IBM Support

【セキュリティ情報】IBM MQ Light へのIBM Java SDKの脆弱性の影響　(CVE-2014-3065, CVE-2014-3566, CVE-2014-6457)

Created by Makoto Tomota on
Published URL:
https://www.ibm.com/support/pages/node/526863
526863

Security Bulletin


Summary

IBM MQ Lightが使用している IBM® Runtime Environment Java™ Technology Edition　バージョン 7.0　に複数の脆弱性が存在しています。 2014　October　に IBM Java SDKが更新されました。この修正は、Padding Oracle On Downgraded Legacy Encryption (POODLE) SSLv3 の脆弱性の修正も含まれています。

Vulnerability Details

脆弱性の詳細：

次のCVEに対する修正が含まれます。

CVE-ID: CVE-2014-3065
DESCRIPTION: IBM Java SDK contains a vulnerability in which the default configuration for the shared classes feature potentially allows arbitrary code to be injected into the shared classes cache, which may subsequently be executed by other local users.
CVSS Base Score: 6
CVSS Temporal Score: See https://exchange.xforce.ibmcloud.com/vulnerabilities/93629 for the current score
CVSS Environmental Score*: Undefined
CVSS Vector: (AV:L/AC:H/Au:S/C:C/I:C/A:C)


CVE-ID: CVE-2014-3566
DESCRIPTION: Product could allow a remote attacker to obtain sensitive information, caused by a design error when using the SSLv3 protocol. A remote user with the ability to conduct a man-in-the-middle attack could exploit this vulnerability via a POODLE (Padding Oracle On Downgraded Legacy Encryption) attack to decrypt SSL sessions and access the plaintext of encrypted connections.
CVSS Base Score: 4.3
CVSS Temporal Score: See https://exchange.xforce.ibmcloud.com/vulnerabilities/97013 for the current score
CVSS Environmental Score*: Undefined
CVSS Vector: (AV:N/AC:M/Au:N/C:P/I:N/A:N)

CVEID: CVE-2014-6457
DESCRIPTION: An unspecified vulnerability related to the JSSE component has partial confidentiality impact, partial integrity impact, and no availability impact.
CVSS Base Score: 4
CVSS Temporal Score: See https://exchange.xforce.ibmcloud.com/vulnerabilities/97148 for the current score
CVSS Environmental Score*: Undefined
CVSS Vector: (AV:N/AC:H/Au:N/C:P/I:P/A:N)

Affected Products and Versions

影響のある製品・バージョン：

次の製品に影響があります。

・IBM MQ Light　V1.0/V1.0.0.1 (すべてのプラットフォーム)

Remediation/Fixes

修正策：
下記のリンクから該当するプラットフォームの修正をダウンロードし、導入してください。

プラットフォームライセンスタイプAPAR修正(FIX)
WindowsDeveloperIT06634http://www.ibm.com/support/fixcentral/swg/selectFixes?parent=ibm%2FWebSphere&product=ibm/WebSphere/IBM+MQ+Light&release=All&platform=All&function=fixId&fixids=IBM-MQ-Light-Windows-x64-developer-L150122-IT06634&includeSupersedes=0
WindowsProductionIT06634http://www.ibm.com/support/fixcentral/swg/selectFixes?parent=ibm%2FWebSphere&product=ibm/WebSphere/IBM+MQ+Light&release=All&platform=All&function=fixId&fixids=IBM-MQ-Light-Windows-x64-production-L150122-IT06634&includeSupersedes=0
LinuxDeveloperIT06634http://www.ibm.com/support/fixcentral/swg/selectFixes?parent=ibm%2FWebSphere&product=ibm/WebSphere/IBM+MQ+Light&release=All&platform=All&function=fixId&fixids=IBM-MQ-Light-Linux-x64-developer-L150122-IT06634&includeSupersedes=0
LinuxProductionIT06634http://www.ibm.com/support/fixcentral/swg/selectFixes?parent=ibm%2FWebSphere&product=ibm/WebSphere/IBM+MQ+Light&release=All&platform=All&function=fixId&fixids=IBM-MQ-Light-Linux-x64-production-L150122-IT06634&includeSupersedes=0
MacDeveloperIT06634http://www.ibm.com/support/fixcentral/swg/selectFixes?parent=ibm%2FWebSphere&product=ibm/WebSphere/IBM+MQ+Light&release=All&platform=All&function=fixId&fixids=IBM-MQ-Light-Mac-x64-developer-L150122-IT06634&includeSupersedes=0

下記のリンク文書に既存の導入環境からデータの再使用の方法が記載されています。
http://www.ibm.com/support/knowledgecenter/SSBJCR_1.0.0/com.ibm.mq.koa.doc/tmql_data.htm


SSLv3プロトコルを可能にするような他のエリアを把握し、適切な処置（SSLv3を無効化するような）改善措置をとるために、お客様の全ての環境を見直すよう、IBMはお勧めいたします。また、SSLv3を無効化することによって、互換性の問題が生じないことの確認を推奨いたします。

Workarounds and Mitigations

回避策/軽減策：

なし

Get Notified about Future Security Bulletins

Subscribe to My Notifications to be notified of important product support alerts like this.

References

Complete CVSS v2 Guide
On-line Calculator v2

Off
.
参照情報：
IBM Java SDK Security Bulletin

[IBMサイト]
この文書は、米国 IBM 社の資料を翻訳した参考文書です。翻訳元の文書は、以下のリンクよりご参照ください。
Security Bulletin: Multiple vulnerabilities in IBM Java Runtime affect IBM MQ Light (CVE-2014-3065, CVE-2014-3566, CVE-2014-6457)

[CVSS情報]
独立行政法人 情報処理推進機構: 共通脆弱性評価システムCVSS概説
JVN iPedia: CVSS計算ソフトウェア日本語版

Related Information

IBM Secure Engineering Web Portal
IBM Product Security Incident Response Blog

.
関連情報：
.
[お問合せ先]
技術的な内容に関して、サービス契約のあるお客様はIBMサービス・ラインにお問い合わせください。
IBM サービス・ライン

*The CVSS Environment Score is customer environment specific and will ultimately impact the Overall CVSS Score. Customers can evaluate the impact of this vulnerability in their environments by accessing the links in the Reference section of this Security Bulletin.

Disclaimer

Review the IBM security bulletin disclaimer and definitions regarding your responsibilities for assessing potential impact of security vulnerabilities to your environment.

[{"Product":{"code":"SSBJCR","label":"IBM MQ Light"},"Business Unit":{"code":"BU053","label":"Cloud & Data Platform"},"Component":"Security","Platform":[{"code":"PF016","label":"Linux"},{"code":"PF022","label":"OS X"},{"code":"PF033","label":"Windows"}],"Version":"1.0","Edition":"All Editions","Line of Business":{"code":"LOB45","label":"Automation"}}]

Document Information

Modified date:
15 June 2018

UID

swg21696882

Page Feedback