PR

Hitach Incident Response Team

 1月22日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。

オラクル2012年1月の四半期セキュリティアップデート(2012/01/20)

 Critical Patch Update - January 2012には、Oracle Database Server系2件(1件)、Oracle Fusion Middleware系11件(5件)、Oracle Applications系18件[Oracle E-Business Suite系3件(1件)、Oracle Supply Chain Products Suite系1件(1件)、Oracle PeopleSoft系6件、Oracle JD Edwards系8件(1件)]、Oracle Sun Products Suite系17件(6件)、Oracle Linux and Virtualization系3件、Oracle MySQL系27件(1件)、計78件のセキュリティアップデートが含まれています。カッコ内の件数は、認証操作が不要でリモートからの攻撃を許してしまう脆弱性の件数で、計16件となっています。

 また、2011年12月末に報告されたハッシュテーブルの衝突を悪用したサービス不能攻撃を許してしまう脆弱性(ハッシュテーブルDoS問題)に対して、GlassFish Enterprise Serverの問題(CVE-2011-5035)を解決するセキュリティアップデートがリリースされました。

Tomcat 7.0.25、Tomcat 5.5.35リリース(2012/01/21)

 Tomcat 7.0.25では、バグ修正のほか、Servlet 3.0の実装にあわせた改訂、空きポートの自動選択機能の追加、そしてCommons Pool 1.5.7、Commons Daemon 1.0.8、Eclipse JDT compiler 3.7.1へのアップデートがありました。セキュリティアップデートは含まれていません。

 Tomcat 5.5.35では、パラメーター数とは関係なく、不正なリクエストを受信した際に、サービス不能攻撃を許してしまう脆弱性(CVE-2012-0022)を解決しています。この問題は、Tomcat 5.5.0~5.5.34に影響があります。また、Tomcat 5.5.35では、2011年12月末に報告されたハッシュテーブルDoS問題(CVE-2011-4858)を解決しています。

米シスコ製品に複数の脆弱性

■IP Video Phone E20(2012/01/18)

 IPビデオ電話IP Video Phone E20にインストールされているCisco TelePresenceソフトウエアTE 4.1.0では、デフォルトパスワードでのrootアカウントアクセスが有効のままとなっている可能性があります。この脆弱性(CVE-2011-4659)は、管理アカウントのアーキテクチャー上の変更に起因するものです。

■Digital Media Manager(2012/01/18)

 ディジタルサイネージやエンタープライズTVなどで使用するメディアのスケジューリングや再生を管理するDigital Media Managerには、アクセス権限の昇格を許してしまう脆弱性(CVE-2012-0329)が存在します。また、ビデオ検索と閲覧サービスを提供するCisco Show and Shareの認証機能では、Digital Media Managerを使用しているため、この脆弱性の影響を間接的に受ける可能性があります。

制御システム系製品の脆弱性

■7-テクノロジーズのIGSS(2012/01/16)

 7-テクノロジーズ(7t.dk)が開発している、オブジェクト指向型でマウス操作が可能なSCADAシステムのIGSS(Interactive Graphical SCADA System)には、DLL(ダイナミックリンクライブラリー)ファイルを読み込む際に、攻撃者が細工した外部DLLの読み込みを許してしまう問題(DLLプリロード攻撃)が発生し得る脆弱性(CVE-2011-4053)が存在します。

■CogentのDataHub(2012/01/16)

 Cogent Real-Time Systems(cogentdatahub.com)が開発している、データ収集やWeb監視システムの構築、MES(Manufacturing Execution System)やQNXシステムとのデータ連携を可能にするDataHub、OPC DataHub、Cascade DataHubには、クロスサイトスクリプティング(CVE-2012-0309)、HTTPヘッダーインジェクションの脆弱性(CVE-2012-0310)が存在します。

■ロックウェルのFactoryTalk RNADiagReceiver(2012/01/17)

 ロックウェル(rockwellautomation.com)の製造システムと情報システムとのリアルタイムなデータ交換を実現するFactoryTalkには、不正なUDPパケットを受信した場合にサービス不能攻撃を許してしまう脆弱性が存在します。影響を受けるのは、FactoryTalkの診断用コンポーネントの一つであるRnadiagreceiver.exeです。