NECページの先頭です。本ウェブサイトでは、JavaScriptおよびスタイルシートを使用しております。お客さまがご使用のブラウザではスタイルが未適応のため、本来とは異なった表示になっておりますが、情報は問題なくご利用いただけます。NECサポートポータルログインユーザID/パスワードを忘れた方はこちらここからサイト内共通メニューです。サイト内共通メニューを読み飛ばす。契約、サービスに関するお問い合わせ製品から探すハードウェアソフトウェアカテゴリから探すお知らせよくあるご質問(サポートFAQ)修正情報・ダウンロード契約・手続きについてサポートパック/サポートバンドルの登録ユーザIDの取得トップサポート・ダウンロードサポート情報サポートポータルお知らせ・検索一覧お知らせ・詳細ここから本文です。次の複数の脆弱性が存在します。Serverでは、Servlet/JSPエンジンとしてTomcatをベースにしたWebコンテナを提供しています。Tomcatの脆弱性のうちCVE-2019-17563の影響があります。Serverでは脆弱性の影響を受けるコンポーネントを利用していないため影響ありません。次の製品が該当し、それらがサポートする全てのOSで影響があります。Expressを使用している場合にも該当します。【CVE-CVE-2019-17563】[脆弱性の影響]FORM認証を使用する際に、セッション固定攻撃が可能な短い時間帯が存在します。そのため、攻撃者によりなりすましが行われることで、FORM認証されたユーザの権限で任意の操作を実行される可能性があります。[脆弱性に該当する条件]FORM認証を利用している場合に、本脆弱性の影響を受ける可能性があります。製品に対するパッチの公開時期は現在検討中です。急ぎでパッチが必要な場合はご連絡ください。パッチモジュールは製品保守契約を結んでいただいたお客様に限定して提供させていただいています。契約がお済みでないお客様は、保守契約締結の後、ダウンロードをお願いいたします。【CVE-2019-17563】セッション固定攻撃は、FORM認証のログイン後に常にセッションを再作成することで回避可能です。WebOTXでは、FORM認証でログインが成功した際にセッションを再作成して、ログイン前のセッションを使い続けることを防ぐ機能を提供しています。全てのWebアプリケーション、もしくはWebアプリケーション毎にFORM認証時のセッション再作成を設定します。Webアプリケーション毎に設定する方法Webアプリケーションのnec-web.xml配備記述子にFORM認証時のセッション再作成を設定します<nec-web-app>要素の子要素<property>のname属性に"auth_form_changeSessionIdOnAuthentication"、value属性に"true"を設定します。詳細は、以下のURLを参照してください。他社から提供または公開された情報を基にしております。最新の情報につきましては製品開発元の情報を参照してください。本サイトは弊社製品のセキュリティ情報の提供を目的としております。弊社では責任を負いかねますのでご了承ください。お客様には常に最新の情報をご確認いただけますようお願い申し上げます。最終更新日:2020年02月12日ページの先頭へ戻るここからページ共通メニューです。ページ共通メニューを読み飛ばす。ご利用条件お問い合わせ。