AEM でのシリアル化の問題の軽減

概要

アドビの AEM チームは、オープンソースプロジェクト NotSoSerial と緊密に連携して CVE-2015-7501 に記載されている脆弱性の軽減に努めています。NotSoSerial は Apache 2 ライセンスでライセンスが付与され、BSD に似た独自のライセンスでライセンスが付与される ASM コードが含まれます。

このパッケージに含まれるエージェント JAR は、アドビが変更を加えて配布する NotSoSerial です。

NotSoSerial は Java レベルの問題を解決する Java レベルのソリューションであり、AEM に固有のものではありません。これはオブジェクトのシリアル化を解除するときに、プリフライトのチェックを追加します。このチェックでは、ファイアウォールスタイルの許可リストおよびブロックリストと照合してクラス名をテストします。デフォルトのブロックリストのクラス数は限られているので、システムやコードに影響が及ぶことはありません。

デフォルトでは、エージェントは現在の既知の脆弱なクラスに対してブロックリストチェックをおこないます。このブロックリストの目的は、現在リストに掲載されている、この種類の脆弱性を利用する攻撃からユーザーを保護することです。

ブロックリストと許可リストは、この記事のエージェントの設定の手順に従って設定できます。

エージェントの目的は、最新の既知のクラスの脆弱性を軽減することです。プロジェクトで信頼されないデータのシリアル化を解除している場合でも、サービス拒否攻撃、メモリ不足攻撃および未知のシリアル化解除による攻撃に対しては脆弱なままであることがあります。

アドビは Java 6、7 および 8 を正式にサポートしていますが、NotSoSerial は Java 5 もサポートしています。

エージェントのインストール

メモ

以前に AEM 6.1 向けのシリアル化のホットフィックスをインストールした場合は、Java を実行する行からエージェントの開始コマンドを削除してください。

com.adobe.cq.cq-serialization-tester バンドルをインストールします。
Web コンソール（https://server:port/system/console/bundles）にアクセスします。
シリアル化のバンドルを探して開始します。これにより、NotSoSerial エージェントが動的にオートロードされます。

アプリケーションサーバーへのエージェントのインストール

NotSoSerial エージェントは、アプリケーションサーバーの AEM の標準配布版には含まれていません。ただし、それを AEM JAR 配布版から抽出して、アプリケーションサーバーの設定に使用できます。

まず、AEM クイックスタートファイルをダウンロードして展開します。
```
java -jar aem-quickstart-6.2.0.jar -unpack
```
AEM クイックスタートを展開した場所に移動し、crx-quickstart/opt/notsoserial/ フォルダーを AEM アプリケーションサーバーのインストールの crx-quickstart フォルダーにコピーします。
/opt の所有者を、サーバーを実行しているユーザーに変更します。
```
chown -R opt <user running the server>
```
この記事の続きの節に示すようにエージェントを設定し、エージェントが正しくアクティベートされていることを確認してください。

エージェントの設定

ほとんどのインストールにおいて、デフォルトの設定で十分機能します。これには、リモート実行の既知の脆弱性があるクラスのブロックリストや、信頼できるデータのシリアル化解除が比較的安全なパッケージの許可リストが含まれます。

ファイアウォールの設定は動的であり、次の手順でいつでも変更できます。

Web コンソール（https://server:port/system/console/configMgr）にアクセスします。
「Deserialization Firewall Configuration」を探してクリックします
メモ
次の URL から設定ページに直接アクセスすることもできます。
- https://server:port/system/console/configMgr/com.adobe.cq.deserfw.impl.DeserializationFirewallImpl

この設定には、許可リスト、ブロックリスト、シリアル化解除ログが含まれています。

Allow Listing

許可リストセクションには、シリアル化解除が許可されるクラスやパッケージ接頭辞が表示されます。独自のクラスのシリアル化解除をおこなう場合は、この許可リストにクラスまたはパッケージのいずれかを追加する必要があります。

Block Listing

ブロックリストセクションには、シリアル化解除が許可されないクラスが表示されます。これらのクラスの初期セットは、リモート実行の攻撃に脆弱であると見なされるクラスに限定されています。ブロックリストは、許可リストに登録されているエントリの前に適用されます。

Diagnostinc Logging

診断ログのセクションでは、シリアル化解除の実行中にログに記録される内容を、複数のオプションから選択できます。これらは最初の使用時にログに記録され、後続の使用では記録されません。

デフォルトの class-name-only は、シリアル化が解除されるクラスを示します。

full-stack オプションを選択すると、最初にシリアル化の解除が試行されたときの Java スタックがログに記録され、シリアル化の解除が実行されている場所を示します。これは、自身の環境からシリアル化が解除されたクラスを探して削除するときに便利です。

エージェントのアクティベートの検証

次の URL にアクセスしてシリアル化を解除するエージェントの設定を確認できます。

https://server:port/system/console/healthcheck?tags=deserialization

URL にアクセスすると、エージェントに関連するヘルスチェックのリストが表示されます。ヘルスチェックに合格しているかを確認することで、エージェントが正しくアクティベートされているか判断できます。不合格の場合は、エージェントを手動で読み込む必要がある場合があります。

エージェントの問題のトラブルシューティングについて詳しくは、以下の動的なエージェントの読み込みによるエラー処理を参照してください。

メモ

org.apache.commons.collections.functors を許可リストに追加すると、ヘルスチェックは必ず失敗します。

動的なエージェントの読み込みによるエラー処理

ログにエラーがある場合や、検証ステップでエージェントの読み込み時に問題が検出された場合は、エージェントを手動で読み込む必要がある場合があります。これは、JDK（Java Development Toolkit）ではなく、動的な読み込みをおこなうツールがない JRE（Java Runtime Environment）を使用している場合にも推奨されます。

エージェントを手動で読み込むには、以下の手順に従います。

次のオプションを追加して、CQ JAR の JVM スタートアップパラメーターを変更します。
```
-javaagent:<aem-installation-folder>/crx-quickstart/opt/notsoserial/notsoserial.jar
```
メモ

エージェントはフォークされた JVM では有効にできないので、CQ／AEM の -nofork オプションを、適切な JVM メモリ設定で使用する必要があります。

メモ

Adobe 配布版の NotSoSerial エージェント JAR は、AEM インストールの crx-quickstart/opt/notsoserial/ フォルダーにあります。
JVM を停止して再開します。
前述のエージェントのアクティベートの検証のステップに従って、エージェントのアクティベートをもう一度検証します。