IBM Support

【セキュリティ情報】IBM WebSphere Application ServerにおけるJava Server Faces（JSF） の脆弱性の影響について（CVE-2017-1583, CVE-2011-4343）

Created by Chizuko Mochizuki on
Published URL:
https://www.ibm.com/support/pages/node/298755
298755

Security Bulletin


Summary

Java Server Faces（JSF）の脆弱性（CVE-2017-1583、CVE-2011-4343） が報告されました。
アプリケーションにおいてJSFを使用されている場合はこの脆弱性の影響を受ける可能性があります。

最新の情報については、下記URLの文書（英語）をご参照ください。
Security Bulletin: Multiple vulnerabilities affect Java Server Faces (JSF) used by WebSphere Application Server (CVE-2017-1583, CVE-2011-4343)
http://www.ibm.com/support/docview.wss?uid=swg22008707

Vulnerability Details

CVEID: CVE-2017-1583


DESCRIPTION: IBM WebSphere Application ServerではJSFのMyFacesによる不適切なエラー処理によりリモートからの攻撃者が機密情報を取得する可能性があります。
CVSS Base Score: 5.3
CVSS Temporal Score: See https://exchange.xforce.ibmcloud.com/vulnerabilities/132342 for the current score
CVSS Environmental Score*: Undefined
CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N)
PI87300: Information disclosure in WebSphere Application Server in JSF (CVE-2017-1583)

CVEID: CVE-2011-4343
DESCRIPTION:Apache MyFacesによりリモートからの攻撃者が機密情報を取得してしまう可能性があります。攻撃者が、特殊に細工したパラメータを用い、ビューパラメータとしてマップされた入力フィールドにEL式を挿入することで、機密情報を取得する可能性があります。
CVSS Base Score: 5
CVSS Temporal Score: See https://exchange.xforce.ibmcloud.com/vulnerabilities/132287 for the current score
CVSS Environmental Score*: Undefined
CVSS Vector: (AV:N/AC:L/Au:N/C:P/I:N/A:N)
PI87299: Information disclosure in Apache MyFaces affects WebSphere Application Server (CVE-2011-4343)

Affected Products and Versions

IBM WebSphere Application Serverの以下のバージョンにおいて影響を受ける可能性があります。

  • Liberty jsf-2.0 feature
  • Version 8.5
  • Version 8.0

Remediation/Fixes

PI87300 とPI87299 の各個別修正、または、それらを含むFix Packをできるだけ早く適用することを推奨します。ご利用の環境に合致したモジュールを適用ください。

WebSphere Application Server Liberty：

CVE-2017-1583、CVE-2011-4343の修正がPI87300 に含まれています。

対応策
  • 個別修正モジュールの前提fixpackレベル(8.5.5.6または17.0.0.1または17.0.0.2)へアップグレードし、PI87300を適用します。
-- または --
  • Fix Pack 17.0.0.3以降へアップデートします。
※Libertyのフィックスパックの番号付けが、継続的デリバリー・モデルに対応して新しくなっております。
詳細は以下をご参照ください。
Fix list for IBM WebSphere Application Server Liberty - Continous Delivery


WebSphere Application Server traditional and WebSphere Application Server Hypervisor Edition:
バージョン対応策
V8.5.5.0～V8.5.5.12
  • 個別修正モジュールの前提fixpackレベル8.5.5.4以降にアップデートし、個別修正モジュールAPAR PI87300 とPI87299 を適用します。
-- または --
  • Fix Pack 8.5.5.13以降へアップデートします。
    ※Fix Pack 8.5.5.13は、 2018年1Qにリリース予定です。（2017年11/06時点）
V8.0.0.0～V8.0.0.14
  • 個別修正モジュールの前提fixpackレベル8.0.0.10以降にアップデートし、個別修正モジュールAPAR PI87300 とPI87299 を適用します。
-- または --
  • Fix Pack 8.0.0.15以降へアップデートします。
    ※Fix Pack 8.0.0.15は、 2018年2Qにリリース予定です。（2017年11/06時点）

Important note
IBMは、全てののSystem zユーザーがSystem zセキュリティ・ポータルに加入して、最新の重大なSystem zセキュリティーおよび保全サービスを受け取ることを強く推奨しています。購読していない場合は、System z Security web site　を参照してください。SecurityやIntegrityのAPARおよびそのfixがこのポータルに掲載されます。潜在的なリスクを最小限に抑えるために、CVSSスコアを検討し、すべてのSecurityやIntegrityのfixをできるだけ早く適用することを推奨します。

Get Notified about Future Security Bulletins

Subscribe to My Notifications to be notified of important product support alerts like this.

References

Complete CVSS v2 Guide
On-line Calculator v2

Complete CVSS v3 Guide
On-line Calculator v3

Off

Related Information

IBM Secure Engineering Web Portal
IBM Product Security Incident Response Blog

*The CVSS Environment Score is customer environment specific and will ultimately impact the Overall CVSS Score. Customers can evaluate the impact of this vulnerability in their environments by accessing the links in the Reference section of this Security Bulletin.

Disclaimer

Review the IBM security bulletin disclaimer and definitions regarding your responsibilities for assessing potential impact of security vulnerabilities to your environment.

[{"Product":{"code":"SSEQTP","label":"WebSphere Application Server"},"Business Unit":{"code":"BU053","label":"Cloud & Data Platform"},"Component":"--","Platform":[{"code":"PF002","label":"AIX"},{"code":"PF010","label":"HP-UX"},{"code":"PF012","label":"IBM i"},{"code":"PF016","label":"Linux"},{"code":"PF027","label":"Solaris"},{"code":"PF033","label":"Windows"},{"code":"PF035","label":"z\/OS"}],"Version":"8.5.5;8.5;8.0","Edition":"Advanced;Base;Developer;Enterprise;Express;Liberty;Network Deployment","Line of Business":{"code":"LOB45","label":"Automation"}}]

Document Information

Modified date:
15 June 2018

UID

swg22009989

Page Feedback