JVNDB-2016-003802
|
Apache HTTP Server における任意のプロキシサーバにアプリケーションのアウトバウンド HTTP トラフィックをリダイレクトされる脆弱性
|
|
Apache HTTP Server は、RFC 3875 セクション 4.1.18 に準拠する結果、HTTP_PROXY 環境変数の信頼できないクライアントデータの存在からアプリケーションを保護しないため、任意のプロキシサーバにアプリケーションのアウトバウンド HTTP トラフィックをリダイレクトされる脆弱性が存在します。
本脆弱性は、"httpoxy" の問題と呼ばれています。
なお、National Vulnerability Database (NVD) では、CWE-284、JVNVU#91485132 では、CWE-807 および CWE-454 として公開されています。
CWE-284: Improper Access Control
http://cwe.mitre.org/data/definitions/284.html
CWE-807: Reliance on Untrusted Inputs in a Security Decision
http://cwe.mitre.org/data/definitions/807.html
CWE-454: External Initialization of Trusted Variables or Data Stores
http://cwe.mitre.org/data/definitions/454.html
|
|
CVSS v3 による深刻度
基本値: 8.1 (重要) [NVD値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 高
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): 高
- 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 6.8 (警告) [NVD値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 中
- 攻撃前の認証要否: 不要
- 機密性への影響(C): 部分的
- 完全性への影響(I): 部分的
- 可用性への影響(A): 部分的
|
|
|
Apache Software Foundation
- Apache HTTP Server 2.4.23 まで
Fedora Project
日本電気
- MailShooter 全バージョン
- SimpWright V6
- SimpWright V7
- WebOTX Enterprise Edition V4.1 から V6.5
- WebOTX Standard Edition V4.1 から V6.5
- WebOTX Standard-J Edition V4.1 から V6.5
- WebOTX Web Edition V4.1 から V6.5
- WebOTX 開発環境 V6.1 から V6.5
- WebOTX Application Server Enterprise V9.3 から V9.4
- WebOTX Application Server Express V9.3 から V9.4
- WebOTX Application Server Standard V9.3 から V9.4
- WebOTX Application Server Enterprise V8.2 から V9.4
- WebOTX Application Server Express V8.2 から V9.4
- WebOTX Application Server Foundation V8.2 から V8.5
- WebOTX Application Server Standard V8.2 から V9.4
- WebOTX Application Server Standard-J Edition V7.1 から V8.1
- WebOTX Application Server Web Edition V7.1 から V8.1
- WebOTX Developer (with Developer's Studio) V8.2 から V9.4
- WebOTX Developer V7.1 から V8.1
- WebOTX Enterprise Service Bus V6.4 から V9.3
- WebOTX Portal V8.2 から V9.3
- WebOTX SIP Application Server Standard Edition V7.1 から V8.1
- iStorage HSシリーズ V4.0 から V5.2
- iStorage Tシリーズ T100A
- iStorage Tシリーズ T700A
- SpoolServerシリーズ ReportFiling Ver5.2 から 6.2
日立
- Cosminexus Application Server Enterprise Version 6
- Cosminexus Application Server Standard Version 6
- Cosminexus Application Server Version 5
- Cosminexus Developer Light Version 6
- Cosminexus Developer Professional Version 6
- Cosminexus Developer Standard Version 6
- Cosminexus Developer Version 5
- Cosminexus HTTP Server
- Cosminexus Primary Server Base Version 6
- Cosminexus Primary Server Version 6
- Hitachi Application Server
- Hitachi Application Server for Developers
- Hitachi Web Server
- Hitachi Web Server - Custom Edition
- Hitachi Web Server - Security Enhancement
- uCosminexus Application Server
- uCosminexus Application Server (64)
- uCosminexus Application Server -R
- uCosminexus Application Server Express
- uCosminexus Application Server Enterprise
- uCosminexus Application Server Smart Edition
- uCosminexus Application Server Standard
- uCosminexus Application Server Standard -R
- uCosminexus Developer
- uCosminexus Developer 01
- uCosminexus Developer Professional
- uCosminexus Developer Professional for Plug-in
- uCosminexus Developer Light
- uCosminexus Developer Standard
- uCosminexus Primary Server Base
- uCosminexus Primary Server Base(64)
- uCosminexus Service Architect
- uCosminexus Service Platform
- uCosminexus Service Platform (64)
- uCosminexus Service Platform - Messaging
富士通
- Interstage Application Framework Suite
- Interstage Application Server
- Interstage Apworks
- Interstage Business Application Server
- Interstage Job Workload Server
- Interstage Studio
- Interstage Web Server
- Interstage Web Server Express
- Systemwalker Resource Coordinator
|
本脆弱性の影響を受ける製品の詳細については、ベンダ情報をご確認ください。
|
|
第三者により、HTTP リクエストの巧妙に細工された Proxy ヘッダを介して、任意のプロキシサーバにアプリケーションのアウトバウンド HTTP トラフィックをリダイレクトされる可能性があります。
|
|
ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
|
|
Apache Software Foundation
Fedora Project
サイバートラスト株式会社
ターボリナックス
日本電気
日立
- Hitachi Software Vulnerability Information : HS16-020
- ソフトウェア製品セキュリティ情報 : HS16-020
富士通
|
|
- 情報不足(CWE-noinfo) [NVD評価]
|
|
- CVE-2016-5387
|
|
- JVN : JVNVU#91485132
- JVN : JVNVU#99304449
- National Vulnerability Database (NVD) : CVE-2016-5387
- US-CERT Vulnerability Note : VU#797896
- 関連文書 : httpoxy
|
|
- [2016年07月25日]
掲載
[2016年08月22日]
影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
ベンダ情報：日立 (HS16-020) を追加
ベンダ情報：Fedora Project (FEDORA-2016-9fd9bfab9e) を追加
ベンダ情報：Fedora Project (FEDORA-2016-df0726ae26) を追加
[2016年09月07日]
影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
ベンダ情報：富士通 (Interstage HTTP Server/ Interstage HTTP Server 2.2: CGI利用時にProxyヘッダの値を環境変数HTTP_PROXYに設定する脆弱性(CVE-2016-5387)) を追加
[2016年11月09日]
影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
ベンダ情報：日本電気 (NV16-020) を追加
[2017年02月20日]
影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
ベンダ情報：日本電気 (NV17-004) を追加
参考情報：JVN (JVNVU#99304449) を追加
- [2023年06月29日]
影響を受けるシステム：ベンダ情報 日本電気 (NV17-004) の更新に伴い内容を更新
|
