2010年10月3日までに明らかになったぜい弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーなどの情報を参考に対処してください。
Adobe Reader 9.4/8.2.5、Acrobat 9.4/8.2.5リリース：APSB10-21（2010/09/30）
2010年9月30日、米アドビ システムズからAdobe Reader、Acrobatのぜい弱性（CVE-2010-2883）を解決するアップデート予定日が公開され、10月5日、Adobe Reader 9.4/8.2.5とAcrobat 9.4/8.2.5がリリースされました。このリリースでは、9月6日に明らかとなったAdobe Reader、Acrobatのぜい弱性（CVE-2010-2883）、9月13日にAPSA10-03で明らかとなったFlash Playerのぜい弱性（CVE-2010-2884）など、計23件の対策を含んでいます。
Adobe Reader、Acrobatのぜい弱性（CVE-2010-2883）については、9月22日に標的型メールによるぜい弱性を悪用した侵害活動が報告されています（図1）。また、トレンドマイクロのインターネット脅威マンスリーレポートによれば、2010年9月、このぜい弱性を悪用するウイルスTROJ_PIDIEFの感染被害5件が報告されています。
[参考情報]
- 米アドビ システムズ：APSA10-02: Adobe ReaderとAcrobatに関するセキュリティ情報
- 米アドビ システムズ：APSB10-21: Adobe ReaderとAcrobatに関するセキュリティアップデート公開
- JVN：JVNTR-2010-24: Adobe ReaderおよびAcrobatにぜい弱性（CVE-2010-2883）
VMware ESXサービス・コンソールのセキュリティアップデート：VMSA-2010-0015（2010/09/30）
VMware ESX 4.0のConsole OSのセキュリティアップデート版がリリースされました。このアップデートはNSS_db（Berkeley DB NSSモジュール）、OpenLDAP、cURL、sudo、OpenSSL、GnuTLS、NSS（Network Security Services）、NSPR（Netscape Portable Runtime）に関する更新で、情報漏えい、なりすまし、サービス不能、アクセス権限昇格などにつながる計8件のセキュリティ問題を解決します。
OpenLDAPのぜい弱性（CVE-2009-3767）は、ドメイン名にNULL文字（"\x00"と表記）を含むX.509証明書の取り扱いに関する問題です。OpenSSLの問題は、SSL/TLSの再ネゴシエーション処理のぜい弱性（CVE-2009-3555）です。OpenSSL、GnuTLS、NSSでは、X.509 証明書処理において、ハッシュ関数MD2をサポートしていることに関する問題です。
[参考情報]
Cyber Security Bulletin SB10-270（2010/09/27）
9月20日の週に報告されたぜい弱性の中からSquidのぜい弱性を取り上げます（Vulnerability Summary for the Week of September 20, 2010）。
■Squid 3.1.8, 3.2.0.2リリース（2010/09/04）
Squid 3.0～3.0.STABLE25、Squid 3.1～3.1.7、Squid 3.2～3.2.0.1には、文字列処理のぜい弱性（CVE-2010-3072）が存在します。細工されたパケットを受信した場合にsquidプログラムが異常終了し、サービス不能につながる可能性があります。この問題はSquid 3.1.8、3.2.0.2で解決されており、Squid 3.0、3.1用には修正プログラムが用意されています。
[参考情報]
Hitachi Incident Response Team
チーフコーディネーションデザイナ
| 『HIRT（Hitachi Incident Response Team）とは』 |
HIRTは，日立グループのCSIRT連絡窓口であり，ぜい弱性対策，インシデント対応に関して，日立グループ内外との調整を行う専門チームです。ぜい弱性対策とはセキュリティに関するぜい弱性を除去するための活動，インシデント対応とは発生している侵害活動を回避するための活動です。HIRTでは，日立の製品やサービスのセキュリティ向上に関する活動に力を入れており，製品のぜい弱性対策情報の発信やCSIRT活動の成果を活かした技術者育成を行っています。
