WAS V6.0/6.1 でTAMを使用したSSO構成における、セッション・クロスオーバーの脆弱性

公開日： 2007年6月18日
更新日： 2007年6月28日、更新概要は更新履歴を参照してください。

WebSphere Application Server (以下WAS) V6.0/6.1で、認証プロキシー・サーバーとしてTivoli Access Manager (TAM) を使用し、TAI++ (Trust Association Intercepter Plus) の機能によりSSO（シングル・サインオン）を構成している環境で、セッション・クロスオーバーが発生する場合があります。この問題は、大量のユーザー・リクエストが行われ、高負荷がかかった場合に発生する場合があります。

セッション・クロスオーバーが発生することにより、異なるユーザーの情報を使用して、WAS上でリクエストが処理される場合があります。

	対象バージョン：	WAS V6.0 (WAS V6.0.x.yのすべてのバージョン)
		WAS V6.1 (WAS V6.1.0.xのすべてのバージョン)
	対象プラットフォーム：	Windows, AIX, Linux, Solaris, HP-UX
	対象エディション：	全てのエディション

かつ

【FAQ】WAS V4, V5, V6でのバージョン、Fixレベル確認方法

1. 管理コンソールにログインします。
2. 左側のナビゲーション・パネルで、[セキュリティー]-[グローバル・セキュリティー]を選択します。
3. メインのワークスペースで、[認証]の項目の[認証メカニズム]-[LTPA]を選択します。
4. [追加プロパティー]-[トラスト・アソシエーション]を選択します。
5. 「トラスト・アソシエーションを使用可能にする 」のチェックボックスの状態を確認します。
   ONの場合：　トラスト・アソシエーションが有効です。6のチェックに進んでください。
   OFFの場合：　トラスト・アソシエーションは無効です。この脆弱性には該当しません。
6. [追加プロパティー]-[インターセプター]を選択します。
7. インターセプター・クラス名「com.ibm.ws.security.web.TAMTrustAssociationInterceptorPlus」のリンクをクリックします。
8. [追加プロパティー]-[カスタム・プロパティー]を選択します。
9. カスタム・プロパティーの項目に「com.ibm.websphere.security.webseal.loginId」などの名前と値が登録されている場合には、この脆弱性に該当します。
   カスタム・プロパティーに名前が登録されていない場合には、TAI++は設定されていませんので、この脆弱性には該当しません。

1. 管理コンソールにログインします。
2. 左側のナビゲーション・パネルで、[セキュリティー]-[管理、アプリケーション、およびインフラストラクチャーの保護]を選択します。
3. メインのワークスペースで、[認証]の項目の[Webセキュリティー]-[トラスト・アソシエーション]を選択します。
4. 「トラスト・アソシエーションを使用可能にする 」のチェックボックスの状態を確認します。
   ONの場合：　トラスト・アソシエーションが有効です。5のチェックに進んでください。
   OFFの場合：　トラスト・アソシエーションは無効です。この脆弱性には該当しません。
5. [追加プロパティー]-[インターセプター]を選択します。
6. インターセプター・クラス名「com.ibm.ws.security.web.TAMTrustAssociationInterceptorPlus」のリンクをクリックします。
7. [追加プロパティー]-[カスタム・プロパティー]を選択します。
8. カスタム・プロパティーの項目に「com.ibm.websphere.security.webseal.loginId」などの名前と値が登録されている場合には、この脆弱性に該当します。
   カスタム・プロパティーに名前が登録されていない場合には、TAI++は設定されていませんので、この脆弱性には該当しません。

【WAS V6.0.x/6.1.0.x 共通】
修正プログラムを適用します。
2007年6月18日現在、Web経由での修正プログラムの提供は行われていないため、必要な場合は下記PAテクニカルサポートにお問い合わせください。
この修正プログラムは、次回の累積修正プログラム(6.0.2.21と6.1.0.11)に含まれる予定です。
最新の累積修正プログラムのダウンロードや次回の提供予定日については下記のサイトをご覧ください。

Recommended fixes for WebSphere Application Server (US)

PAテクニカルサポート総合窓口
(有効なメンテナンス契約IBM番号をお持ちのお客様。)
電話 ：0120-557-971
受付時間 ：月〜金 9:00〜17:00(祝日、12/30〜1/3を除く)

IBM Technical Support「PK44264: Unexpected user switch by accidental credential cache hit with SSO enabled configuration.」(US)

上に戻る