この記事は，日立製作所のHIRT（Hitachi Incident Response Team）のスタッフがCSIRTの担当者に向け，脆弱性対策情報から得られた知見，脆弱性対策に関するアドバイス，ツールなどを紹介するものです。
■IPv6 Protocol Type 0 Route Header のぜい弱性（2007/05/06）
IPv6 Protocol Type 0 Route Header のぜい弱性は，Type 0を設定した経路制御ヘッダーを悪用することにより，二つのIPv6ノード間に大量のトラフィックを発生させることができるサービス妨害(DoS: Denial of Service)に関わるぜい弱性です。このぜい弱性については，いろいろ動きがありましたので，ぜい弱性に関連するイベントの時間的な流れを見ておきましょう。
- 2007/01/25 Cisco IOS が不正なIPv6パケットを適切に処理できない問題（JVNVU#274760）が報告されましたが，Cisco依存の問題だと思われていました。
- 2007/04/18-20 CanSecWest Vancouver 2007において， IPv6 Routing Headers Securityという発表により，このぜい弱性がクローズアップされ，ぜい弱性がCisco製品以外にも影響することが明らかとなりました。
- 2007/04/23 OpenBSDからパッチ（[4.0] 012: SECURITY FIX: April 23, 2007）がリリースされました。
- 2007/04/25 CVE（Common Vulnerabilities and Exposures），NVDにぜい弱性（CVE-2007-2242）として登録されました。
- 2007/04/26 FreeBSDからRouting Header 0を無視するためのパッチ（FreeBSD-SA-07:03.ipv6）がリリースされました。
- 2007/05/02 KAMEプロジェクトにおけるタイプ0経路制御ヘッダー問題の対応として，受信したタイプ0経路制御ヘッダーは未知のタイプとしてエラー処理する対応方法が公開されました。
- 2007/05/06 IPv6 Protocol Type 0 routing headerを転送してはならないという主旨のインターネット・ドラフト Deprecation of Type 0 Routing Headers in IPv6 が公開されました。
- 2007/05/08 IPv6 Protocol Type 0 routing header問題に言及したインターネット・ドラフト IPv6 Type 0 Routing Header Processing が公開されました。このドラフトでは，2001年にIPv6ルーティング・ヘッダー拡張に存在する潜在的な問題点（I-D.
savola-ipv6-rh-ha-security ）を指摘，2002 年にホストでのルーティング・ヘッダー処理の制約事項（I-D.savola-ipv6-rh-hosts ）を提案，また，2005年にIPv6における考慮すべきセキュリティ項目（I-D.ietf-v6ops-security-overview ）の中で，ルーティング・ヘッダーの問題について言及していることが記載されています。 - 2007/06/01 JVN iPediaにぜい弱性（JVNDB-2007-000387）として登録されました。
■マイクロソフト「2007年5月のセキュリティ情報」（2007/05/09）
「2007年5月のセキュリティ情報」では，深刻度「緊急」のセキュリティ更新プログラム7件が公開されました。最も深刻なぜい弱性については，リモートの攻撃者による任意のコード実行を伴う可能性があります。
この更新の中には，2007年2月にアドバイザリ (933052) で報告されたMicrosoft Wordのぜい弱性の修正 (MS07-024) と，2007年4月のアドバイザリ (935964) で報告されたWindows DNSサーバーのRPCのぜい弱性の修正 (MS07-029) が含まれています。
ところで素朴な疑問として，最も深刻なぜい弱性はどのようにピックアップしていけばよいのでしょうか。恐らく，より慣れ親しんだ方法を選択したい場合には，マイクロソフトが2002年に改訂版として運用を開始したマイクロソフト セキュリティ情報の深刻度評価システム の評価を利用するのがいいと思います。ほかに，オラクル，シスコなどでもぜい弱性アドバイザリの中で深刻度の指標として使いはじめたCVSS（Common Vulnerability Scoring System）を利用するのもいいでしょう。
ここで，CVSSをご存じない方のために，簡単に説明します。CVSSとは，ぜい弱性そのものの特性を評価する基準（基本評価基準：Base Metrics），攻撃コードの出現有無や対策情報が利用可能であるかといったぜい弱性の現在の深刻度を評価する基準（現状評価基準：Temporal Metrics) ，攻撃を受けた場合の2次的な被害の大きさや，組織での対象製品の使用状況といった基準（環境評価基準：Environmental Metrics）を用いて，ぜい弱性の深刻度を包括的かつ汎用的に評価する手法です。
例えば，アドバイザリ（933052）で報告されたMicrosoft Wordのぜい弱性については，JVN iPediaによれば基本評価基準の評価値（基本値）として8.0（JVNDB
CVSS のスコアは，各組織にとって，必ずしもぜい弱性の本当の深刻度を反映しているとは限りません。ただ，ローカル/リモートのどちらから攻撃可能であるか，ぜい弱性のあるシステムを攻撃する際に必要な条件の複雑さ，ぜい弱性を攻撃するために対象システムの認証が必要であるかどうかなど，報告されたぜい弱性についての，もう一歩踏み込んだ情報収集に役立ちます。
■Sambaに複数のぜい弱性（2007/05/14）
ネットワーク経由の外部記憶装置であるNAS（Network Attached Storage）の部品としても欠かせないSambaに三つのぜい弱性が報告されました。
(1)コマンド・インジェクションのぜい弱性（JVNVU#268336）は，ユーザーからのRPCメッセージの入力を適切に処理せず/bin/shに渡すため，悪用された場合，任意のコードを実行される可能性があります。
(2)ユーザーやグループ・アカウントのリストを用いてSIDの変換を行なう処理に存在するぜい弱性で，一時的にSMB/CIFSプロトコル処理を管理者権限で操作できてしまう可能性があります。
(3)NDR（Network Data Representation）の解析ルーチンに存在するバッファ・オーバーフローのぜい弱性（JVNVU#773720）は，メモリー割り当ての際に引数の値を適切にチェックしないことに起因します。不正なMS-RPC要求を受信した場合，任意のコードを実行される可能性があります。
■Firefox に複数のぜい弱性（2007/05/30）
Webブラウザとして普及しているFirefoxに五つのぜい弱性が報告されました。
深刻度が高いと報告されている，メモリー破壊の形跡があるクラッシュ（MFSA2007-12）は，レイアント・エンジン，JavaScriptエンジンに関するぜい弱性であり，条件が整えば任意のコードを実行される可能性があります。また，addEventListenerを利用したクロスサイト・スクリプティング（MFSA2007-16）は，addEventListenerメソッドを利用して，別のサイトにある情報を参照することが可能になります。
このほか，非常に長い文字列をフォームで送信すると，以降，そのフォーム入力データ参照に伴う動作遅延が発生するため，操作性が悪くなるという問題（MFSA2007-13），Cookieパスに関する文字数や区切り文字のチェック不足の問題（MFSA2007-14），XULポップアップをコンテンツ・エリアの枠外に表示できるため，表示の偽装や隠ぺいに悪用される可能性があるという問題（MFSA2007-17）が報告されています。
ぜい弱性対策情報の覚書き
覚書きには，何かの時に広報しないといけないと思うぜい弱性対策情報やりリース情報を列挙します。■Apple QuickTimeのぜい弱性（2007/04/27）
米アップルのQuickTimeのバージョン7.1.5以前には，Javaアプレットに関するぜい弱性（Article ID: 305446）が存在します。該当するQuickTimeがインストールされたPC上で，SafariやInternet Explorer，FirefoxなどのブラウザをJavaを有効にした状態で使用している場合には，悪意あるサイトを閲覧した際に任意のコードを実行される可能性があります。
iPodの普及に伴い，管理ソフトであるiTunesを使用しているユーザーは多いと思いますが，iTunesにはQuickTimeが含まれていますので，iTunesを使用しているiPodユーザーもバージョンアップが必要となります。
■LiveData 社製品に複数のぜい弱性（2007/05/02）
電力網や給水系統などの制御システムに使用されているLiveDataの製品に，二つのぜい弱性が報告されました。
(1)LiveData Protocol Serverに存在するぜい弱性で，Webサービスの内容を記述するWSDL(Web services description language)ファイルの処理に関わるぜい弱性 (US-CERT VU#213516)です。不正なデータを受信した場合，任意のコードを実行される可能性があります。
(2)LiveData Serverに存在するぜい弱性で，COTP(Connection-Oriented Transport Protocol)パケットの処理に関わるぜい弱性(US-CERT VU#711420)です。COTPは，OSI(Open Systems Interconnection)のトランスポート層プロトコルで，ISO 8073で規程されています。このぜい弱性では，不正なパケットを受信した場合，サービス運用妨害の影響を受ける可能性があります。
制御システムで使用されている製品のぜい弱性の棚卸をしてみると，
- 2005年2月 SISCO 社製品の OSI スタック実装にサービス運用妨害を伴うぜい弱性，
- 2006年5月 LiveData ICCP Server の ISO Transport Service over TCP (RFC 1006) 実装にバッファ・オーバーフローのぜい弱性(US-CERT VU#190617)，
- 2006年7月 Tamarack MMSd の ISO Transport Service over TCP(RFC 1006)実装にサービス妨害を伴うぜい弱性(US-CERT VU#372878)，
- 2007年3月 NETxEIB OPC Server にOPC server handleを適切に処理できないぜい弱性(JVNVU#296593)，
- 2007年3月 デバイス・エクスプローラHIDIC OPCサーバにバッファ・オーバーフローのぜい弱性(JVNVU#347105)などが報告されています。
■アップル「Security Update 2007-005」(2007/05/24)
Mac OS X, Mac OS X Serverに影響を与える複数のぜい弱性が修正されました。「Security Update 2007-005」には，JVNVU#915404で報告されたBINDに関するぜい弱性の修正が含まれています。
■Apple QuickTime 7.1.6 のぜい弱性 (2007/05/29)
アップルのQuickTime 7.1.6とそれ以前のバージョンには，Java アプレットに関する複数のぜい弱性(Article ID: 305531)が存在します。2007/04/27に報告されたJava アプレットに関するぜい弱性Article ID: 305446とは別の問題で，ぜい弱性の一つは，米インターネット セキュリティ システムズから報告された問題 (ISS Alert: 265)です。該当するQuickTimeがインストールされたPC上で，ブラウザのJavaを有効にした状態で使用している場合には，悪意あるサイトを閲覧した際に任意のコード実行や情報が流出する可能性があります。
■リリース情報
ISC BIND 9.4.1(2007/04/30)ISC BINDのBIND 9.4.0，BIND 9.5.0a1/a2/a3には再帰問い合わせ処理にぜい弱性が存在します。このぜい弱性を悪用された場合，サービス運用妨害の影響を受ける可能性があることから，米インターネット・システムズ・コンソーシアム（ISC）より該当ぜい弱性を除去したBIND 9.4.1およびBIND 9.5.0a4(Bind Forum only)がリリースされました。
PHP5.2.2, PHP4.4.7(2007/05/03)
the Month of PHP Bugs (MOPB)で報告された多くのぜい弱性が修正されています。
Firefox 2.0.0.4, 1.5.0.12(2007/05/30)
Firefox 1.5.0.xのアップデート作業の終了も近いことから，Firefox 2へのアップグレードが推奨されています。
Thunderbird 1.5.0.12(2007/05/30)
Thunderbird 1.5.0.xのアップデート作業の終了も近いことから，Thunderbird 2へのアップグレードが推奨されています。
PHP5.2.3(2007/06/01)
オーバーフロー，無限ループなど6項目の問題が修正されています。
| HIRT (Hitachi Incident Response Team) とは |
HIRTは，日立グループのCSIRT連絡窓口であり，ぜい弱性対策，インシデント対応に関して，日立グループ内外との調整を行う専門チームです。ぜい弱性対策とはセキュリティに関するぜい弱性を除去するための活動，インシデント対応とは発生している侵害活動を回避するための活動です。HIRTでは，日立の製品やサービスのセキュリティ向上に関する活動に力を入れており，製品のぜい弱性対策情報の発信やCSIRT活動の成果を活かした技術者育成を行っています。
