PR

Hitach Incident Response Team

 2011年4月10日までに明らかになったぜい弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーなどの情報を参考に対処してください。

Tomcat 7.0.12リリース(2011/04/06)

 Tomcat 7.0.12では、2件のぜい弱性を解決するとともに、バグ対策、SPNEGO(Simple and Protected GSSAPI Negotiation Mechanism)/Kerberos認証などの新機能が追加されました。Tomcat 7.0.0~7.0.11に存在するぜい弱性(CVE-2011-1475)は、Servlet 3.0 非同期リクエスト処理するためのBIO(Blocking I/O)コネクターに存在する問題で、情報漏えいにつながる可能性があります。Tomcat 7.0.11に存在するぜい弱性(CVE-2011-1183)は、@ServletSecurity annotations処理に関するぜい弱性(CVE-2011-1088)の対策時に作り込まれてしまった問題で、セキュリティ制限を迂回される可能性があります。

[参考情報]

ISC DHCP 3.1-ESV-R1/4.1-ESV-R2/4.2.1-P1リリース(2011/04/05)

 ISC DHCP 3.1-ESV-R1、DHCP 4.1-ESV-R2、DHCP 4.2.1-P1では、DHCPクライアントに存在する任意のコード実行を許してしまうぜい弱性(CVE-2011-0997)を解決しています。この問題は、DHCPサーバーからDHCPクライアントに送信される応答メッセージのホスト名に含まれるメタキャラクターの処理に関するもので、DHCP 3.0.x~4.2.xが影響を受けます。なお、ホスト名で利用できる文字は、半角英数字(A~Z、0~9)、半角のハイフン「-」で、インターネットの技術仕様であるRFC1035に規定されています。

[参考情報]

HP製品に複数のぜい弱性(2011/04/03)

■XNTPの稼働するHP-UXにサービス不能のぜい弱性

 mode 7パケットの処理に起因するサービス不能につながるぜい弱性(CVE-2009-3563)で、時刻サーバーXNTPの稼働する、HP-UX B.11.11、B.11.23、B.11.31が影響を受けます。

■HP-UXにサービス不能のぜい弱性

 HP-UX B.11.23、B.11.31には、システムや装置を目の前にして攻撃活動が成立するローカル攻撃により、サービス不能につながるぜい弱性(CVE-2011-0891)が存在します。

■HP-UX Apache Web Serverに複数のぜい弱性

 TomcatをベースとしたServletエンジンを搭載しているHP-UX Apache Web Serverには、情報漏えい、クロスサイトスクリプティング、サービス不能につながるぜい弱性が存在します。サービス不能につながるぜい弱性の一つは、Javaにおいて、"2.2250738585072012e-308"のような文字列を浮動小数点数に変換する際にインタプリターがハングアップする問題(CVE-2010-4476)です。

[参考情報]

Cyber Security Bulletin SB11-094(2011/04/04)

 3月28日の週に報告されたぜい弱性の中からGoogle Chromeのぜい弱性を取り上げます(Vulnerability Summary for the Week of March 28, 2011)。

■Google Chrome 10.0.648.204リリース(2011/03/24)

 3月15日、Adobe Flash playerの最新版に対応したGoogle Chrome 10.0.648.134がリリースされました。なお、Adobe Flash Playerのぜい弱性(CVE-2011-0609)への対策については、3月11日にリリースされたGoogle Chrome 10.0.648.133で対応済みです。

 3月17日、認証局であるComodoが利用している登録局が不正侵入を受け、九つの不正な電子証明書を発行してしまった問題に対処するため、該当する電子証明書を受け入れないGoogle Chrome 10.0.648.151がリリースされました。3月24日には、サービス不能などにつながる計6件のぜい弱性を解決したGoogle Chrome 10.0.648.204がリリースされました。

 3月後半に入ってから3回のアップデートが行なわれており、この状況はリリース間隔にも現れてきています。例えば、バージョン3~8までのリリース間隔は15日くらいであったのが、バージョン9以降は10日を切っており、かなり短くなっています(図1

図1●Google ChromeのStableアップデートリリース回数
図1●Google ChromeのStableアップデートリリース回数

[参考情報]


寺田 真敏
Hitachi Incident Response Team
チーフコーディネーションデザイナ
『HIRT(Hitachi Incident Response Team)とは』

HIRTは,日立グループのCSIRT連絡窓口であり,ぜい弱性対策,インシデント対応に関して,日立グループ内外との調整を行う専門チームです。ぜい弱性対策とはセキュリティに関するぜい弱性を除去するための活動,インシデント対応とは発生している侵害活動を回避するための活動です。HIRTでは,日立の製品やサービスのセキュリティ向上に関する活動に力を入れており,製品のぜい弱性対策情報の発信やCSIRT活動の成果を活かした技術者育成を行っています。