【漏洞的内容】

注销处理中存在开放式重定向的漏洞，通过访问做过手脚的URL，有可能在任意的网页中被重定向。
结果就有可能遭遇钓鱼等的危害。
与要访问的客户端的登录状态无关，由于只要访问URL就会被重定向，因此有可能容易被利用攻击。
此外，此漏洞作为2014/5/8在JVN#68340046 intra-mart中开放式重定向的漏洞被公开。

请参阅以下IPA的解说。
http://jvndb.jvn.jp/ja/contents/2014/JVNDB-2014-000044.html（日语）


适用产品

intra-mart WebPlatform / AppFramework Ver 6.0
intra-mart WebPlatform / AppFramework Ver 6.1
intra-mart WebPlatform / AppFramework Ver 7.0
intra-mart WebPlatform / AppFramework Ver 7.1
intra-mart WebPlatform / AppFramework Ver 7.2

使用以上产品的客户，没有例外都需要实施以下的处理方法。

※在intra-mart Accel Platform和Ver5.1及之前的BaseModule/Framework中不存在此漏洞，因此是对象外。

【处理方法】


intra-mart WebPlatform / AppFramework Ver7.2

在4/11发布的Ver7.2.7中已经解决。

不能使用Ver7.2.7 的客户请使用以下的单个模块。
无关补丁的适用情况，单个模块都可以使用。

http://newsupport.intra-mart.jp/patch/download/patch_info.php?patch_cd=1199（日语）



intra-mart WebPlatform / AppFramework Ver7.1～Ver6.0

请使用以下的单个模块。
无关补丁的适用情况，单个模块都可以使用。

用于Ver.6.0：http://newsupport.intra-mart.jp/patch/download/patch_info.php?patch_cd=1195（日语）
用于Ver.6.1：http://newsupport.intra-mart.jp/patch/download/patch_info.php?patch_cd=1196（日语）
用于Ver.7.0：http://newsupport.intra-mart.jp/patch/download/patch_info.php?patch_cd=1197（日语）
用于Ver.7.1：http://newsupport.intra-mart.jp/patch/download/patch_info.php?patch_cd=1198（日语）


【影响范围】

此修复在intra-mart的注销处理中，追加了限制处理用于仅跳转至本补丁新提供的配置文件中定义的URL。
由于没有这以外的更改，因此只要没有将注销处理独自自定义，则对现在使用的系统没有影响。
对于已将注销处理独自自定义的环境，请在充分考虑后使用本补丁。

【使用需求】

以下是本FAQ中发表的对象需求。

需求25366 参数“im_initial_url”中的漏洞

另外，有关使用Ver.7.2.2及以前、以及Ver.7.1.4及以前版本的客户，以下的需求也为对象。
需求13466 logoutServlet中的XSS漏洞(在Ver.7.2.3中解决)
需求13467 logoutServlet中的XSS漏洞(在Ver.7.1.5中解决)


有关需求的详细信息，请参阅客服支持网站内的问题信息列表。
https://issue.intra-mart.jp/projects/iwp/issues

-- 适用对象 ----------------------------------------------------------
iWP/Web系统构建基础/WebPlatform/AppFramework
--------------------------------------------------------------------------


FAQID:389