PR

Hitach Incident Response Team

 2月5日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。

Apache HTTPサーバー 2.2.22リリース(2012/01/31)

 Apache HTTPサーバー 2.2.22では、mod_setenvifモジュールでのアクセス権限の昇格(CVE-2011-3607)、エラー処理とmod_proxyモジュールでの情報漏洩(CVE-2011-4317、CVE-2012-0053、CVE-2011-3368)、mod_log_configモジュールとscoreboardモジュールでのサービス不能攻撃を許してしまう脆弱性(CVE-2012-0021、CVE-2012-0031)の計6件を解決しています。いずれの脆弱性も2.2.x系に影響があるものです。

 また新たな機能として、スマートフィルター(動的な出力フィルター)、キャッシング機構の改良、AJP(Apache JServ Protocol)プロキシー、プロキシー負荷分散、グレースフルシャットダウン(処理中の作業が完了してから停止する機構)、大きなファイルサイズ対応などが追加されました。

オラクル製品におけるハッシュテーブルDoS問題(2012/01/31)

 2011年12月末に報告された、ハッシュテーブルの衝突を悪用したサービス不能攻撃を許してしまう脆弱性(ハッシュテーブルDoS問題)の更新情報です。Oracle Application Server、Oracle WebLogic Server、Oracle iPlanet Web Server、Oracle Java System Web Serverは、Javaのハッシュテーブル実装を使用しているため、ハッシュテーブルDoS問題の脆弱性(CVE-2011-5035)が存在します。

PHP 5.3.10リリース(2012/02/02)

 PHP 5.3.10では、任意のコード実行を許してしまう脆弱性(CVE-2012-0830)を解決しています。この問題は、ハッシュテーブルの衝突を悪用したサービス不能攻撃を許してしまう脆弱性(CVE-2011-4885)の対策を施した際に、PHP 5.3.9に作り込まれてしまった脆弱性です。HTTPリクエストのパラメーター数が上限値(デフォルト1000)を超え、パラメーター名に配列変数のような記述がされた場合に発生します。

Firefox 10.0、Firefox 3.6.26リリース(2012/01/31)

 Firefox 10.0では、任意のコード実行、アクセス制御機構の迂回、情報漏洩を許してしまう脆弱性など計8件、Firefox 3.6.26では計5件の問題を解決しています。

 また、Firefox 10.0から、法人向けに延長サポート版(ESR: Extended Support Release)のサービスが始まりました。延長サポート版は、1年に1回程度のメジャーアップデートと、その間、互換性には変更を加えずセキュリティ問題の修正を含むマイナーアップデートを提供するというサポート形態です。

Thunderbird 10.0、Thunderbird 3.1.18リリース(2012/01/31)

 Thunderbird 10.0では、任意のコード実行、アクセス制御機構の迂回、情報漏洩を許してしまう脆弱性など計7件、Thunderbird 3.1.18では計5件の問題を解決しています。また、Firefox同様、Thunderbird 10.0から、法人向けに延長サポート版のサービスが始まりました。

米アップル セキュリティアップデート2012-001(2012/02/01)

 Mac OS X v10.6.8、Mac OS X Server v10.6.8、OS X Lion v10.7~v10.7.2、OS X Lion Server v10.7~v10.7.2のセキュリティアップデートがリリースされました。影響を受けるパーツは、Address Book、Apache、ATS、CFNetwork、ColorSync、CoreAudio、CoreMedia、CoreText、CoreUI、curl、Data Security、dovecot、filecmds、ImageIO、Internet Sharing、Libinfo、libresolv、libsecurity、OpenGL、PHP、QuickTime、SquirrelMail、Subversion、Time Machine、Tomcat、WebDAV Sharing、Webmail、X11で、計49件の脆弱性問題を解決しています。Apacheに存在する脆弱性(CVE-2011-3389)は、平文とそれに対応した暗号文を手がかりに暗号解読(選択平文攻撃)が可能であるというSSL 3.0/TLS 1.0のCBCモードの脆弱性です。

VMware ESXi/ESXのセキュリティアップデート:VMSA-2012-0001(2012/01/30)

 VMware ESXi/ESXのセキュリティアップデートがリリースされました。このアップデートでは、ESXサービス・コンソールのカーネルに存在する脆弱性38件、ESXサービス・コンソールのcURL、rpm、samba、python、pythonライブラリーに存在する脆弱性15件、計53件のセキュリティ問題を解決しています。

Unbound 1.4.16リリース(2012/02/02)

 キャッシュDNSサーバーの一つであるUnboundのバージョン1.4.16がリリースされました。検証処理など、主にバグ修正を目的としたリリースです。