Hitach Incident Response Team

 2010年1月31日までに明らかになったぜい弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーなどの情報を参考に対処してください。

米シスコ Cisco Unified MeetingPlaceに複数のぜい弱性(2010/01/27)

 音声、ビデオ、Web会議の機能を統合し、仮想ミーティング環境を提供するCisco Unified MeetingPlaceに複数のぜい弱性が報告されています。攻撃者には、ぜい弱性を突くことにより、SQLコマンドの検証処理、アカウント作成、パスワード・リストなどの取得、アクセス権限の昇格などが可能になります。

[参考情報]

VMware Virtual Center 2.5セキュリティ・アップデートのリリース(2010/01/29)

 VMware vCenterセキュリティ・アップデート2.5 Update 6がリリースされました。影響を受ける部品はJRE(23件)です。JavaでGUIアプリケーションを作成するためのクラス・ライブラリであるJRE AWT(Abstract Windowing Tools)に存在するバッファ・オーバーフロー、音声ファイル処理のgetSoundbank関数に存在するスタック・バッファ・オーバーフロー、Java Web Startを使用した任意のコードの実行につながるぜい弱性、JPEG画像ファイル処理の際のメモリー破損につながる整数オーバーフローなどのセキュリティ問題を解決しています。

[参考情報]

Wireshark 1.2.6 リリース(2010/01/27)

 Wireshark 1.2.6がリリースされました。表示フィルタ適用時のハングアップ、パケットの動的更新表示の改善のほかに、Kerberosデータの復号処理中の異常終了、不正なOPC UAトラフィック解析時のフリーズ、BOOTPオプション処理の問題、GPRS LLCフレーム処理の問題など、BJNP、BOOTP/DHCP、DHCPv6、FIP、GPRS LLC、IEEE 802.11、IP、Kerberos、OPCUA、SCTP、SSL、ZRTPのプロトコル処理が改善されています。

[参考情報]

Cyber Security Bulletin SB10-025(2010/01/25)

 1月18日の週に報告されたぜい弱性の中からSun Java System Web ServerとWindowsカーネルのぜい弱性を取り上げます(Vulnerability Summary for the Week of January 18, 2010)。

■Sun Java System Web Server 7.0 Update 7に複数のぜい弱性(2010/01/20)

 Sun Java System Web Server 7.0 Update 7に複数のぜい弱性が確認されています。

 CVE-2010-0360では、長いURIと複数の空のHTTPヘッダーから構成されたHTTP TRACE要求を送信することにより、ヒープ領域のメモリー上書きと、部分的なメモリー参照が可能性であることを報告しています。なお、このぜい弱性(CVE-2010-0360)は、トラッキングのためにCVEを割り当てたぜい弱性(CVE-2010-0272、CVE-2010-0273)と同じものである可能性があります。

 CVE-2010-0361は、Sun Java System Web ServerのWebDAV実装に、サービス不能につながるスタック・バッファ・オーバーフローのぜい弱性を報告しています。この問題は、長いURIから構成されたHTTP OPTIONS要求を受信した場合に発生します。

[参考情報]

■Windows カーネルのぜい弱性(2010/01/21)

 Windows NT 3.1からWindows 7のカーネルに、ローカル・ユーザーのアクセス権限の昇格につながるぜい弱性が存在します。ぜい弱性(CVE-2010-0232)は、2010年1月21日に「マイクロソフト セキュリティ アドバイザリ(979682):Windows カーネルのぜい弱性により、特権が昇格される」として報告されているものです。

 このぜい弱性は、32ビット環境で16ビットのアプリケーションへのアクセスが有効な場合に、BIOSの呼び出し検証を適切に行なわないことに起因します。TEB(Thread Environment Block)のVDM_TIBデータ構造、仮想DOSマシン(VDM: Virtual DOS Machine)サブシステムを起動するためのNTVdmControl、#GPトラップハンドラ(通称、nt!KiTrap0D)を悪用することにより、システム権限で任意のコードを実行できるというものです。

 既に検証コードが公開されています。写真1はWindows XP SP0上で検証コード(vdmallowed.exe)とアカウント情報を表示するwhoami.exeコマンドとを使って動作を確認した結果です。検証コード実行前のアカウント情報はGuestですが(写真1の青字画面)、検証コードを実行すると、新たなコマンドプロンプト(写真1の赤字画面)が表示されます。このコマンドプロンプトで、アカウント情報を表示させるとSYSTEMになっていることが分かります。

写真1●Windows XP SP0上での検証コードの動作確認
[画像のクリックで拡大表示]

[参考情報]


寺田 真敏
Hitachi Incident Response Team
チーフコーディネーションデザイナ
『HIRT(Hitachi Incident Response Team)とは』

HIRTは,日立グループのCSIRT連絡窓口であり,ぜい弱性対策,インシデント対応に関して,日立グループ内外との調整を行う専門チームです。ぜい弱性対策とはセキュリティに関するぜい弱性を除去するための活動,インシデント対応とは発生している侵害活動を回避するための活動です。HIRTでは,日立の製品やサービスのセキュリティ向上に関する活動に力を入れており,製品のぜい弱性対策情報の発信やCSIRT活動の成果を活かした技術者育成を行っています。