【CSIRTメモ】チェックしておきたい脆弱性情報<2007.4.18>

　あまりレベル値を上げないINFOConが一段階上げたという点からも動向に注目しました。この脆弱性は，アニメーション・カーソル（.ani）ファイルを処理する方法にセキュリティ上の問題が存在するというもので，昨年来から続いているゼロディ攻撃（製品開発者による情報公開の前に，未修正の脆弱性が攻撃に悪用される事例）の一つとなります。

　情報処理推進機構 情報セキュリティ白書2007年版によれば，2006年に報告されたゼロディ攻撃に該当する脆弱性は，ブラウザ，ワープロ・ソフト，プレゼンテーション・ツール，表計算ソフトと多岐にわたり，ほぼ毎月のように報告されています。これらの問題に共通しているのは，ユーザーが攻撃者の用意したリソースにアクセスしなければならない（Target Must Access Attacker's Resource）という点です。ネット・サーフィンで怪しげなサイトへアクセスする，送り主に心当たりのないメールを開く，ファイル交換ソフトなどで顔も知らない誰かから入手したファイルを解凍・実行したりするというユーザーの行為を利用します。

図 1　Target Must Access Attacker's Resourceに該当する脆弱性の報告件数（出典：NIST NVD） [画像のクリックで拡大表示]

　NIST （米国国立標準技術研究所）のNVD（National Vulnerability Database）に登録された2006年の脆弱性総件数は6604件で，その中から"Target Must Access Attacker's Resource"に該当する脆弱性は約7％の505件になります。また，2007年についても，第1四半期終了時点で237件も報告されているという状況です。

【関連情報】

■MIT Kerberosに複数の脆弱性

　4月の上旬，MIT Kerberosに関連する三つの脆弱性対策情報が公開されました。このうち，「JVNVU#220816: MIT Kerberos 5 telnet deamon における任意のユーザとしてログインできる脆弱性」について，ISC.sans.orgのHandler’s Diaryに「telnetd deja vu, this time it is Kerberos 5 telnetd」という気になるタイトルの記事が掲載されていたので，この脆弱性を少しを追いかけてみましょう。

　JVNVU#220816で報告された脆弱性は，telnetのオプション処理が適切ではないことに起因する問題で，2007年2月に報告された「VU#881872: Solarisのtelnetサービスに存在する認証回避の脆弱性」と類似しています。脆弱性の発見経緯については，MITから発行されたアドバイザリ「MIT krb5 Security Advisory 2007-001 telnetd allows login as arbitrary user」のACKNOWLEDGMENTSのところに，「この脆弱性は，Solaris telnetdに関連する脆弱性の存在確認の過程で発見された」とあります。

　やはり，プログラムとしての直接の関連性はなくても，処理の類似性から同じ問題を抱えてしまう可能性はあるので，他人事と思わずに類似処理での見直しを実施することが大切です。もう一つ言えることは，Kerberosと言えども脆弱性には勝てないので，脆弱性除去のための修正プログラムを適用する，あるいは，不要なネットワーク・サービスの場合には停止させておくことを常に心掛けたいものです。

【関連情報】

脆弱性対策情報の覚書き

■Intel Centrinoワイヤレスネットワークドライバのフレーム処理の脆弱性

■リリース情報