2014年第一四半期のセキュリティ アップデート


解説

Sitecoreは、様々なバージョンのSitecore CMS、Sitecore Intranet Portal、およびSitecore Foundry（以下の表を参照）で発生する、2つのセキュリティの問題を確認いたしました。Sitecore社は、本件セキュリティ脆弱性の発見に貢献・ご協力いただいたNCC社に謝意を表します。
なお、本件に対処する修正プログラムは、新しい機能の追加やシステムの挙動の変更は行いません。

貴社Sitecoreバージョンをご確認いただくには、以下を実施してください。
  1. 「[site root]\bin」フォルダーで、Sitecore.Kernel dllファイルを見つけます。
  2. dllファイルを右クリックし、プロパティを選択します。
  3. 「詳細」タブを開きます。
  4. 「製品バージョン」フィールドの値が、Sitecoreバージョンを示します。

影響を受けるSitecore製品と、そのバージョンおよび必要な修正プログラムは以下の通りです。
凡例: Yes - 必要、 No - 不要

Sitecore CMS

Sitecore CMS バージョン 修正 400290 修正 400292
7.2 rev.140314 (Update-1) Yes No
7.2 rev.140228 (Initital Release) Yes No
7.1 rev.140324 (Update-2) Yes No
7.1 rev.140130 (Update-1) Yes No
7.1 rev.130926 (Initial Release) Yes Yes
7.0 rev.140408 (Update-5) No No
7.0 rev.140120 (Update-4) Yes No
7.0 rev.131127 (Update-3) Yes Yes
7.0 rev.130918 (Update-2) Yes Yes
7.0 rev.130810 (Update-1) Yes Yes
7.0 rev.130424 (Initial Release) Yes Yes
6.6.0 rev.140410 (Update-8) No No
6.6.0 rev.131211 (Update-7) Yes No
6.6.0 rev.130529 (Service Pack-1) Yes Yes
6.6.0 rev.130404 (Update-5) Yes Yes
6.6.0 rev.130214 (Update-4) Yes Yes
6.6.0 rev.130111 (Update-3) Yes Yes
6.6.0 rev.121203 (Update-2) Yes Yes
6.6.0 rev.121015 (Update-1) Yes Yes
6.6.0 rev.120918 (Initial Release) Yes Yes
6.6.0 rev.120622 (Technical Preview) Yes Yes
6.5.0 rev.121009 (Service Pack-2) Yes Yes
6.5.0 rev.120706 (Service Pack-1) Yes Yes
6.5.0 rev.120427 (Update-4) Yes Yes
6.5.0 rev.111230 (Update-3) Yes Yes
6.5.0 rev.111123 (Update-2) Yes Yes
6.5.0 rev.110818 (Update-1) Yes Yes
6.5.0 rev.110602 (Initial Release) Yes Yes
6.4.1 rev.120113 (Update-6) Yes Yes
6.4.1 rev.111003 (Update-5) Yes Yes
6.4.1 rev.110928 (Update-4) Yes Yes
6.4.1 rev.110720 (Update-3) Yes Yes
6.4.1 rev.110621 (Update-2) Yes Yes
6.4.1 rev.110324 (Update-1) Yes Yes
6.4.1 rev.101221 (Initial Release) Yes Yes
6.4.0 rev.101124 (Update-1) Yes Yes
6.4.0 rev.101012 (Initial Release) Yes Yes
6.3.1 rev.110112 (Initial Release) No Yes
6.3.0 rev.101029 (Update-3) No Yes
6.3.0 rev.100928 (Update-2) No Yes
6.3.0 rev.100830 (Update-1) No Yes
6.3.0 rev.100716 (Initial Release) No Yes
6.2.0 rev.101105 (Update-5) No Yes
6.2.0 rev.100831 (Update-4) No Yes
6.2.0 rev.100701 (Update-3) No Yes
6.2.0 rev.100507 (Update-2) No Yes
6.2.0 rev.100104 (Update-1) No Yes
6.2.0 rev.091012 (Initial Release) No Yes
6.1.0 rev.091029 (Update-3) No Yes
6.1.0 rev.090821 (Update-2) No Yes
6.1.0 rev.090722 (Update-1) No Yes
6.1.0 rev.090630 (Initial Release) No Yes

 

Sitecore Intranet Portal

Sitecore Intranet Portal バージョン 修正 400290 修正 400292
3.0.0 rev. 090724 (Initial Release) No Yes
3.0.0 rev. 091126 (Update-1) No Yes
3.1.0 rev. 100421 (Initial Release) No Yes
3.1.0 rev. 100726 (Update-1) No Yes
3.1.0 rev. 100921 (Update-2) No Yes
3.2.0 rev. 101202 (Initial Release) No Yes
3.3.0 rev. 111102 (Initial Release) No Yes
3.3.0 rev. 120208 (Update-1) No Yes
4.0.0 rev. 130523 (Initial Release) Yes Yes
4.1.0 rev. 131010 (Initial Release) Yes Yes

 

Sitecore Foundry

Sitecore Foundry バージョン 修正 400290 修正 400292
3.0.0 rev. 090814 (Initial Release) No Yes
3.0.0 rev. 091008 No Yes
4.0.0 rev. 120711 (Technical Preview) Yes Yes
4.0.0 rev. 121129 (Initial Release) Yes Yes
4.1.0 rev. 130621 (Initial Release) Yes Yes

解決策

修正プログラムは、スクリプトまたは手動でインストールできます。

スクリプトでのインストール

註： /sitecoreフォルダーが削除されているか、ファイル システムのセキュリティ制限により、スクリプトを実行するアカウントがそのフォルダーにアクセスできないSitecoreインストール環境では、スクリプトでのインストールが失敗します。そのような環境の場合は、手動でのインストールを実施するようにしてください。

PowerShellスクリプトの実行に熟知されているお客様およびパートナー様には、スクリプトでのインストールをお薦めいたします。スクリプトを実行しても、結果は手動でのインストールと変わりありません。

PowerShellスクリプトの実行に不安がある場合、または貴社サーバー環境での実行が許可されていない場合は、次のセクションに記載されている手動でのインストールをお薦めいたします。

インストールをするには、Sitecore.FixIt.400290.400292.zipをダウンロード・解凍してください。必要なインストール手順については、解凍したアーカイブのREADME.FIRST.txtの指示に従ってください。

このスクリプトは、Sitecoreがインストールされたすべてのサーバーで実行してください。または、貴社のリリースの方法に合わせて、下位環境（開発環境等）にて実行し、本番環境に昇格していただくことも可能です。

このスクリプトは、事前検証、インストール、および事後検証のステップを提供します。事前検証の段階では、どの修正が貴社バージョンに適用されているかを確認し、変更されるファイルが適切なロケーションにあるかどうかを検証します。
インストールの段階ではSitecoreのweb rootフォルダーの複数のファイルに変更を加えますが、変更を実施する前に自動的にファイルのバックアップを取得します。事後検証の段階では、変更が予期された通りに実施されたかを検証します。

註： .zipアーカイブをダウンロードする際に、Windowsがコンピュータを保護するために、アーカイブをブロックすることがあります。アーカイブのブロックを解除するには、ファイルを右クリックし、プロパティを選択して、全般タブの「ブロック解除」ボタンをクリックしてください。

註： スクリプトでのインストールに使用されている下層.NET Framework APIのため、XMLベースの設定ファイルの間隔に若干の変更が加えられる場合があります。

手動インストール

Sitecoreは、PowerShellスクリプトの実行に不慣れなお客様、または権限不足によりスクリプトでのインストールを実施できないお客様向けに、マニュアルでのインストールの方法もご案内しております。
これらの方法は、環境の特定の設定のためにスクリプトでのインストールが成功しない場合や、事前検証の段階で予期しない設定が報告された場合にも必要となる場合があります。

修正#400290のインストール手順：

  1. Sitecore.Support.400290.dllファイルをSitecoreの「/bin」フォルダーにコピーします。
  2. 「Web.config」ファイルを以下のように変更します。
    変更前：
    「/configuration/system.webServer/handlers」セクションのSitecoreアイコン ハンドラー ノード

    変更後：
    <add verb="*" path="sitecore_icon.ashx" type="Sitecore.Support.Resources.IconRequestHandler, Sitecore.Support.400290" name="Sitecore.Support.400290.IconRequestHandler"/>
    変更前：
    「/configuration/system.web/httpHandlers」セクションのSitecoreアイコン ハンドラー ノード

    変更後： 
    <add verb="*" path="sitecore_icon.ashx" type="Sitecore.Support.Resources.IconRequestHandler, Sitecore.Support.400290"/>

修正#400292のインストール手順：

註： 修正#400292のインストール手順は、/sitecoreフォルダーが削除されているSitecoreインストールでは、スキップすることも可能です。

  1. Sitecore.Support.400292.400293.dllファイルをSitecoreの「/bin」フォルダーにコピーします。
  2. 「\App_Config\Commands.config」ファイルを以下のように変更します。
    変更前：
    <command name="item:upload" type="Sitecore.Shell.Framework.Commands.Upload,Sitecore.Kernel" />
    変更後：
    <command name="item:upload" type="Sitecore.Support.Shell.Framework.Commands.Upload,Sitecore.Support.400292.400293" />
  3. 「\sitecore\shell\Applications\Dialogs\Upload\Upload2.aspx」ファイルを以下のように変更します。
    変更前：
    Inherits="Sitecore.Shell.Applications.Dialogs.Upload.UploadPage2" %>
    変更後：
    Inherits="Sitecore.Support.Shell.Applications.Dialogs.Upload.UploadPage2" %>
  4. 「\sitecore\shell\Applications\Dialogs\Upload\Upload.xml」ファイルを以下のように変更します。
    変更前：
    <WizardForm CodeBeside="Sitecore.Shell.Applications.Dialogs.Upload.UploadForm,Sitecore.Client" FormTarget="sitecoreupload" Enctype="multipart/form-data" GridPanel.Height="100%">
    変更後：
    <WizardForm CodeBeside="Sitecore.Support.Shell.Applications.Dialogs.Upload.UploadForm,Sitecore.Support.400292.400293" FormTarget="sitecoreupload" Enctype="multipart/form-data" GridPanel.Height="100%">
  5. 「\sitecore\shell\Applications\Files\FileExplorer\FileExplorer.xml」」ファイルを以下のように変更します。
    変更前：
    <CodeBeside Type="Sitecore.Shell.Applications.Files.FileExplorer.FileExplorerForm,Sitecore.Client"/>
    変更後：
    <CodeBeside Type="Sitecore.Support.Shell.Applications.Files.FileExplorer.FileExplorerForm,Sitecore.Support.400292.400293"/>
  6. 「\sitecore\shell\Applications\Files\FileBrowser\FileBrowser.xml」ファイルを以下のように変更します。
    変更前：
    <CodeBeside Type="Sitecore.Shell.Applications.Files.FileBrowser.FileBrowserForm,Sitecore.Client" Submittable="false"/>
    変更後：
    <CodeBeside Type="Sitecore.Support.Shell.Applications.Files.FileBrowser.FileBrowserForm,Sitecore.Support.400292.400293" Submittable="false"/>
  7. 「\sitecore\shell\Applications\Files\FileBrowser\FileBrowser.xml」ファイルを以下のように変更します。
    変更前：
    <Button ID="UploadButton" Header="Upload" def:placeholder="Buttons" Click="filebrowser:upload"/>
    変更後：
    <Button ID="UploadButton" Header="Upload" def:placeholder="Buttons" Click="filebrowser:uploadfixed"/>
    註： いくつかのSitecore CMSバージョンでは、「Button」要素の定義が異なります。上記のテキストが「FileBrowser.xml」ファイル内に見つからない場合は、以下のように変更してください。
    変更前：
    <Button Header="Upload" def:placeholder="Buttons" Click="filebrowser:upload"/>
    変更後：
    <Button Header="Upload" def:placeholder="Buttons" Click="filebrowser:uploadfixed"/>
  8. 「\sitecore\shell\Applications\Install\Dialogs\File Browser\File browser.xml」ファイルを以下のように変更します。
    変更前：
    <CodeBeside Type="Sitecore.Shell.Applications.Install.Dialogs.FileBrowserForm,Sitecore.Client"/>
    変更後：
    <CodeBeside Type="Sitecore.Support.Shell.Applications.Install.Dialogs.FileBrowserForm,Sitecore.Support.400292.400293"/>
  9. 「\sitecore\shell\Applications\Layouts\IDE\Windows\Media Library\IDE Media Library.xml」ファイルを以下のように変更します。
    変更前：
    <CodeBeside Type="Sitecore.Shell.Applications.Layouts.IDE.Windows.MediaLibrary.MediaLibraryForm,Sitecore.Client"/>
    変更後：
    <CodeBeside Type="Sitecore.Support.Shell.Applications.Layouts.IDE.Windows.MediaLibrary.MediaLibraryForm,Sitecore.Support.400292.400293"/>