PR

Hitach Incident Response Team

 3月18日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。

OpenSSL 1.0.0h、OpenSSL 0.9.8uリリース(2012/03/12)

 1月18日にリリースされたOpenSSL 1.0.0g、OpenSSL 0.9.8tでは、DTLS(Datagram Transport Layer Security)処理の脆弱性(CVE-2011-4108)対策時に作り込まれてしまったサービス不能攻撃を許してしまう問題(CVE-2012-0050)を解決しています。

 また、これらバージョンのOpenSSL CMS(Cryptographic Message Syntax)とPKCS #7のコードには、Million Message Attack(大量メッセージを利用した攻撃手法で、Bleichenbacher攻撃とも呼ばれています)に脆弱であることから、3月12日にOpenSSL 1.0.0h、OpenSSL 0.9.8uがリリースされました。

OpenSSL 1.0.1リリース(2012/03/14)

 TLS1.1と1.2、TLS/DTLSハートビート(稼動していることを知らせるための手順)、SCTP(Stream Control Transmission Protocol)などをサポートしたOpenSSL 1.0.1がリリースされました。

米シスコ製品に複数の脆弱性

■ASA 5500シリーズとASAサービスモジュール(2012/03/14)

 Cisco ASA(Adaptive Security Appliances)5500シリーズと、Cisco Catalyst 6500シリーズのASAサービスモジュールに、サービス不能攻撃を許してしまう脆弱性が存在します。脆弱性は、UDPパケットのインスペクション処理(CVE-2012-0353)、脅威検出機能(CVE-2012-0354)、特定のsyslogメッセージ生成処理(CVE-2012-0355)、Protocol Independent Multicast(PIM)メッセージ処理(CVE-2012-0356)に関する4件です。

■Cisco Catalyst 6500シリーズのFWサービスモジュール(2012/03/14)

 Cisco Catalyst 6500シリーズのファイアウォール(FW)サービスモジュールには、Protocol Independent Multicast(PIM)メッセージの不適切な処理に起因し、サービス不能攻撃を許してしまう脆弱性(CVE-2012-0356)が存在します。

■ASA 5500シリーズのクライントレスVPNソリューション(2012/03/14)

 Cisco ASA(Adaptive Security Appliances)5500シリーズのクライントレスVPNソリューションが提供するActiveXコントロールには、バッファオーバーフローに起因し、任意のコード実行を許してしまう脆弱性(CVE-2012-0358)が存在します。

米アドビ システムズColdFusionに脆弱性:APSB12-06(2012/03/13)

 ColdFusion 8.0、8.0.1、9.0、9.0.1には、ハッシュテーブルの衝突を悪用したサービス不能攻撃を許してしまう、ハッシュテーブルDoS問題の脆弱性(CVE-2012-0770)が存在します。

マイクロソフト2012年3月の月例セキュリティアップデート(2012/03/14)

 3月の月例セキュリティアップデートでは、6件のセキュリティ更新プログラムを公開し、7件のセキュリティ問題を解決しています。脆弱性による影響は、リモートからの任意のコード実行2件、サービス不能3件、アクセス権限の昇格2件です。

 このうち、セキュリティ更新プログラム(MS12-022)は、Expression DesignがDLL(ダイナミックリンクライブラリー)ファイルを読み込む際に、攻撃者が細工した外部DLLの読み込みを許してしまう問題が発生し得る(DLLプリロード攻撃の)脆弱性に対処しました。リモートデスクトップの脆弱性(MS12-020)については、検証コードが公開されていることから、侵害活動への発展に注意していく必要があります(図1)。

図1●脆弱性(CVE-2012-0002)の対応経緯
図1●脆弱性(CVE-2012-0002)の対応経緯

Firefox 11、Firefox ESR 10.0.3、Firefox 3.6.28リリース(2012/03/14)

 Firefox 11、Firefox ESR 10.0.3、Firefox 3.6.28では、メモリー破損やメモリーの解放後使用(use-after-free)に起因し、サービス不能攻撃や任意のコード実行を許してしまう脆弱性など、計12件の脆弱性を解決しています。

Thunderbird 11、Thunderbird ESR 10.0.3、Thunderbird 3.1.20リリース(2012/03/14)

 Thunderbird 11、Thunderbird ESR 10.0.3、Thunerbird 3.1.20では、メモリー破損やメモリーの解放後使用(use-after-free)に起因し、サービス不能攻撃や任意のコード実行を許してしまう脆弱性など、計12件の脆弱性を解決しています。