JVNDB-2008-001591

Oracle Weblogic Apache connector プラグインにバッファオーバーフローの脆弱性

Oracle Weblogic (旧 BEA Weblogic) Server および Weblogic Express Applicaiton Server の Weblogic Apache connector プラグインにはバッファオーバーフローの脆弱性が存在します。

Oracle Weblogic Server および Weblogic Express Applicaiton Server は、Weblogic Apache connector プラグインである mod_wl を使用することで Apache ウェブサーバ と連動させることができます。

Weblogic Server および Weblogic Express で使用される Apache Connector プラグインには、細工された POST リクエストを処理する際にバッファオーバーフローの脆弱性が存在します。

また、本脆弱性に関する検証コードが公開されています。

オラクル

• Oracle WebLogic Server 10.0 Maintenance Pack 1 およびそれ以前
• Oracle WebLogic Server 9.2 Maintenance Pack 3 およびそれ以前
• Oracle WebLogic Server 9.1
• Oracle WebLogic Server 9.0
• Oracle WebLogic Server 8.1 Service Pack 6 およびそれ以前
• Oracle WebLogic Server 7.0 Service Pack 7 およびそれ以前
• Oracle WebLogic Server 6.1 Service Pack 7 およびそれ以前

遠隔の第三者によって任意のコードが実行される可能性があります。

[パッチを適用する]
2008年8月5日現在、Oracle よりパッチが公開されていることを確認しました。

なお、パッチを適用できない場合、以下の回避策が Ocacle より公開されています。

[Apache の設定を変更する]
httpd.conf に LimitRequestLine 4000 のパラメータを追加して Apache を再起動する。

[mod_security を導入する]
mod_security モジュールを導入する。

詳しくは、Oracle が提供する情報をご確認ください。

オラクル

• Oracle : Oracle Fusion Middleware 10gR3 Application Server Downloads
• Security Advisories and Notifications : 2793
• セキュリティアドバイザリ : CVE-2008-3257

1. バッファエラー(CWE-119) [NVD評価]

1. CVE-2008-3257

1. JVN : JVNVU#716387
2. National Vulnerability Database (NVD) : CVE-2008-3257
3. US-CERT Vulnerability Note : VU#716387
4. Secunia Advisory : SA31146
5. SecurityFocus : 30273
6. ISS X-Force Database : 43885
7. SecurityTracker : 1020520
8. FrSIRT Advisories : FrSIRT/ADV-2008-2145

• [2008年09月02日]
    掲載