ビジネスサポートポータルアカウントでログイン
アラート/アドバイザリ : InterScan Web Security シリーズ に関する「静的ルート」設定画面における脆弱性について  

アラート/アドバイザリ : InterScan Web Security シリーズ に関する「静的ルート」設定画面における脆弱性について

    • 更新日:
    • 30 Sep 2019
    • 製品/バージョン:
    • InterScan Web Security Suite 5.6
    • InterScan Web Security Virtual Appliance 6.5
    • OS:
    • Linux - Red Hat RHEL 6 32-bit
    • Linux - Red Hat RHEL 6 64-bit
    • Virtual Appliance すべて
概要
InterScan Web Securityシリーズにおける、「静的ルート」設定画面における脆弱性について教えてください。
詳細
Public

影響を受ける製品

  • InterScan Web Security Virtual Appliance
  • InterScan Web Security Suite (Linux版)

脆弱性の概要

本脆弱性を利用した攻撃が成功した際に発生しうる事象は次の通りです。
  • 悪意あるユーザによってリモートインジェクションが実行される可能性
弊社では次の理由により、本脆弱性の影響は限定的と判断しました。
  • 本脆弱性を利用した攻撃を成功させるには、少なくともInterScan Web SecurityシリーズのWeb管理コンソールにログインずみの状態が必要であること。
  • 管理コンソールへにadminユーザでアクセスするためのパスワードは、お客さまによって厳重に管理されていること。
  • 一般的な環境であれば、攻撃者が容易に利用可能な公衆ネットワークから管理コンソールへのアクセスは制限されていること。
従って本脆弱性に対する修正は原則としてHotFixによって行います。

対応策

※IWSVA = InterScan Web Security Virtual Appliance
※IWSS = InterScan Web Security Suite
製品/サービス名バージョン影響度モジュール公開日備考
IWSVA6.5 SP22017/05/22本修正はすでに別事象向けに公開済みのCritical Patch build 1652に含まれています。(※)
最新のCritical PatchおよびPatchは最新版ダウンロードページよりダウンロードいただけます。
IWSVA6.5
(SP2未適用)
2017/05/17本修正はすでに別事象向けに公開済みのCritical Patch build 1385に含まれています。(※)
最新のCritical PatchおよびPatchは最新版ダウンロードページよりダウンロードいただけます。
IWSS (Linux版)5.6予定なしHotFixにて修正されます。当該HotFixは次期Patchに含まれる予定です。サポートセンターでは次期Patchの公開時期に関するお問合せには対応いたしかねます。
HotFixの入手をご希望のお客様は法人カスタマー&サポートより技術的なお問合せとしてご連絡ください。
※ビルド管理の都合上、当該脆弱性に対する修正が含まれています。あくまで脆弱性の影響度は「中」です。
原則として、上記に記載のビルド番号以上の修正モジュールは当該脆弱性に対する修正を含みます。本アドバイザリに記載のビルド番号以上のCritical PatchもしくはPatchが最新版ダウンロードページに公開されている場合は、新しいビルド番号の修正モジュールをご利用ください。
影響の緩和策について:
修正モジュール適用の有無にかかわらず、予期せぬ問題を防止するために、信頼されたクライアントからのみIWSS/IWSVAの管理コンソールにアクセスするように制限することを推奨します。
  • 本脆弱性の影響を受ける製品は、上述の「対象製品」に記載されているバージョンのみとなります。
  • サポート終了日を迎えているバージョンにつきましては、Critical Patch 等の修正モジュールの作成および公開いたしかねます。

参考情報

CVE-2017-11396
Premium
Internal
Partner
評価:
カテゴリ:
Patch/Service Pack適用
Solution Id:
1117422
ご提案/ご意見
このソリューションはお役に立ちましたか?

フィードバックありがとうございました!


*こちらに技術的なご質問などをいただきましてもご返答する事ができません.

何卒ご了承いただきますようお願いいたします.


To help us improve the quality of this article, please leave your email here so we can clarify further your feedback, if neccessary:
We will not send you spam or share your email address.

*This form is automated system. General questions, technical, sales, and product-related issues submitted through this form will not be answered.


ユーザーガイド