2023 年 05 月 19 日
お客様各位
株式会社 セゾン情報システムズ
HULFT テクニカルサポートセンター

DataSpider Servista の ScriptRunner、ScriptRunner for Amazon SQS に含まれる脆弱性に関するお知らせ

平素より、テクニカルサポートサービスをご利用いただき、誠にありがとうございます。
DataSpider Servista の ScriptRunner、ScriptRunner for Amazon SQS について、秘密鍵がハードコードされた問題（CWE-321）があることが判明しました。
本脆弱性は、DataSpider Servista の最新リリース(サービスパック・パッチモジュール)で修正済です。ScriptRunner、ScriptRunner for Amazon SQS をご利用の場合、下記内容をご確認ください。
－記－
1.

影響を受ける製品及びバージョン- DataSpider Servista Advanced Server Package- DataSpider Servista Basic Server Package- DataSpider Servista Select
全バージョンが対象です。

2.

影響範囲
- ScriptRunner- ScriptRunner for Amazon SQSScriptRunner または ScriptRunner for Amazon SQS を使用していない（起動設定ファイルを作成していない）場合は、影響はありません。

3.

脆弱性による影響
当該製品にアクセス可能な攻撃者が ScriptRunner または ScriptRunner for Amazon SQS の起動設定ファイルを入手した場合に、ハードコードされた暗号鍵を使用して暗号化されている認証情報を復号される可能性があります。

Saison Information Systems CO.,LTD.

4.

お客様へのお願い事項
対応するパッチモジュールを適用して、起動設定ファイルに対して、必要な手順を実施してください。手順の詳細はパッチモジュール同梱の README をご参照ください。
パッチモジュールは myHULFT よりダウンロード可能です。
ご利用のバージョンごとの対応するパッチモジュールは以下のとおりです。
DataSpider

対応するサービスパック・パッ

Servista

チモジュール

備考

バージョン
4.4

4.4SP14.4SP1 は本件対応済のサービスパッ
クです。

4.3
4.2

4.3SP2 向けパッチ

4.3SP2 未適用の場合、SP2 適用後に「DSS43SP2_221005_05」

本パッチを適用してください。

4.2SP9 向けパッチ

4.2SP9 未適用の場合、SP9 適用後に「DSS42SP9_221005_05」

本パッチを適用してください。

DataSpider Servista 4.1 以下をご利用の場合、4.2 以上にバージョンアップ後、上記パッチモジュールを適用いただきますようお願いいたします。
5.

お問合せ先
技術サポートサービス契約先にお問い合わせください。
以上【改訂履歴】
2023 年 05 月 19 日

初版作成

Saison Information Systems CO.,LTD.

別紙： よくあるご質問と回答

Q1

ScriptRunner の使用有無の確認方法を教えてください。
A：
ScriptRunner は、コマンドライン引数に起動設定ファイルを指定して ScriptRunner.exe を実行することでスクリプトを実行する機能です。詳細は下記 URL のヘルプをご参照ください。
[ScriptRunner]
URL：https://www.hulft.com/help/jajp/DataSpider/dss44sp1/help/ja/tools/scriptrunner.html
このため ScriptRunner の使用有無については以下をご確認ください。
・ ScriptRunner.exe がインストールされている環境があるか。
・ 上記環境でお客様が作成した起動設定ファイルを指定して ScriptRunner.exe でスクリプトを実行する運用を行っているか。

Q2

ScriptRunner を使用してはいませんが、DataSpiderServer の動作環境に、ScriptRunner.exe,ScriptRunnerSQS.exe が存在しています。
この２つのファイルが DataSpiderServer 動作環境に存在する場合に、本脆弱性問題は発生しますか。
A：
本脆弱性は、ScriptRunner や ScriptRunner for Amazon SQS でスクリプトを実行する際に使用する起動設定ファイルの暗号化に関する脆弱性です。
このため、ScriptRunner.exe、ScriptRunnerSQS.exe のファイル自体が存在していても、起動設定ファイルを作成していない場合、影響はございません。

Q3

パッチがリリースされる対象バージョンは、DataSpider Servista 4.4, 4.3, 4.2 とのことですが、4.1 以下を使用している場合、バージョンアップが必要ですか。
A：
恐縮ですが、DataSpider Servista 4.2 以降へのバージョンアップをお願いいたします。
DataSpider Servista 4.1 は 2022 年 07 月 05 日より、アシスタンスサポートの範囲でのサポートとなっており、パッチのご提供はございません。

Saison Information Systems CO.,LTD.

Q4

今回の脆弱性について実際に被害の起きた事例はありましたか。
A：
本脆弱性が原因となる被害について、現時点でご報告はいただいておりません。

Q5

パッチを適応後、想定通り改善された動作となっているか確認する方法はありますか。
A：
パッチ適用前から変更していない起動設定ファイルを使用して、ScriptRunner.exe を実行してください。エラーが発生した場合、パッチが適用されています。
今回の脆弱性の対応として、認証情報を復号化するための暗号鍵を実行環境に保存するように変更しています。このため、パッチ適用前の起動設定ファイルに記載している認証情報は、パッチ適用後には復号化できないため、エラーが発生します。

Q6

DataSpider Servista の導入されているマシンが、ScriptRunner を用いた通信を行っていない場合は、脆弱性の影響を受けないと理解してよいでしょうか。
A：
本脆弱性は、DataSpider の導入環境にアクセス可能な攻撃者が ScriptRunner の起動設定ファイルを入手した場合に、認証情報を確認できてしまう問題です。
ScriptRunner と DataSpiderServer 間で通信を行っていない場合でも、作成済みの起動設定ファイルが存在する場合は、そのファイルを入手された際に影響がございます。

Q7

サービスパックの適用方法を教えてください。
A：
myHULFT からダウンロードいただくインストーラ一式と同一階層にある「ServicePack」というディレクトリに、サービスパックが配置されています。
サービスパックは圧縮された ZIP 形式「DSSxx_SPx.zip」で提供されます。
解凍したフォルダ内の「DSSxx_SPx_README_ja.txt」を参照の上、サービスパックを適用してください。また、追加機能パッチやサービスパックに関する詳細についても、解凍したフォルダ内のドキュメントを参照してください。

Saison Information Systems CO.,LTD.

Q8

最新のサービスパック(SP)を適用する場合、以前の SP を適用せずいきなり最新 SP を適用しても、以前の SP 内容も併せて適用されますか？
A：
過去の SP を適用せずに最新 SP を適用した場合でも、過去分も含めた全ての SP 内容が適用されます。（最新 SP が SP9 の場合、SP1～8 を適用せず SP9 を適用すると、SP1 から SP9 までの全ての SP 内容が適用されます。）
そのため、SP1、SP2、 …

SP9 の順に適用する必要はありません。

以上

Saison Information Systems CO.,LTD.