Copper PDF

Java製品に広く使われているApache Commonsに脆弱性が見つかりました。Copper PDFは、通常の使い方を行っている限りは影響はありません。

この問題のCopper PDFへの影響は次の通りです。

Copper PDFサーバーを起動してドライバでアクセスしている場合：

影響はありません。

Copper PDFのライブラリ(jar)にアプリケーションがリンクしている場合（Copper PDFサーバーを起動しない場合）：

アプリケーションがオブジェクトの直列化(Serializer)機能を利用している場合は影響する可能性があります。

問題の詳細

この問題は、Apache Commonsに含まれるorg.apache.commons.collections.functors.InvokerTransformerというクラスが任意のプログラムを実行可能なことに起因しています。Javaのオブジェクトの直列化機能を使って、このクラスを生成させることで、コンピューター上で任意のプログラムを実行されてしまいます。

Copper PDFはInvokerTransformerを含みますが、オブジェクトの直列化機能を使いません。特に、Java以外のPHP, Perl, .NET等の環境から利用する場合は影響はありません。Java版ドライバはApache Commonsの一部のクラスを含んでいますが、InvokerTransformerは除外されています。

ただし、Copper PDFのライブラリをJavaのアプリケーションと直接リンクさせ、なおかつそのアプリケーションが直列化機能を使っている場合は、InvokerTransformerを生成されてしまうことがあります。特にTomcatを使用し、Copper PDFのライブラリをlibディレクトリに入れている場合、クラスパスに含めている場合は影響があります。

WebLogic、WebSphere等のアプリケーション・サーバーを利用している場合はCopper PDFとは関係なく脆弱性の影響がありますので、メーカーによるサポートを受けてください。

問題への対応

１１月下旬リリースのCopper PDF3.1.5では本体からもInvokerTransformerを除外します。

.NETドライバを更新しました。

従来は対応していなかったSSL/TLSによる暗号化通信(ctips:)に対応しました。

一定時間通信がない状態で自動的に通信を切断するタイムアウトに対応しました。
以下のようにURLパラメータで、timeoutをミリ秒単位で指定できます。
ctip://127.0.0.1:8099/?timeout=10000

SourceForge.jpからダウンロードしてください

Copper PDF 2.1.13/3.0.18/3.1.0 以前には、SCRIPTタグを使用した場合に、文書の内容が欠けてしまう、深刻なバグがあります。

Copper PDF 3.0.18/3.1.0 以前は、必ず最新のバージョンにアップデートしてください。

Copper PDF 2.1.13には、以下の手順を実行してください

原因

HTMLパーサー（NekoHTML）の、タグを探索する処理にバグがある。
具体的には、タグの存在を判定する部分で、ストリームの終了を誤認識し、を素通りしてしまうことがある。

影響

HTML内でSCRIPTタグを使用している場合は、常に問題が発生する可能性があります。
なお、IFRAME, NOSCRIPTの処理にも同じバグがありますが、Copper PDFの場合はHTMLパーサーの設定によりバグが潜在化しているので、SCRIPTタグ以外に影響はありません。