[SNS Advisory No.84] Oracle Application Server HTTP Response Splitting Vulnerability

[snsadv@xxxxxxxxx (snsadv)]

----------------------------------------------------------------------
SNS Advisory No.84
Oracle Application Server HTTP Response Splitting Vulnerability

Problem first discovered on: Tue, 01 Feb 2005
Published on: Fri, 21 Oct 2005
----------------------------------------------------------------------

脅威度:
-------
  中


概要:
-----
  Oracle Application Server には、HTTPレスポンス分割攻撃が可能となる脆弱
  性が存在しています。これにより、実際にはサイトに存在していないコンテン
  ツを あたかもサイトに存在しているかのように表示させることや、クロスサ
  イトスクリプティング攻撃を行うことが可能です。
  

詳細:
-----
  Oracle Application Server には、セッション管理パラメータを URL 内に埋
  め込んで指定することができる Session URL Rewriting の機能が存在します。

  Oracle Application Server は、Session URL Rewriting 機能において、URL 
  に指定されたセッション管理パラメータを Cookie としてセットし直す際に、
  特殊文字を適切にサニタイズしていません。

  このため、URL に、改行コードではじまる任意のコンテンツを含むセッション
  管理パラメータを指定した場合に、そのレスポンスとして、任意のHTTPヘッダ
  やコンテンツを出力させることが可能です。

  これにより、実際にはサイトに存在していないコンテンツを あたかもサイト
  に存在しているかのように表示させることや、クロスサイトスクリプティング
  攻撃を行うことなどが可能です。これは、フィッシング詐欺や、セッションハ
  イジャックなどに悪用される恐れがあります。


影響を受ける バージョン: 
------------------------
  Oracle9i Application Server Release 2 (9.0.2.3)
  Oracle Application Server 10g Release 1 (9.0.4.2)
  Oracle Application Server 10g Release 2 (10.1.2.0)


対策:
-----
  Critical Patch Update - October 2005 を適用してください。
  http://www.oracle.com/technology/deploy/security/pdf/cpuoct2005.html


発見者:
-------
  山崎 圭吾 (LAC) 


免責:
-----
  このアドバイザリで示される情報は予告なしに改定されることがあり、かつ、あ
  るがままの形で提供されます。この情報を適用し生起される結果のリスクは利用
  者が負うものとし、株式会社ラックは一切の責任を負わないものとします。


再配布について:
---------------
  このアドバイザリの再配布は、下記条件を満たす限り自由です。

  発行元 URL として、以下の URL を明記する。 
  http://www.lac.co.jp/business/sns/intelligence/SNSadvisory/84.html
----------------------------------------------------------------------