[問題]

潜在的なセキュリティの脆弱性が Windows 版 Oracle Web Cache 管理モジュール
(WebCache Manager) で発見されました。

Web Cache 管理プロセスがリスニングしているポートに対して、特定のリクエスト
が送信された場合、管理プロセスがアプリケーションエラーとなり停止します。Web
Cache 管理プロセスの機能を回復するためには、手動で Web Cache 管理プロセスの
再起動を行なってください。

この現象は、Windows 版のみで発生し、Unix プラットフォームの Web Cache 管理
モジュールでは発生しません。また、影響があるのは管理プロセスのみで、キャッ
シュプロセスの動作には問題がなく、キャッシュ機能の動作には何ら影響を与えま
せん。


[問題が与える影響]

Web Cache 管理プロセスの停止により、Web Cache Manager が使用できなくなりま
す。Web Cache Manager は、Web Cache の設定管理を Web クライアントで行なう
ために提供されているものです。

Web Cache 管理プロセスの停止では、キャッシュ機能には何ら影響を与えないこと
にご注意ください。


[対象リリース]

Oracle9i Application Server, Release 9.0.2 付属の Web Cache


[対象プラットフォーム]

Windows のみ


[修正リリース]

Oracle9i Application Server Core Patch Set 9.0.2.2 


[回避策]
以下は、Web Cache の管理プロセスのセキュリティを保つための一般的なセ
キュリティ対策です。以下の保護対策では本問題を完全に回避することはできませ
んが、管理プロセスのポートに対する介入を最小限にします。管理プロセス停止の
リスクをできるだけ抑えるよう、下記対策を行なっていただきますようお願い致し
ます。

・ ファイアウォールの設定により、WebCache の管理プロセスがリスニングしてい
   るポートに外部からアクセスできないようにしてください。これにより、外部の
   悪意を持ったユーザーから管理プロセスが使用しているポートへアクセスするこ
   とを防ぐことができます。

・ Web Cache 「Secure Subnets」機能を使用して、指定した IP アドレスもしくは
   サブネット以外からは、管理プロセスにアクセスできないようにしてください。
   手順は次の通りです。

   Web Cache Manager のトップページ左側のツリーのリンクから、
       -> General Configuration 
         -> Security
   を選択し、表示される「Security」画面の一番下のボタン「Change Trusted Subnets...」
   を押して下さい。表示される画面で「Enter list of IP addresses」を選択し、
   管理画面にアクセスできるホストの IP アドレスを指定してください。


この潜在的なセキュリティの脆弱性はOracle9iApplication Server 9.0.4 リリースにて
修正される予定です。

[謝辞]

オラクル社はこの脆弱性に関する情報を提供していただきました Andreas Junestam
氏に深く感謝を致します。


[更新履歴]
2004/05/18  文書管理情報を更新
2003/05/22  9.0.2.2 にて修正
2002/10/10  公開区分の変更
2002/10/09  本文書の作成