セキュリティアドバイザリ
作成者: Oracle Corporation

セキュリティ勧告: (CVE-2008-5462)

概要: WebLogic Portalの権限の昇格の脆弱性

影響を受ける製品: WebLogic Portal

WebLogic Portalの特定のバージョンにおいて、セキュリティ脆弱性の原因となる可能性がある問題が確認されました。この問題を修正するためのパッチが提供されています (後続のセクションIIを参照)。Oracleでは、潜在的なセキュリティの問題を最も緊急度の高い問題として取り扱い、お客様のすべての資産のセキュリティを確保するために可能な限りの措置を講じます。結果として、弊社では以下の対処策を強く提案します。
I. 以下の勧告に目を通します。

II. 対処方法を適用します。

III. 今後のセキュリティ勧告に関心をお持ちのユーザをご存知の場合は、この勧告に含まれる登録に関する手順をぜひ転送してください。

I. 勧告

WebLogic Portalの脆弱性により、権限の昇格が発生する可能性があります。ネットワークを通じてこの脆弱性が悪用される可能性があります。


II. 影響およびCVSS評価

CVSS評価値: 6.8 (中)
攻撃元区分 (AV): ネットワーク
攻撃条件の複雑さ (AC): 中
攻撃前の認証要否 (Au): なし
影響: 機密性、完全性、可用性の一部が影響を受ける
CVSS基本値区分: (AV:N/AC:M/Au:N/C:P/I:P/A:P)

Usage of CVSS by Oracle:
http://www.oracle.com/technology/deploy/security/cpu/cvssscoringsystem.htm


III. 影響を受けるバージョン

この脆弱性の影響を受けるのは、WebLogic Portalの次に示すバージョンです。

  • WebLogic Portal 10.3 GA (全プラットフォーム対象)
  • WebLogic Portal 10.2 GA (全プラットフォーム対象)
  • WebLogic Portal 10.0のメンテナンスパック1までの全リリース (全プラットフォーム対象)
  • WebLogic Portal 9.2のメンテナンスパック3までの全リリース (全プラットフォーム対象)
  • WebLogic Portal 8.1のサービスパック6までの全リリース (全プラットフォーム対象)

IV. 対処方法

Oracleでは、以下の一連の対処方法に従うことを強く推奨します。

WebLogic Portal 10.3
Smart Update toolを使用して、CR382275の10.3用パッチをインストールします。

WebLogic Portal 10.2
Smart Update toolを使用して、CR381205の10.2用パッチをインストールします。

WebLogic Portal 10.0

  1. WebLogic Portal 10.0メンテナンスパック1にアップグレードします。
  2. Smart Update toolを使用して、CR382276の10.0メンテナンスパック1用パッチをインストールします。

WebLogic Portal 9.2

  1. WebLogic Portal 9.2メンテナンスパック3にアップグレードします。
  2. Smart Update toolを使用して、CR382277の9.2メンテナンスパック3用パッチをインストールします。

WebLogic Portal 8.1

  1. WebLogic Portal 8.1 サービスパック 6 にアップグレードします。
  2. 以下の通り、パッチ 7824519 を Metalink からダウンロードして、適用してください。
    • Oracle Metalink にログインして、'パッチと更新版' のタブを選択してください。
    • '単純検索' をクリックしてください。
    • '検索基準' のリストから 'パッチ番号/名称' を選択してください。
    • パッチ番号を入力してください。プロダクトとプラットフォームにより、パッチ番号が異なることがあります。
    • 'プラットフォームまたは言語' のリストから、該当プラットフォームを選択してください。
    • '実行' をクリックしてください。
    • パッチをダウンロードするには、'ダウンロード' をクリックしてください。
  3. zipファイルに含まれているreadmeファイルの指示に従って、パッチをインストールします。

Oracleは、当社のすべてのセキュリティ勧告で推奨される修正をお客様が適用されることを強く提案します。またOracleは、BEA製品について、お客様にすべてのサービス/メンテナンスパックをリリース後直ちに適用していただくことも強く要請します。サービス/メンテナンスパックには、以前の各サービス/メンテナンスパックに加えて、製品の各バージョンに対するすべてのバグ修正が累積的に含まれています。サービス/メンテナンスパックおよびサービス/メンテナンスパックについての情報は次の場所で公開しています。

http://www.oracle.com/technology/software/products/ias/bea_main.html

注: WebLogic ServerおよびWebLogic Expressのセキュリティについての情報は、 http://edocs.beasys.co.jp/e-docs/wls/docs100/security.htmlをご覧ください。特定のプロダクション環境のセキュリティに関する情報については、 http://edocs.beasys.co.jp/e-docs/wls/docs100/lockdown/index.htmlをご覧ください。Oracleは、サーバのデプロイメントが安全にコンフィグレーションされていることをお客様が確信できるように、このドキュメントに再度目を通されることを強くお勧めします。


V. セキュリティに関する伝達方針

BEA製品に関する過去のすべての勧告および通知は、
https://support.bea.com/application_content/product_portlets/securityadvisories-ja/index.htmlでご覧いただけます。

BEA製品の勧告の配信登録を新しく希望するユーザは、
https://support.bea.com/application_content/product_portlets/securityadvisories-ja/index.htmlの登録に関する指示に従ってください。


VI. セキュリティ関連の問題の報告

BEA製品のセキュリティ関連の問題をOracleに報告するには、 https://support.bea.com/application_content/product_portlets/securityadvisories-ja/index.htmlの指示に従ってください。

この勧告についての疑問またはこの勧告の信頼性を検証する必要がありましたら、BEA製品担当のOracleテクニカルサポート ( support@bea.com) までご連絡ください。