[upki-fed:01199] 【注意喚起】Shibboleth SPの脆弱性について(2017/11/30付リリースアナウンス)

[国立情報学研究所 学認事務局 <xxxxxxxxxxxxxx@xxxxxxxxx>]

SP運用ご担当者　各位
学認情報交換メーリングリスト参加者　各位

　国立情報学研究所　学認事務局です。
平素より学認の運営にご協力を賜り，ありがとうございます。

Shibboleth Projectより、Shibboleth SPで使用されているlibcurlに関する脆
弱性(CVE-2017-8816, CVE-2017-8817, CVE-2017-8818)とShibboleth SP
2.6.1.2のリリースについてアナウンスがありました。[1]

影響
====

本脆弱性の対象なるバージョンは次の通りです。

 - Linux:   libcurl-openssl 7.57.0未満
 - Windows: Shibboleth SP 2.6.1.2未満

※ Shibboleth SP 2.6.1.2はWindows版のみのリリースです。Shibboleth SP本
   体の更新ははなく、インストールパッケージに同梱されているlibcurlのバー
   ジョンが7.57.0に上がっています。

詳細はcURL Projectの情報[2]をご確認ください。


対策
====

(Linuxの場合)
libcurl-opensslを新しいバージョンにアップデートしてください。

  - libcurl-openssl-7.57.0-1.1.x86_64

※ すでに2.6.1をお使いの場合はアップデート後shibdが再起動されない可能
   性がありますので、その場合は手動で再起動してください。


(Windowsの場合)
Shibboleth SPを新しいバージョン(2.6.1.2)にアップデートしてください。

  - https://shibboleth.net/downloads/service-provider/2.6.1/win32/
  - https://shibboleth.net/downloads/service-provider/2.6.1/win64/


参考情報:

[1] https://shibboleth.net/pipermail/announce/2017-November/000172.html
[2] https://curl.haxx.se/news.html
--
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++
  国立情報学研究所 学術基盤課 学認事務局　（担当：末永）
　電子メール     xxxxxxxxxxxxxx@xxxxxxxxx
　学認Webページ  https://www.gakunin.jp/
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++