2
(Apache 2.0.55より古いリリースをベースにしているIHSが該当します)
CAN-2005-2088の脆弱性のみに該当する製品
IBM HTTP Server 1.3.x
(Apache 1.3.34より古いリリースをベースにしているIHSが該当します)
IHSのバージョンの確認方法は以下の通りです。
| AIXや他のUnix、Linuxの場合 |
 |
IHSのインストールディレクトリ/binでapachectl -vを実行。
[/usr/IHS/bin]./apachectl -v
Server version: IBM_HTTP_SERVER/2.0.47 Apache/2.0.47
Server built: Oct 10 2003 11:33:10
(IHS 1.3.*の場合は、 httpd -v でバージョンを確認できます。)
|
| |
| Windowsの場合 |
 |
IHSのインストールディレクトリ/binでapache -vを実行。
>apache -v
Server version: IBM_HTTP_SERVER/6.0.2 Apache/2.0.47
Server built: May 11 2005 17:32:46
|
IHS 1.3.xの場合 修正コードPK13959を含んだ最新の累積修正プログラム(PK16139)をダウンロードし、適用してください。修正プログラムの入手先は以下になります。(2006/7/26現在)
| 補足1) |
最新のIHSの累積修正プログラムの情報は以下のWebページで確認可能ですので、最新の累積修正プログラムをご利用ください。
|
 |
| 補足2) |
サポート期間を終了しているWAS 4.0において標準で使用されているIHS 1.3.19もこの脆弱性に該当しますが、IHS1.3.19の修正プログラムの提供はありません。 WASv4.0.2-4.0.7ではプラグインを更新することで、IHS 1.3.26およびIHS 2.0.42での動作がサポートされていますので、IHS 1.3.26、またはIHS 2.0.42に置き換えることで対応が可能となります。
|

IHS 2.0.xの場合 修正プログラムPK13230を含んだ最新の累積修正プログラム(PK25355)をダウンロードし、適用してください。(2006/07/26現在)
| 補足1) |
最新のIHSの累積修正プログラムの情報は以下のWebページで確認可能ですので、最新の累積修正プログラムをご利用ください。
|

IHS 6.0.xの場合 最新の修正プログラム6.0.2.11をダウンロードし、適用してください。(2006/07/26現在)
| 補足1) |
CAN-2005-2088の脆弱性の修正は、修正プログラム6.0.2.1に含まれ、その他3つの脆弱性の修正は、修正プログラム6.0.2.3に含まれています。(6.0.2.11に6.0.2.1、6.0.2.3の修正はすべて含まれますので、6.0.2.11のみを適用することによって4つの脆弱性にすべて対応できます。) |
 |
| 補足2) |
最新のIHSの累積修正プログラムの情報は以下のWebページで確認可能ですので、最新の累積修正プログラムをご利用ください。
|
PAテクニカルサポート総合窓口
(有効なメンテナンス契約IBM番号をお持ちのお客様)
電話:0120-557-971
受付時間:月〜金 9:00〜17:00(祝日、12/30〜1/3を除く)
更新履歴: (2006年7月28日)IHS 1.3.x用の修正プログラム(PK13595)を含む累積修正プログラム(PK16139)のダウンロード先を追加しました。 (2005年12月2日)この脆弱性が該当するProxy構成について説明を追加しました
|
|
|