セキュリティアドバイザリ
セキュリティ勧告: （BEA01-10.00)

作成者: BEA Systems Inc.

概要: BEA TuxedoにおけるTDomainゲートウェイ脆弱性に対するパッチの提供

影響を受ける製品: BEA Tuxedo 6.3、6.4、6.5、6.5.1、7.1、7.1.1、BEA WebLogic Enterprise 4.2、5.0、および5.1

脅威レベル: 中

BEA TuxedoおよびBEA WebLogic Enterpriseの不具合を利用する、潜在的なセキュリティ脆弱性の存在が確認されました。この脆弱性は、すべてのサポート対象プラットフォーム上のBEA Tuxedoバージョン6.3、6.4、6.5、6.5.1、7.1、7.1.1、およびBEA WebLogic Enterpriseバージョン4.2、5.0、および5.1に影響します。BEAでは、潜在的なセキュリティの問題を最も緊急度の高い問題として取り扱い、お客様のすべての資産のセキュリティを確保するために可能な限りの措置を講じます。結果として、弊社では以下の対処策を強く提案します。

      I. 以下の勧告に目を通します。

      II.対処方法を適用します。

      III.今後のセキュリティ勧告に関心をお持ちのユーザをご存知の場合は、この勧告に含まれる、登録に関する手順をぜひ転送してください。

I. 勧告

TDomainゲートウェイを通じて、Tuxedoドメイン内のサービスへの未認可アクセスを許す可能性がある脆弱性が、BEA TuxedoおよびBEA WebLogic Enterpriseの各バージョンで確認されました。これは、TDomainゲートウェイに存在する不具合が原因です。DomainゲートウェイのdmconfigファイルでSECURITY=APP_PWまたはSECURITY=DM_PWの設定を使用するとき、ゲートウェイは、リモートドメインの身元識別情報を検証する接続認可チェックが完了する前に、リモートドメインがリクエスト（たとえば、オブジェクト呼び出し、TPCALLおよびTPCONNECT）を送信することを許可します。これはTDomainゲートウェイのみに影響します。

TDomainゲートウェイは、TDomainsプロトコルを偽装するシステムからの攻撃のみに対して脆弱です。その他のTDomainゲートウェイからの攻撃に対しては脆弱ではありません。標準のTDomainゲートウェイが接続の両端で稼働している場合は、認可チェックは適切に完了し、接続確立認可チェックが完了するまではいかなるリクエストの送信も許可されません。

II. 対処方法

BEAでは、以下の一連の対処方法に従うことを強く推奨します。

  • バージョン: BEA Tuxedo 6.3、6.4、6.5、6.5.1、7.1、7.1.1、およびBEA WebLogic Enterprise 4.2、5.0、および5.1

    dmconfigのSECURITYパラメータがAPP_PWまたはDM_PWに設定されたTDomainゲートウェイを介してサービスを提供しているすべてのTuxedoまたはWebLogic Enterpriseノードについて、次のリストを参考にして、お使いのTuxedoまたはWebLogic Enterpriseシステムのリリース用のローリングパッチ番号を確認し、その番号以上のローリングパッチを適用します。

    • リリース ローリングパッチ番号
      • Tuxedo 6.3 183
      • Tuxedo 6.4 294
      • Tuxedo 6.5および6.5.1  243
      • Tuxedo 7.1および7.1.1 57
      • WLE 4.2 36
      • WLE 5.0 32
      • WLE 5.1 22
注： TDomainセキュリティを有効にした（dmconfigのSECURITYパラメータがAPP_PWまたはDM_PWに設定されるときの）Tuxedo 7.1（および7.1.1）用のローリングパッチ57またはそれ以降を使用するとき、ローリングパッチがインストールされていないTuxedo 7.1システムとの相互運用はできません。これは、バージョン7.1（またはそれ以上）の2つのTuxedoシステム間で使用されるTDomain接続セキュリティプロトコルが改訂されたことが理由です。dmconfigのSECURITYパラメータがNONEに設定されるときの相互運用は影響を受けません。また、7.1以前のリリースとの相互運用も影響を受けません。

目的のハードウェアプラットフォーム用のパッチを入手するには、保守契約をご締結のカスタマサポート窓口（BEAパートナ（販売代理店）、またはBEAカスタマサポート）までご連絡ください。

BEA Systemsは、当社のすべてのセキュリティ勧告で推奨される修正をお客様が適用されることを強く提案します。 またお客様には、すべてのサービスパックをリリース後直ちに適用していただくことも推奨します。サービスパックには、以前にリリースされた各サービスパックに加えて、製品の各バージョンに対するすべてのバグ修正が累積的に含まれています。

III. セキュリティに関する伝達方針

BEA製品にセキュリティ関連の問題が見つかった場合、BEA Systemsは勧告および適切な対策を示した指示を配信させていただく方針です。お客様のサイト、データ、およびコードのセキュリティは当社にとって最優先事項ですので、セキュリティ関連の問題はすべて包み隠さずはっきりとお伝えすることを約束します。

BEAは、製品のセキュリティに関する勧告のみを目的とした、パーミッションベースのメーリングリストを開設いたしました。ユーザがこのメーリングリストに参加しており、そのユーザが利用しているBEA製品にセキュリティ関連の問題が存在する場合、BEAは必要な勧告および指示を、適切な対処策とともに電子メールで配信させていただく方針です。

お客様のサイトにセキュリティ関連の問題を担当されるユーザが他にもいる場合は、 今後のセキュリティ通知用に登録をお勧めください。

IV. セキュリティ関連の問題の報告

BEA製品のセキュリティに関する問題の可能性を報告していただける電子メールアドレスを設けました。セキュリティの問題に関する報告は、 security-report@bea.comまでお送りください。このアドレスに対するすべてのメールは直ちに確認され、お客様のすべての資産の継続的なセキュリティを確保するために必要なあらゆる措置が講じられます。