2010年2月7日までに明らかになったぜい弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーなどの情報を参考に対処してください。
米アップル iPhone OS 3.1.3リリース（2010/02/02）
セキュリティ・アップデート版iPhone OS 3.1.3およびiPhone OS 3.1.3 for iPod touchがリリースされました。影響を受けるパーツは、CoreAudio、ImageIO、リカバリモード、WebKitです。CoreAudioのぜい弱性（CVE-2010-0036）はMP4ファイル処理におけるバッファ・オーバーフロー、ImageIOのぜい弱性（CVE-2009-2285）はTIFFファイル処理におけるバッファ・アンダーフローです。いずれのぜい弱性も任意のコード実行につながるぜい弱性で、Mac OS X 10.5、Mac OS X 10.6では、1月19日に対策された内容です。
[参考情報]
Apache 1.3.42リリース（2010/02/02）
バージョン1.3系の最後のリリースとなるApache 1.3.42がリリースされました。Apache 1.3.42では、mod_proxy機能におけるチャンク・サイズの整数オーバーフロー問題（CVE-2010-0010）を解決しています。
[参考情報]
Squid 3.0.STABLE23、3.1.0.16リリース（2010/02/01）
Squid 2.x、Squid 3.0～Squid 3.0 STABLE22、Squid 3.1～Squid 3.1.0.15には、DNSヘッダーのみの不正なパケットを処理する際に、サービス不能状態に陥る可能性があります。また、ignore_unknown_nameserversオプションは深刻度に影響し、このオプションが無効の場合にはぜい弱性のリスクは高くなります。この問題は、3.0.STABLE23、3.1.0.16で解決されています。
[参考情報]
Cyber Security Bulletin SB10-032（2010/02/01）
1月25日の週に報告されたぜい弱性の中からTomcatとSun Java System Web Serverのぜい弱性を取り上げます（Vulnerability Summary for the Week of January 25, 2010）。
■Tomcat 6.0.24リリース（2010-01-21）
Apache Tomcat 5.5.0～5.5.28、6.0.0～6.0.20に、ディレクトリ・トラバーサル、自動的な配備、パスワード設定に関する複数のぜい弱性が報告されています。これらの問題は、Tomcat 6.0.24で解決されています。
ディレクトリ・トラバーサルについては、WARファイル中に含まれるファイルに対して、../../bin/catalina.shのようなディレクトリ・トラバーサルにつながる記述チェックをしないという問題（CVE-2009-2693）です。このため、任意のファイルの作成や上書きが発生する可能性があります。また、WARファイル自身についても、ディレクトリ・トラバーサルにつながる記述チェックをしないという問題（CVE-2009-2902）があります。この場合、自動的な配備、取り消しなどを通して、ワーキング・ディレクトリ削除などが発生する可能性があります。
自動的な配備に関しては、autoDeploy機能が有効な場合にアプリケーションの配備取り消し処理に失敗すると、自動的な配備処理が継続してしまうため、部分的にアプリケーションが配備されてしまうという問題（CVE-2009-2901）が報告されています。ただしこの問題は、Windows版においてのみ発生するとしています。
パスワード設定については、Windows版のインストール処理において、管理者用のパスワードのデフォルト設定がブランクであるという問題（CVE-2009-3548）です。
[参考情報]
■Sun Java System Web Server 7.0 Update 7に複数のぜい弱性（2010/01/25）
Sun Java System Web Server 7.0 Update 7に、バッファ・オーバーフローとフォーマット文字列に関するぜい弱性が確認されています。
長い文字列から構成されたAuthorization: DigestをHTTPヘッダーとして送信した場合、Sun Java System Web Server 7.0 Update 7のwebservdと管理サーバー機能において、サービス不能につながるヒープバッファ・オーバーフローが発生します（CVE-2010-0387）。
またwebservdのWebDAV機能には、フォーマット文字列（出力変換指定子）処理に関するぜい弱性（CVE-2010-0388）が存在します。フォーマット文字列と呼ばれる引数を扱う関数は、%dは10進数で出力、%sは文字列として出力など、指定された書式で出力する機能を持っています。WebDAVでは、プロパティを取得するためのHTTPメソッドとしてPROPFINDが用意されており、XML形式データとともに要求を送付できます（写真1）。
このXML形式データのエンコード属性に、encoding="utf-%n%n・・・"のようなフォーマット文字列を含むエンコーディング名を指定した場合にwebservdが異常終了します。
[参考情報]
Hitachi Incident Response Team
チーフコーディネーションデザイナ
| 『HIRT（Hitachi Incident Response Team）とは』 |
HIRTは，日立グループのCSIRT連絡窓口であり，ぜい弱性対策，インシデント対応に関して，日立グループ内外との調整を行う専門チームです。ぜい弱性対策とはセキュリティに関するぜい弱性を除去するための活動，インシデント対応とは発生している侵害活動を回避するための活動です。HIRTでは，日立の製品やサービスのセキュリティ向上に関する活動に力を入れており，製品のぜい弱性対策情報の発信やCSIRT活動の成果を活かした技術者育成を行っています。
