重要脆弱性情報 CVE ID: CVE-2016-4432 脆弱性の種類: 認証回避 深刻度: Important 影響を受けるバージョン 影響を受けるバージョン: Qpid Java Broker versions 6.0.2 及びそれ以前 説明 脆弱性の説明: AMQP 0-8、0-9、0-91、および 0-10 の接続の処理を担当するコードに欠陥があり、認証を回避することが可能です。攻撃者はこの脆弱性を悪用し、有効な認証情報を指定することなく、各種操作を行うことができます。例えば、不正なメッセージの挿入やメッセージの盗難などが挙げられます。 影響を受けないケース: - アクセスコントロールリスト（ACL）機能が有効になり、かつすべての仮想ホストのアクセスが制御されている場合、この脆弱性は悪用できません。 - この脆弱性は、ブローカーの AMQP 1.0 には適用されません。 - ブローカーがすべてのメッセージング接続に対して SSL クライアント認証を必須としている場合、この脆弱性は適用されません。 解決策 対応策: ユーザーは Qpid Java Broker をバージョン 6.0.3 以降にアップグレードしてください（推奨）。 緩和策 緩和方法: - アップグレードが不可能な場合、「ACCESS VIRTUALHOST」節を含む ACL ファイルを使用してすべての仮想ホストへのユーザーアクセスをホワイトリスト化することで、脆弱性を緩和できます。 - AMQP 0-8、0-9、0-91、および 0-10 のサポートが必要でない場合、ポートレベルでこれらのプロトコルを無効にすることでも脆弱性を緩和できます。 参照リンク 参照: https://issues.apache.org/jira/browse/QPID-7257