【セキュリティ情報】IBM Websphere Message Broker, IBM Integration Bus Messaging SSL 3.0 の脆弱性の影響について (CVE-2014-3566)

Workarounds and Mitigations

WebSphere Message Broker and IBM Integration Bus

次のリンクに使用可能なプロトコルがリストされています。
http://www-01.ibm.com/support/knowledgecenter/SSYKE2_7.0.0/com.ibm.java.security.component.70.doc/security-component/jsse2Docs/protocols.html


WebSphere Message Broker と IBM Integration Busでは、SSLv3 を無効化し、TLSプロトコルを使用することを推奨します。
SSLv3 の代わりにTLSの使用方法は、次のIBM Knowledge Center に記載されています。この手順は、現在サポートされているすべてのバージョンにおいて有効です。


インバウンド接続
インバウンド接続の攻撃を受ける可能性があります。サーバーがSSLv3を許可しない場合、アウトバウンド接続が停止するかもしれません。

・ブローカー全体の HTTP リスナーを使用したインバウンドHTTP接続：
手順： http://www-01.ibm.com/support/knowledgecenter/SSMKHH_9.0.0/com.ibm.etools.mft.doc/ap12234_.htm
mqsichangeproperties broker name -b httplistener -o HTTPSConnector -n sslProtocol -v TLS


・統合サーバーリスナーのインバウンドHTTP接続　は、デフォルトでTLS()を使用します。
しかし、ブローカー全体のリスナーに一致するように修正される場合、TLSを使用するために必要な次の手順を実施してください。
手順：
http://www-01.ibm.com/support/knowledgecenter/SSMKHH_9.0.0/com.ibm.etools.mft.doc/ap12234_.htm
mqsichangeproperties broker name -e integration_server_name -o HTTPSConnector -n sslProtocol -v TLS

・非デフォルト・ブローカー全体リスナーのインバウンドSOAP接続:
手順: http://www-01.ibm.com/support/knowledgecenter/SSMKHH_9.0.0/com.ibm.etools.mft.doc/ap12234_.htm
mqsichangeproperties broker name -b httplistener -o HTTPSConnector -n sslProtocol -v TLS


・統合サーバーリスナー(デフォルト選択)のインバウンドSOAP接続：　は、デフォルトでTLSを使用します。ブローカー全体のリスナーに一致するように修正される場合、TLSを使用するために必要な次の手順を実施してください。
手順：
http://www-01.ibm.com/support/knowledgecenter/SSMKHH_9.0.0/com.ibm.etools.mft.doc/ap12234_.htm
mqsichangeproperties broker name -e integration_server_name -o HTTPSConnector -n sslProtocol -v TLS

・TCPIPサーバーインバウンド：
手順：
http://www-01.ibm.com/support/knowledgecenter/SSMKHH_9.0.0/com.ibm.etools.mft.doc/bp34105_.htm
mqsichangeproperties MYBROKER -c TCPIPServer -o myTCPIPServerService -n SSLProtocol  -v TLS

・WebAdminインバウンド：
手順：
http://www-01.ibm.com/support/knowledgecenter/SSMKHH_9.0.0/com.ibm.etools.mft.doc/bj23620_.htm
mqsichangeproperties brokerName -b webadmin -o HTTPSConnector -n sslProtocol -v TLS


・odbc.ini でODBC(DataDirect) OpenSSL を構成している場合：
ODBC Oracle Wire プロトコルドライバーは、EncryptionMethod接続のオプションに"5"を設定することができます。これは、TLS1 もしくはTLS1.0以降を使用することを意味します。
ODBC Oracle Wire プロトコルドライバーにEncryptionMethod=5を設定することにより、POODLE攻撃を避けることができます。この機能は、Oracle WPドライバーの6.1のバージョンから利用できます。
DataDirectドライバーの提供者はSSLをサポートする他の全てのODBCドライバに同程度の機能性に取り組んでいます、そして、SSLのネゴシエーションを拡張するためにOpenSSLのバージョンをグレードアップに取り組んでいます。
クライアント・ベースのODBCドライバー(DB2クライアントとInfomixクライアント)は、Database のクライアント・ライブラリーのSSL実装に依存します。POODLE攻撃の可能性について学ぶために、クライアント・ライブラリーのドキュメンテーションを参照してください。


アウトバウンド接続
サーバーが一旦SSLv3に賛成してTLSを使うために変わるならば、以下のコマンドでアウトバウンドの設定を更新する必要があります。
以下のすべての指示において、TLSは必要ならばSSL_TLSまたはSSL_TLSv2を置き換えることができます（例えばサーバーがTLSを使うためにアップデートされている間、過渡期にSSLv3に代替システムをサポートするために）。
この変更を使用するには、ToolkitのAPAR　IT04685 が必要です。IBMテクニカル・サポートにご連絡ください。

・HTTP 接続
手順: http://www-01.ibm.com/support/knowledgecenter/SSMKHH_9.0.0/com.ibm.etools.mft.doc/ap12235_.htm
リクエストノードのSSLタブでTLSプロトコルを選択してください。

・非デフォルトSSLv3プロトコルを使うために修正されたSOAP接続
手順： http://www-01.ibm.com/support/knowledgecenter/SSMKHH_9.0.0/com.ibm.etools.mft.doc/ap34022_.htm
リクエストノードのSSLタブでTLSプロトコルを選択してください。

・TCPIP クライアント:
一般情報: http://www-01.ibm.com/support/knowledgecenter/SSMKHH_9.0.0/com.ibm.etools.mft.doc/bp34100_.htm
mqsichangeproperties MYBROKER -c TCPIPClient -o myTCPIPClientService -n SSLProtocol -v TLS

・JMSノード:
一般情報: http://www-01.ibm.com/support/knowledgecenter/SSMKHH_9.0.0/com.ibm.etools.mft.doc/ap12237_.htm
JMSプロバイダーからの指示に従ってください。

・CICSノード:
一般情報: http://www-01.ibm.com/support/knowledgecenter/SSMKHH_9.0.0/com.ibm.etools.mft.doc/bc16170_.htm?cp=SSMKHH_9.0.0%2F1-14-2-1-5-5
CICSノードは、デフォルトでTLSを使用しますので、変更の必要はありません。

・セキュリティ・プロバイダー:
WSTrust:
環境変数　MQSI_STS_SSL_PROTOCOL に　"TLS"　をセットしてください。

TFIM:
環境変数　MQSI_TFIM_SSL_PROTOCOL に　"TLS"　をセットしてください。


SSLv3プロトコルを使用するエリア、SSLv3を無効化するような処置をとるエリアなどお客様環境全体を見直しいただき、適切な対応策の検討を推奨します。


WebSphere Message Broker v8 HVE, IBM Integration Bus V9 HVE and IBM SOA Policy pattern for Red hat Enterprise Linux Server
オペレーティングシステムを含むSSLv3の脆弱性を確認いただき、適切な緩和と改善措置をとるために、環境全体を見直されることを推奨いたします。
詳細はあなたのオペレーティングシステム・プロバイダーに連絡してください。