CosminexusにおけるDoS脆弱性

2014.06.30 更新

CosminexusにDoS脆弱性(CVE-2014-0050)が存在します。

脆弱性ID

HS14-008

脆弱性の内容

ファイルアップロード機能(Servlet3.0またはApache Commons FileUpload)を使用しているアプリケーションに対し，細工したリクエストを送信することで，サーバのCPUリソースが大量に消費されます。また，該当リクエストを処理するスレッドが占有されます。この現象を利用して，サービス運用妨害(DoS)攻撃が行われる可能性があります。

Servlet3.0のファイルアップロード機能を使用している場合

影響を受けるバージョンを下記に示しますので，対策版の適用をお願いいたします。

Apache Commons FileUploadのファイルアップロード機能を使用しており，影響を受けるCosminexus Component Containerのバージョンを使用している場合

下記に示すのCosminexus Component Containerの対策版を適用し，Apache Commons FileUploadを対策済みのライブラリに置き換えてください。

対象製品

対象製品名 : Cosminexus Component Container

<Servlet3.0のファイルアップロード機能を使用している場合>

対象バージョン :

Windows(x86)

09-00 - 09-00-10, 09-50 - 09-50-03

Windows(x64)

09-00 - 09-00-10, 09-50 - 09-50-03

AIX

09-00-02 - 09-00-08, 09-50-01 - 09-50-03

HP-UX(IPF)

09-00-01 - 09-00-08, 09-50-01 - 09-50-03

Linux(x64)

09-00 - 09-00-10, 09-50 - 09-50-03

<Apache Commons FileUploadのファイルアップロード機能を使用している場合>

対象バージョン :

Windows(x86)

08-70 - 08-70-06, 09-00

Windows(x64)

08-70 - 08-70-06, 09-00

AIX

08-70-01 - 08-70-03, 09-00-02

HP-UX(IPF)

08-70 - 08-70-07, 09-00-01

Linux(x64)

09-00

Linux

08-70 - 08-70-05

なお本問題は，Cosminexus Component Containerを構成製品とする，下記Cosminexus製品が該当します。Cosminexus製品に含まれるCosminexus Component Containerのバージョンについては，サポートサービス窓口へご相談願います。

<Servlet3.0のファイルアップロード機能を使用している場合>

■Cosminexus V9

対象製品名 : uCosminexus Developer
対象製品名 : uCosminexus Service Architect
対象製品名 : uCosminexus Application Server-R
対象製品名 : uCosminexus Application Server
対象製品名 : uCosminexus Service Platform
対象製品名 : uCosminexus Primary Server Base
対象製品名 : プログラミング環境 for Java
対象製品名 : uCosminexus Application Server(64)
対象製品名 : uCosminexus Service Platform(64)
対象製品名 : uCosminexus Primary Server Base(64)

対象バージョン :

Windows(x86)

09-00 - 09-00-03, 09-50

Windows(x64)

09-00 - 09-00-02, 09-50 - 09-50-01

AIX

09-00 - 09-00-02, 09-50

HP-UX(IPF)

09-00 - 09-00-02, 09-50

Linux

09-00 - 09-00-03, 09-50 - 09-50-02, 09-60

<Apache Commons FileUploadのファイルアップロード機能を使用している場合>

■Cosminexus V9

対象製品名 : uCosminexus Developer
対象製品名 : uCosminexus Service Architect
対象製品名 : uCosminexus Application Server-R
対象製品名 : uCosminexus Application Server
対象製品名 : uCosminexus Service Platform
対象製品名 : uCosminexus Primary Server Base
対象製品名 : uCosminexus Application Server(64)
対象製品名 : uCosminexus Service Platform(64)
対象製品名 : uCosminexus Primary Server Base(64)

対象バージョン :

Windows(x86)

09-00

Windows(x64)

09-00 - 09-00-01

AIX

09-00

HP-UX(IPF)

09-00

Linux

09-00 - 09-00-01

■Cosminexus V8

対象製品名 : uCosminexus Application Server Enterprise
対象製品名 : uCosminexus Application Server Standard
対象製品名 : uCosminexus Application Server Standard-R
対象製品名 : uCosminexus Developer Light
対象製品名 : uCosminexus Developer Professional
対象製品名 : uCosminexus Developer Professional for Plug-in
対象製品名 : uCosminexus Developer Standard
対象製品名 : uCosminexus Primary Server Base
対象製品名 : uCosminexus Service Architect
対象製品名 : uCosminexus Service Platform

対象バージョン :

Windows(x86)

08-70 - 08-70-01

Windows(x64)

08-70 - 08-70-01

AIX

08-70 - 08-70-01

HP-UX(IPF)

08-70

Linux

08-70 - 08-70-03

対策版の提供

対象製品名 : Cosminexus Component Container

<Servlet3.0のファイルアップロード機能を使用している場合>

対策バージョン :

Windows(x86)

09-50-04 2014.03.26

09-00-11 2014.06.18

Windows(x64)

09-50-04 2014.03.26

09-00-11 2014.06.18

AIX

09-50-04 2014.03.26

09-00-11 2014.06.18

HP-UX(IPF)

09-50-04 2014.03.26

09-00-11 2014.06.18

Linux

09-50-04 2014.03.26

09-00-11 2014.06.18

<Apache Commons FileUploadのファイルアップロード機能を使用している場合>

対策バージョン :

Windows(x86)

09-00-03 2012.08.01

08-70-08 2012.09.04

Windows(x64)

09-00-03 2012.08.01

08-70-08 2012.09.04

AIX

09-00-03 2012.10.25

08-70-10 2012.12.26

HP-UX(IPF)

09-00-03 2012.08.01

08-70-10 2012.12.26

Linux(x64)

09-00-03 2012.08.01

Linux

08-70-08 2012.09.04

更新履歴

2014.06.30

[脆弱性の内容]，[対象製品]および[対策版の提供]に、Apache Commons FileUpload使用時の情報を追加しました。[対策版の提供]に、Servlet3.0使用時の情報を更新しました。

2014.03.28

このセキュリティ情報ページを新規作成および発信しました。