PR

 米Macromediaは米国時間9月23日,同社のサーバー製品「JRun」および「ColdFusion MX」にそれぞれ複数のセキュリティ・ホールが見つかったことを明らかにした。JRunのセキュリティ・ホールを悪用されると,セッション・ハイジャックを許したり,DoS(サービス妨害)攻撃を受けたりする。ColdFusion MXでは,サーバー上の情報を盗まれたり,DoS攻撃を受けたりする。対策は修正パッチを適用すること。

 セキュリティ・ホールの影響を受けるのは,JRun 3.0/3.1/4.0およびColdFusion MX 6.0/6.1/J2EE-JRun。セキュリティ・ホールは,それぞれ複数報告されている。セキュリティ・ホールの詳細については,MacromediaやSecuniaなどが公開する情報を参照してほしい。

 セキュリティ・ホールを悪用されると,JRunを利用しているWebアプリケーションにおいて,セッション・ハイジャックを許したり――すなわち,ユーザーのなりすましを許したり――,本来は公開すべきではないファイル(スクリプト・ファイル)にアクセスされたりする。Webアプリケーションを停止させられる可能性もある。

 ColdFusion MXでは,JRun同様,本来は公開すべきではないファイルにアクセスされたり,サービスを停止させられる恐れがある。

 Macromediaでは,いずれのセキュリティ・ホールについても,その深刻度を最悪の「Critical」に設定している(ほかには,「Important」「Moderate」「Low」といった深刻度がある)。これらの製品を使っているサーバーの管理者は,すぐに対策を施したい。

 対策は修正パッチを適用すること。いずれの修正パッチも,過去に公開されたパッチをすべて含む“累積”パッチである。

 なお,Macromediaは,米国時間9月22日付けで,先日公開されたセキュリティ・ホール「JPEG処理 (GDI+) のバッファオーバーランにより,コードが実行される」に関する同社製品の影響を公表している。それによれば,同社製品にはセキュリティ・ホールのある「gdiplus.dll」が含まれるものの,JPEGの処理には利用しないという。このため,同社製品はセキュリティ・ホールの影響を受けないとしている。

◎参考資料
◆MPSB04-08 - Cumulative Security Patch available for JRun server
◆MPSB04-09 - Cumulative Security Patch available for ColdFusion MX
◆MPSB04-07 - Macromedia Products Not Affected by Microsoft JPEG/GDIPlus Vulnerability
Macromedia JRun Server Multiple Vulnerabilities
ColdFusion MX Sensitive Information Disclosure and Denial of Service

(勝村 幸博=IT Pro)