アドバイザリーID onespan-sa-20180828-struts
改訂番号 1.1
リリース日 2018年8月28日午後5時UTC + 1
最後の更新 2018年8月31日09:30 AM UTC + 1
概要
2018年8月22日、Apache Strutsプロジェクトは、Apache Struts 2に存在するリモートコード実行の脆弱性に関するセキュリティ情報を公開しました。この脆弱性はCVE-2018-11776と呼ばれます。この脆弱性により、認証されていないリモートの攻撃者が標的のシステムで任意のコードを実行する可能性があります。
このセキュリティアドバイザリには、脆弱性の影響を受けたOneSpan製品に関する情報と、修正プログラムの可用性に関する情報が含まれています。
影響を受ける製品
次のOneSpan製品は、CVE-2018-11776の脆弱性の影響を受けます。
- 認証サーバー3.8以降
- アプライアンス3.8.9.0以降
影響を受ける製品
- IDENTIKEYアプライアンス
- IDENTIKEY認証サーバー
- IDENTIKEY仮想アプライアンス
説明文
影響を受けるソフトウェアがユーザー提供の入力を十分に検証しないため、Apache Strutsに脆弱性が存在し、名前空間の値なしで結果を使用したり、値やアクションなしでURLタグを使用したりできるようになります。上位のアクションまたは構成にもネームスペースまたはワイルドカードネームスペースがない場合、攻撃者は影響を受けるアプリケーションに悪意のある入力を送信するリクエストを送信して処理することにより、この脆弱性を悪用する可能性があります。成功すると、攻撃者は標的となるシステム上の影響を受けるアプリケーションのセキュリティコンテキストで任意のコードを実行する可能性があります。
この脆弱性を悪用するには、攻撃者は悪意のある入力を送信するリクエストをターゲットシステムに送信する必要があり、信頼できないソースからのネットワークアクセスを制限する環境での悪用を困難にします。
OneSpanの認証サーバー、アプライアンス、および仮想アプライアンスの範囲で、この脆弱性はWeb管理コンポーネントに存在します。このユーザーがWeb管理コンポーネントのログインページなどのWeb管理コンポーネントのWebリソースにアクセスできる場合にのみ、この脆弱性が悪用される可能性があります。
重大度スコア
次の表は、OneSpan製品のCVE-2018-11776脆弱性のCVSS 2.0脆弱性スコアを示しています。
| CVSS基本スコア：6.8（中） | |||||
| アクセスベクター | アクセスの複雑さ |
認証 |
機密性への影響 | 完全性への影響 | 可用性への影響 |
| 通信網 | 中 | 無し | 部分的 | 部分的 | 部分的 |
製品の修正
OneSpanは、次の製品の修正プログラムをリリースしています。
- 認証サーバー3.8.2、3.9.1、3.10.1 R2、3.11.1 R2、3.12.2 R3、3.13.1 R2、3.14.1 R2、3.15、3.16
- アプライアンス3.8.9.0、3.8.9.1、3.9.10.1、3.9.10.0、3.10.11.0、3.11.12.1、3.11.12.0、3.12.13.0、3.12.13.1、3.13.14.0、3.14.15.0
OneSpanは、次の製品のパッチをリリースしています。アプライアンス3.16。
認証サーバーの修正プログラムは、2018年8月27日の週の終わりまでに利用可能になる予定です。 アプライアンスのホットフィックスとパッチは、2018年9月3日の週の終わりまでに利用可能になる予定です。
脆弱性の悪用を制限するために、お客様はWeb管理コンポーネントへのアクセスを可能な限り制限する必要があります。
ロケーション
保守契約を結んでいるお客様は、カスタマーポータルから修正済み製品リリースを入手できます。保守契約のないお客様は、最寄りの営業担当者にお問い合わせください。
参照
[1] https://cwiki.apache.org/confluence/display/WW/S2-057
[2] https://nvd.nist.gov/vuln/detail/CVE-2018-11776
法的放棄声明
本書に記載されているすべてのコンテンツと情報は、表現または保証がなく、明示的または黙示的な保証なしに、正確かつ正確な情報を提供するために合理的にあらゆる努力が払われますが、完全性または適合性、または商品性または特定の使用または目的への適合性の保証を含む、いかなる保証。このドキュメント、提供された情報、またはこのドキュメントからリンクされている資料の使用は、ユーザー自身の責任で行ってください。ONESPANは、このドキュメントの情報をいつでも、その裁量で、新しい情報や追加情報が利用可能になったときに変更または更新する権利を留保します。
Copyright©2018 OneSpan North America、Inc. 全著作権所有。