Hitachi Command Suite製品におけるCookieヘッダに関する脆弱性

2013.05.17 更新

Hitachi Command Suite製品にCookieヘッダに関する脆弱性(CVE-2012-0053)が存在します。

脆弱性ID

HS13-001

脆弱性の内容

Hitachi Command Suite (HCS)製品が同梱する，WebサーバにCVE-2012-0053の脆弱性が存在します。

HCSサーバ製品に脆弱性を引き起こすHTTPリクエストを送信すると，悪意を持った第三者が，スクリプトにより取得できないはずのHTTP Cookieの情報を取得可能になります。

影響を受けるバージョンを下記に示しますので，対策版の適用または，下記[暫定回避策]による回避をお願いいたします。

対象製品

対象製品名 : Hitachi Device Manager Software
対象製品名 : Hitachi Tiered Storage Manager Software
対象製品名 : Hitachi Replication Manager Software
対象製品名 : Hitachi Tuning Manager Software

対象バージョン :

Windows

7.4.1-00 未満

Solaris(SPARC)

7.4.1-00 未満

Solaris(Opteron)

7.4.1-00 未満

Linux(RHEL)

7.4.1-00 未満

Linux(SLES)

7.4.1-00 未満

対象製品名 : Hitachi Provisioning Manager Software

対象バージョン :

Windows

7.0.0-00 未満

Solaris(SPARC)

7.0.0-00 未満

Solaris(Opteron)

7.0.0-00 未満

Linux(RHEL)

7.0.0-00 未満

Linux(SLES)

7.0.0-00 未満

対象製品名 : Hitachi Global Link Manager Software

対象バージョン :

Windows

7.4.1-00 未満

対策版の提供

対象製品名 : Hitachi Device Manager Software
対象製品名 : Hitachi Tiered Storage Manager Software
対象製品名 : Hitachi Replication Manager Software
対象製品名 : Hitachi Tuning Manager Software

対策バージョン(*1) :

Windows

7.4.1-00 2013.02.15

Solaris(SPARC)

7.4.1-00 2013.02.15

Solaris(Opteron)

7.4.1-00 2013.02.15

Linux(RHEL)

7.4.1-00 2013.02.15

Linux(SLES)

7.4.1-00 2013.02.15

対象製品名 : Hitachi Global Link Manager Software

対策バージョン(*1) :

Windows

7.4.1-00 2013.02.15

*1

対策版は，新規，アップグレード，[暫定回避策]適用前，適用後に関わらず，本脆弱性を対策します。[暫定回避策]適用後に対策版をインストールされる場合も，[暫定回避策]の設定を戻す必要はありません。
また，対策版をインストール後，[暫定回避策]に記されている設定がされていないこともありますが，同梱するWebサーバにて対策していますので，[暫定回避策]を実施する必要はありません。

暫定回避策

この脆弱性に対して下記の暫定回避策があります。対策版を適用するまでの間，暫定回避策を実施していただくようお願いいたします。

httpsd.confファイルの行（ErrorDocument 417 "Expectation Failed"）の次の行に，（ErrorDocument 400 "Bad Request"）を追記してください。
httpsd.confの変更は，HCS製品のサービスを停止し，ファイルをバックアップしてから行ってください。
サービスの停止・再起動の方法につきましては，製品マニュアル，およびサポート契約者サイトを参照してください。

ただし，（ErrorDocument 400 "Bad Request"）の行が既に存在する場合は，追加する必要はありません。
また，以下の製品のバージョンでは，（ErrorDocument 400 "Bad Request）の最後の"(ダブルクウォート)をつけずに，ファイルの最終行に追記してください。

  - Hitachi Device Manager Software
  - Hitachi Provisioning Manager Software
      5.9.0-00 未満 (Windows/Linux/Solaris(SPARC))

  - Hitachi Tiered Storage Manager Software
  - Hitachi Replication Manager Software
  - Hitachi Tuning Manager Software
      5.9.0-00 未満 (Windows/Solaris(SPARC))

  - Hitachi Global Link Manager Software
      6.0.0-00 未満 (Windows)

更新履歴

2013.05.17

[対策版の提供]を更新しました。

2013.01.18

このセキュリティ情報ページを新規作成および発信しました。