【重要なお知らせ】SSL3.0脆弱性の影響について（2014/10/24更新）

2014/10/24

日頃より弊社製品をご愛顧いただき誠にありがとうございます。

2014年10月14日に公開されたSSL 3.0 に存在する脆弱性（CVE-2014-3566）についてご案内します。
これらの脆弱性を悪用された場合、情報漏洩が起こる可能性があります。

【参考情報】
Microsoft　： https://technet.microsoft.com/ja-jp/library/security/3009008

弊社で提供するクラウドサービス（WEB特Q便、JBcloud.com）においては、SSL V3.0の対策を実施する予定です。
オンプレミス製品については、それぞれの製品において案内を後日公表する予定です。

以下の対象製品にて、HTTPS（SSL）を使用されているお客様は、必要に応じて、各端末のブラウザの設定でSSLの対策を実施してください。

■推奨する回避策　

下記製品にて、HTTPSをご利用の場合は、お使いの端末にてブラウザの設定変更を実施いただけますよう宜しくお願い申し上げます。

クライアントの設定方法（10月16日掲示）

Webブラウザで SSL 3.0 を無効にして、TLS 1.0、TLS 1.1、および TLS 1.2 を有効にする回避策となります。

【Microsoft Internet Explorerの場合】

「ツール」→「インターネットオプション」→「詳細設定」の中の「SSL 3.0を使用する」のチェックを外し、TLS 1.0、TLS 1.1、および TLS 1.2 の使用を有効にしてください。

【Google Chromeの場合】

ショートカットのプロパティを表示します。「リンク先(T)」に、起動オプション"-ssl-version-min=tls1"を付けて保存します。

"C:\...\chrome.exe" -ssl-version-min=tls1

SSL_chrome

サーバーによる設定方法（10月24日掲示）

▼Apache Http Server 2.2におけるSSL 3.0の無効化

次のように設定を変更することでSSL 3.0の無効化することができます。

・Windows

①次のファイルのバックアップを作成し、テキストエディターで開きます。

(Apache Http Server導入フォルダ)/conf/extra/httpd-ssl.conf

②SSLProtocolディレクティブに「-SSLv3」を次のように追加し、SSLv3を無効にします。

SSLProtocol All -SSLv2 -SSLv3

③Apacheを再起動してください。

何か問題が発生した場合、①で作成したバックアップファイルを戻し、再起動してください。

・Red Hat Linux

レッドハットより設定変更方法が案内されていますので下記URLをご参考に実施ください。

▼IBM WebSphere ApplicationにおけるSSL 3.0の無効化

IBMより設定変更方法が案内されていますので
下記URLをご参考に実施ください。

（注意事項）

・「Ｈｉ!Ｓｈｏｗ給」での携帯アクセスに関して
上記のサーバーの設定を行うことによって、下記のような携帯電話から、アクセスができなくなる可能性があります。
ＰＣなど、別の手段による給与情報配布をご検討くださいますようお願いいたします。

au 2012年5月24日以降の「ケータイアップデート」を行っていない携帯、対象外の機種
（参考）http://www.au.kddi.com/information/notice_mobile/update/update-20120524-01.html

【弊社クラウドサービスの状況】

【ご利用に応じて、注意が必要な弊社のオンプレミス製品】

※お客様のブラウザの設定を必要に応じて実施してください。

【その他、弊社製品の、SSL3.0脆弱性についてのご連絡事項】

製品名	連絡事項
SmartDrive	クライアントからSSL3.0を使用していないので、問題ありません