2010年12月5日までに明らかになったぜい弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーなどの情報を参考に対処してください。
BIND 9.7.2-P3リリース（2010/11/30）
BIND 9.7.2-P3がリリースされました。このリリースでは、BIND 9.6.2～9.6.2-P2、9.6-ESV～9.6-ESV-R2、9.7.0から9.7.2-P2に存在する、否定応答受信時のRRSIGレコードの取り扱い処理のぜい弱性（CVE-2010-3613）を対策しています。この問題を悪用された場合、DNSSEC検証の有効/無効に関係なく、再帰的問い合わせを受け付けるDNSサーバーはサービス不能（DoS）状態に陥る可能性があります。また9.0.x～9.7.2-P2、9.4-ESV～9.4-ESV-R3、9.6-ESV～9.6-ESV-R2の検証処理に存在するゾーンデータの状態をinsecureと判定してしまうぜい弱性（CVE-2010-3614）、9.7.2-P2のallow-queryのアクセス制御処理に存在するぜい弱性（CVE-2010-3615）を対策しています。
[参考情報]
- ISC：RELEASE-NOTES-BIND-9.7.2-P3
- JVN：JVNVU#706148: ISC BIND におけるサービス運用妨害 （DoS） のぜい弱性
- JPRS：BIND 9の否定応答受信時のRRSIGレコードの取り扱いの不具合を利用したDoS攻撃について - 緊急のパッチ適用を強く推奨 -
- JVN：JVNVU#837744: ISC BIND named validator にぜい弱性
- JVN：JVNVU#510208: ISC BIND named の allow-query の処理におけるぜい弱性
- JPRS：BIND 9のallow-queryによるアクセス制限の不具合について - パッチ適用を推奨 -
OpenSSL 1.0.0c/0.9.8qリリース（2010/12/02）
OpenSSL 1.0.0c/0.9.8qがリリースされました。このリリースでは、セッションキャッシュに格納される暗号スイートのダウングレード攻撃に関するぜい弱性（CVE-2010-4180）と、J-PAKE（the Password Authenticated Key Exchange by Juggling）検証処理に存在するぜい弱性（CVE-2010-4252）を対策しています。J-PAKE検証処理に存在するぜい弱性を悪用された場合、共有の秘密情報なく、誰もが検証に成功してしまう可能性があります。
[参考情報]
- OpenSSL 1.0.0c/0.9.8q
- OpenSSL：OpenSSL Security Advisory [2 December 2010]: OpenSSL Ciphersuite Downgrade Attack
VMwareセキュリティアップデートVMSA-2010-0018（2010/12/02）
VMware Workstation、Player、Fusion、ESXi 4.1/4.0/3.5、ESX 4.1/4.0/3.5のセキュリティアップデートがリリースされました。このアップデートでは、vmware-mountのアクセス権限の昇格につながるぜい弱性2件（CVE-2010-4296、CVE-2010-4295）、VMware ToolにおけるOSコマンドインジェクション問題（CVE-2010-4297）、VMware Workstation、Player、ACEに同梱されているVMwareムービー・デコーダーのVMncメディア・コーデック処理に存在する任意のコード実行につながるぜい弱性（CVE-2010-4294）、計4件のセキュリティ問題を対策しています。
[参考情報]
