セキュリティ勧告: (CVE-2008-4010)
概要: 一部のNetUIタグに存在する権限の昇格の脆弱性
影響を受ける製品: WebLogic Workshop
WebLogic Workshopの特定のバージョンにおいて、セキュリティ脆弱性の原因となる可能性がある問題が確認されました。この問題を修正するためのパッチが提供されています (後続のセクションIIを参照)。Oracleでは、潜在的なセキュリティの問題を最も緊急度の高い問題として取り扱い、お客様のすべての資産のセキュリティを確保するために可能な限りの措置を講じます。結果として、弊社では以下の対処策を強く提案します。
I. 以下の勧告に目を通します。
II. 対処方法を適用します。
III. 今後のセキュリティ勧告に関心をお持ちのユーザをご存知の場合は、この勧告に含まれる登録に関する手順をぜひ転送してください。
I. 勧告
一部のNetUIタグに存在する脆弱性により、攻撃者が権限のないデータを読み取る可能性があります。ネットワークを通じてこの脆弱性が悪用される可能性があります。
II. 影響およびCVSS評価
CVSS評価値: 6.8 (中)
攻撃元区分 (AV): ネットワーク
攻撃条件の複雑さ (AC): 中
攻撃前の認証要否 (Au): なし
影響: 機密性、完全性、可用性の全体が影響を受ける
脆弱性のタイプ: 権限の昇格
CVSS基本値区分: (AV:N/AC:M/Au:N/C:P/I:P/A:P)
Usage of CVSS by Oracle:
http://www.oracle.com/technology/deploy/security/cpu/cvssscoringsystem.htm
III. 影響を受けるバージョン
この脆弱性の影響を受けるのは、 WebLogic Workshopの次に示すバージョンです。
- WebLogic Workshop 10.3 GA (全プラットフォーム対象)
- WebLogic Workshop 10.2 GA (全プラットフォーム対象)
- WebLogic Workshop 10.0のメンテナンスパック1までの全リリース (全プラットフォーム対象)
- WebLogic Workshop 9.2のメンテナンスパック3までの全リリース (全プラットフォーム対象)
- WebLogic Workshop 9.1 GA (全プラットフォーム対象)
- WebLogic Workshop 9.0 GA (全プラットフォーム対象)
- WebLogic Workshop 8.1のサービスパック6までの全リリース (全プラットフォーム対象)
IV. 対処方法
Oracle では、以下の一連の対処方法に従うことを強く推奨します。
WebLogic Workshop 10.3
Smart Update toolを使用して、CR379951の10.3用パッチをインストールします。
WebLogic Workshop 10.2
Smart Update toolを使用して、CR368783の10.2用パッチをインストールします。
WebLogic Workshop 10.0
1. WebLogic Workshop 10.0メンテナンスパック1にアップグレードします。
2. Smart Update toolを使用して、CR368782の10.0用パッチをインストールします。
WebLogic Workshop 9.2、9.1、9.0
1. WebLogic Workshop 9.2メンテナンスパック3にアップグレードします。
2. Smart Update toolを使用して、CR352906の9.2用パッチをインストールします。
WebLogic Workshop 8.1
- WebLogic Server 8.1 サービスパック 6 にアップグレードします。
- 以下の通り、パッチ 7825200 を Metalink からダウンロードして、適用してください。
- Oracle Metalink にログインして、'パッチと更新版' のタブを選択してください。
- '単純検索' をクリックしてください。
- '検索基準' のリストから 'パッチ番号/名称' を選択してください。
- パッチ番号を入力してください。プロダクトとプラットフォームにより、パッチ番号が異なることがあります。
- 'プラットフォームまたは言語' のリストから、該当プラットフォームを選択してください。
- '実行' をクリックしてください。
- パッチをダウンロードするには、'ダウンロード' をクリックしてください。
- zipファイルに含まれているreadmeファイルの指示に従って、パッチをインストールします。
http://www.oracle.com/technology/software/products/ias/bea_main.html
注: WebLogic ServerおよびWebLogic Expressのセキュリティについての情報は、 http://edocs.beasys.co.jp/e-docs/wls/docs100/security.htmlをご覧ください。特定のプロダクション環境のセキュリティに関する情報については、 http://edocs.beasys.co.jp/e-docs/wls/docs100/lockdown/index.htmlをご覧ください。Oracleは、サーバのデプロイメントが安全にコンフィグレーションされていることをお客様が確信できるように、このドキュメントに再度目を通されることを強くお勧めします。
V. セキュリティに関する伝達方針
BEA製品に関する過去のすべての勧告および通知は、
https://support.bea.com/application_content/product_portlets/securityadvisories-ja/index.html でご覧いただけます。
BEA製品の勧告の配信登録を新しく希望するユーザは、
https://support.bea.com/application_content/product_portlets/securityadvisories-ja/index.html の登録に関する指示に従ってください。
VI. セキュリティ関連の問題の報告
BEA製品のセキュリティ関連の問題をOracleに報告するには、 https://support.bea.com/application_content/product_portlets/securityadvisories-ja/index.htmlの指示に従ってください。
この勧告についての疑問またはこの勧告の信頼性を検証する必要がありましたら、BEA製品担当のOracleテクニカルサポート ( support@bea.com) までご連絡ください。
Printer View