第7章 既知の問題

Apache Solr は、Apache Lucene 検索エンジンを使用する一般的なオープンソースの検索プラットフォームです。アプリケーションが Apache Solar と Apache Lucene の組み合わせ (Camel Solr コンポーネントを使用している場合など) を使用する場合、このセキュリティー脆弱性の影響を受ける可能性があります。この脆弱性の詳細と軽減策について、リンク先のセキュリティーアドバイザリーを確認してください。

FasterXML jackson-databind ライブラリーを使用し、JSON コンテンツをデシリアライズして Java オブジェクトをインスタンス化するアプリケーションは、潜在的に リモートコード実行 攻撃に脆弱です。しかし、脆弱性は自動的に発生せず、適切な軽減策を講じれば回避することができます。

最低でも以下の前提条件をすべて満たさなければ攻撃を実行することはできません。

アプリケーションで jackson-databind を使用する必要がある場合、Jackson JSON でポリモーフィックな型の処理を行わないようにし、ObjectMapper.enableDefaultTyping() メソッドを絶対に呼び出さないことが、リスクを軽減する最も重要な対策になります。

Camel Dozer の camel-dozer コンポーネントおよび Camel Shiro の camel-shiro コンポーネントは、CVE セキュリティー脆弱性のある commons-beanutils ライブラリーのバージョンに依存します。Camel Dozer または Camel Shiro コンポーネントを以下のコンテナーのいずれかにデプロイした場合、アプリケーションはこのセキュリティー脆弱性の影響を受ける可能性があります。

Spring Boot 1 および Spring Boot 2 コンテナータイプの場合、プロジェクトの Maven POM ファイルの依存関係をカスタマイズすることで、このセキュリティー脆弱性を回避できます。

現時点で、JBoss EAP コンテナータイプには回避策がないため、Fuse on EAP で Camel Dozer または Camel Shiro コンポーネントを使用しないことが推奨されます。Fuse 7.6.0 のリリース後、Fuse on EAP の common-beanutils 依存関係を修正するパッチが利用できるようになります。パッチの詳細については、Red Hat サポートにお問い合わせください。

Spring Boot 1 および Spring Boot 2 で依存関係の問題を回避するには、以下のようにアプリケーションの Maven POM ファイルを変更します。たとえば、以下のような camel-dozer-starter アーティファクトの依存関係があるとします。

        <dependency>
            <groupId>org.apache.camel</groupId>
            <artifactId>camel-dozer-starter</artifactId>
        </dependency>

上記の依存関係を変更し、以下の行に置き換えます。

        <dependency>
            <groupId>org.apache.camel</groupId>
            <artifactId>camel-dozer-starter</artifactId>
            <exclusions>
                <exclusion>
                    <groupId>commons-beanutils</groupId>
                    <artifactId>commons-beanutils</artifactId>
                </exclusion>
            </exclusions>
        </dependency>

        <dependency>
            <groupId>commons-beanutils</groupId>
            <artifactId>commons-beanutils</artifactId>
            <version>1.9.4.redhat-00002</version>
        </dependency>