cve-2008-3106.html

作成者: Oracle Corporation

セキュリティ勧告: (CVE-2008-3106)

概要: XMLデータの処理に関連するJava Runtime Environmentのセキュリティ脆弱性により情報漏洩が発生する

影響を受ける製品: Oracle JRockit

JRockitの特定のバージョンにおいて、セキュリティ脆弱性の原因となる可能性がある問題が確認されました。この問題を修正するためのパッチが提供されています (後続のセクションIIIを参照)。Oracleでは、潜在的なセキュリティの問題を最も緊急度の高い問題として取り扱い、お客様のすべての資産のセキュリティを確保するために可能な限りの措置を講じます。結果として、弊社では以下の対処策を強く提案します。

I. 以下の勧告に目を通します。

II. 対処方法を適用します。

III. 今後のセキュリティ勧告に関心をお持ちのユーザをご存知の場合は、この勧告に含まれる登録に関する手順をぜひ転送してください。

I. 勧告

II. 影響およびCVSS評価

CVSS評価値:4.3 (中)
攻撃元区分 (AV): ネットワーク、被害者は自主的に攻撃メカニズムに対処する必要がある
攻撃条件の複雑さ (AC): 中
攻撃前の認証要否 (Au): なし
影響: 機密性の一部が影響を受ける
脆弱性のタイプ: 情報漏洩
CVSS基本値区分: (AV:N/AC:M/Au:N/C:P/I:N/A:N)

Complete CVSS Guide: http://www.first.org/cvss/cvss-guide.html
Online Calculator: http://nvd.nist.gov/cvss.cfm?calculator&version=2

注: CVSS基本値とその区分はNVD (National Vulnerability Database) によって決定されたものです。

III. 影響を受けるバージョン

この脆弱性の影響を受けるのは、 Oracle JRockitの次に示すバージョンです。

以下のバージョンを含む2008年7月28日以前の Apache プラグイン:

JRockit R27.6.0とそれ以前のリリース、JREおよびJDK 5.0
JRockit R27.6.0とそれ以前のリリース、JREおよびJDK 6

IV. 対処方法

Oracle では、以下の一連の対処方法に従うことを強く推奨します。

Java 5.0またはJava 6を使用しているJRockit R27.6.0またはそれ以前のリリース

1. JRockit R27.6.0またはそれ以前のリリースを使用している場合、以下に示す適切なパッチをダウンロードして一時ディレクトリにパッチを保存します。

注:上記のパッチは、CVE2008-3103, CVE2008-3104, CVE2008-3105, CVE2008-3106, CVE2008-3108, CVE2008-3109 および CVE2008-3110 の修正を含みます。

2. JRockitのパッチバージョンを一時ディレクトリに解凍します。

3. JRockitをインストールしているルートディレクトリを探します。通常はBEAフォルダの「jrockit_150_xx」です。

4.「jrockit_150_xx」ディレクトリを「JRockit_150_xx-Pre-SecAdv-Aug08」にリネームします。

5. 解凍したJRockitのパッチバージョンを一時ディレクトリから旧バージョンがインストールされていた場所に移動します。

6. JRockitのパッチバージョン上で"java -version"を実行すると以下の出力結果となります (windows x86 32 bitバージョンでの例)。
java version "1.5.0_15"
Java(TM) 2 Runtime Environment, Standard Edition (build 1.5.0_15-b04)
BEA JRockit(R) (build R27.6.0-50_o_CR373585-101992-1.5.0_15-20080813-1050-windows-ia32, compiled mode)

注: パッチファイルでアップデートをおこなう前にオリジナルファイルを保存されることを強く推奨します。

Oracleは、当社のすべてのセキュリティ勧告で推奨される修正をお客様が適用されることを強く提案します。またOracleは、BEA製品について、お客様にすべてのサービス/メンテナンスパックをリリース後直ちに適用していただくことも強く要請します。サービス/メンテナンスパックには、以前の各サービス/メンテナンスパックに加えて、製品の各バージョンに対するすべてのバグ修正が累積的に含まれています。サービス/メンテナンスパックおよびサービス/メンテナンスパックについての情報は次の場所で公開しています。

Oracle JRockit: http://www.oracle.com/technology/software/products/jrockit/index.html
WebLogic Server: http://commerce.bea.com/showallversions.jsp?family=WLS
WebLogic Platform: http://commerce.bea.com/showallversions.jsp?family=WLP

注: WebLogic ServerおよびWebLogic Expressのセキュリティについての情報は、 http://edocs.beasys.co.jp/e-docs/wls/docs100/security.htmlをご覧ください。特定のプロダクション環境のセキュリティに関する情報については、 http://edocs.beasys.co.jp/e-docs/wls/docs100/lockdown/index.htmlをご覧ください。Oracleは、サーバのデプロイメントが安全にコンフィグレーションされていることをお客様が確信できるように、このドキュメントに再度目を通されることを強くお勧めします。

V. セキュリティに関する伝達方針

BEA製品に関する過去のすべての勧告および通知は、
https://support.bea.com/application_content/product_portlets/securityadvisories-ja/index.html でご覧いただけます。

BEA製品の勧告の配信登録を新しく希望するユーザは、
https://support.bea.com/application_content/product_portlets/securityadvisories-ja/index.html の登録に関する指示に従ってください。

VI. セキュリティ関連の問題の報告

BEA製品のセキュリティ関連の問題をOracleに報告するには、 https://support.bea.com/application_content/product_portlets/securityadvisories-ja/index.html の指示に従ってください。

この勧告についての疑問またはこの勧告の信頼性を検証する必要がありましたら、BEA製品担当のOracleテクニカルサポート ( support@bea.com) までご連絡ください。

II. 影響およびCVSS評価

III. 影響を受けるバージョン

IV. 対処方法

V. セキュリティに関する伝達方針

VI. セキュリティ関連の問題の報告

Oracleアカウント

Oracleアカウント

クラウド・アカウント

I. 勧告

お問い合わせ

日本オラクルについて

クラウド

イベント

おすすめコンテンツ

ニュース

主要トピック

Integrated Cloud Applications & Platform Services