CVE-2010-0738 と JBoss プロダクトへの影響について

Resolution

Red Hat 社はこの問題を認識しており、Bugzilla 574105 および JIRA JBPAPP-3952 を介して追跡しています。

これらの製品に含まれている JMX コンソールのデフォルト設定は、deploy/jmx-console.war/WEB-INF/web.xml で次のセキュリティ制限を定義します。

<security-constraint>
  <web-resource-collection>
    <web-resource-name>HtmlAdaptor</web-resource-name>
    <description>
       An example security config that only allows users with the role
       JBossAdmin to access the HTML JMX console web application
    </description>
    <url-pattern>/*</url-pattern>
    <http-method>GET</http-method>
    <http-method>POST</http-method>
  </web-resource-collection>
  <auth-constraint>
    <role-name>JBossAdmin</role-name>
  </auth-constraint>
</security-constraint>

これは、JBossAdmin 領域への適切な認証を持たない GET または POST 要求がブロックされ、401 エラーが発生したことを意味します。

HTTP protocol には、GET および POST 以外の動詞、たとえば HEAD、PUT、DELETE などの一覧があります。これらは、セキュリティ制限にはリストされていないので、これらの動詞の要求はセキュリティチェックなしでサーバーにダイレクトされることが許可されていて、動詞の特定のハンドラを指定していない場合はデフォルトで GET ハンドラが実行されます。このワームは、 HEAD HTTP 動詞を使用して JMX コンソールに要求を作成することで利用します。これが成功すると、ワームは IRC ベースのコマンドをインストールしてコンポーネントを制限し、障害が起きたサーバーをボットネット配置します。そして、他の脆弱なサーバーに対して開いている IP アドレスのランダムなブロックを検索するスキャナーを実行します。スキャナーが検出した脆弱なサーバーは同様に感染し、コマンド、制限、繁殖コンポーネントがサーバーにインストールされます。

次の JBoss 製品リリースがこの問題に対応しています。

• JBoss Communications Platform 1.2.5
• JBoss Enterprise Application Platform (EAP) 4.2 CP09
• JBoss Enterprise Application Platform (EAP) 4.3 CP08
• JBoss Enterprise Application Platform (EAP) 5.0.1
• JBoss Enterprise Portal Platform (EPP) 4.3 CP04
• JBoss Enterprise Web Platform (EWP) 5.0.0-SEC-01
• JBoss SOA-Platform (SOA-P) 4.2 CP05
• JBoss SOA-Platform (SOA-P) 4.3 CP03
• JBoss SOA-Platform (SOA-P) 5.0.1

残りの許可された verb に対して、GET ハンドラーをトリガーとするのを手動で防ぐには、デフォルトですべての verb をブロックする GET および POST の明示的な拒絶を削除して、セキュリティ制限を調整する必要があります。

<security-constraint>
  <web-resource-collection>
    <web-resource-name>HtmlAdaptor</web-resource-name>
    <description>
       An example security config that only allows users with the role
       JBossAdmin to access the HTML JMX console web application
    </description>
    <url-pattern>/*</url-pattern>
  </web-resource-collection>
  <auth-constraint>
    <role-name>JBossAdmin</role-name>
   </auth-constraint>
</security-constraint>

注意: JBoss AS 4.0.x のライフは終了したので、それに対するバイナリーパッチはありません。同じデプロイメントディスクリプタに、上述したセキュリティ制限に関する記述がコメントとして記載されてます。上で説明しているように、<http-method> タグを手動で削除してこのセキュリティ制限のコメントを解除し、JBoss インスタンスが保護されていることを確認します。