2011年1月9日までに明らかになったぜい弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーなどの情報を参考に対処してください。
Mac OS X v10.6.6リリース（2011/01/06）
Mac OS X v10.6.6がリリースされました。アップデート対象となるPackageKitには、ソフトウエアのアップデートチェックの際に中間者攻撃（man-in-the-middle attack）を可能にするぜい弱性（CVE-2010-4013）が存在します。攻撃者にはアプリケーションの強制終了や任意のコード実行が可能になります。Mac OS X/Mac OS X Server v10.6～v10.6.5が影響を受けます。
[参考情報]
PHP 5.3.5/5.2.17リリース（2011/01/06）
PHP 5.3.5/5.2.17がリリースされました。このリリースでは、"2.2250738585072011e-308"のような文字列を数値に変換する際にインタプリターがハングアップするぜい弱性（CVE-2010-4645）を解決しています。またPHPからは、問題の影響有無を確認するためのスクリプト（http://www.php.net/distributions/test_bug53632.txt）が提供されています。
[参考情報]
VMware ESXサービス・コンソールのセキュリティアップデート：VMSA-2011-0001（2010/01/04）
VMware ESXのセキュリティアップデート版がリリースされました。このアップデートではglibc、sudo、openldapを更新します。glibcに存在するぜい弱性（CVE-2010-3847、CVE-2010-3856）は、ライブラリーを参照する環境変数LD_AUDITの処理に関する問題です。また、sudoに存在するぜい弱性（CVE-2010-2956）は-g（グループ）オプションの処理に関する問題で、いずれも、アクセス権限の昇格につながるものです。openldapに存在するぜい弱性（CVE-2010-0211、CVE-2010-0212）は、RDN（Relative Distinguished Name：相対識別名）の処理に関する問題で、サービス不能あるいは、任意のコード実行につながる可能性があります。
[参考情報]
Cyber Security Bulletin SB10-361（2010/12/29）
12月20日の週に報告されたぜい弱性の中からBlackBerry Enterprise Server、BlackBerry Desktop Softwareのぜい弱性を取り上げます（Vulnerability Summary for the Week of December 20, 2010）。
■BlackBerry Enterprise ServerのPDF処理にぜい弱性（2010/12/14）
BlackBerry Enterprise Serverバージョン4.1.3～5.0.2の添付ファイルサービスコンポーネントのPDF処理には、複数のバッファオーバーフローのぜい弱性（CVE-2010-2602）が存在します。BlackBerry スマートフォンで不正なPDFファイルを開いたときに、BlackBerry Enterprise Serverにおいて、任意のコード実行あるいは、サービス不能につながる可能性があります。
[参考情報]
■BlackBerry Desktop Softwareを用いたバックアップにぜい弱性（2010/12/15）
Macintosh版BlackBerry Desktop Software Ver 1.0、PC版Ver 4.7～6.0で作成した暗号化バックアップファイルは、パスワード推測による総当り攻撃に対してぜい弱（CVE-2010-2603）です。
[参考情報]
Cyber Security Bulletin SB11-003（2011/01/03）
12月27日の週に報告されたぜい弱性の中からTivoli Storage Manager 、PHPで開発されたWebサイト用プログラムのぜい弱性を取り上げます（Vulnerability Summary for the Week of December 27, 2010）。
■IBM Tivoli Storage Managerに複数のぜい弱性（2010/12/14）
ストレージ管理に必要な制御と管理の機能を提供するTivoli Storage Manager（TSM）には3件のぜい弱性が存在します。（1）ファイルのバックアップ版を保持するバックアップ・アーカイブ・クライアントに存在するぜい弱性は、異常終了や任意のコード実行につながるバッファオーバーフローのぜい弱性（CVE-2010-4604）、システムファイルを任意のコンテンツに置き換え可能なぜい弱性（CVE-2010-4605）です。TSM for Space Managementクライアントに存在するぜい弱性は、リモートスクリプト実行のぜい弱性（CVE-2010-4606）で、悪用された場合には任意のコマンド実行につながる可能性があります。
[参考情報]
■PHPで開発されたWebサイト用プログラムのぜい弱性
2010年、Cyber Security Bulletinで報告されたぜい弱性は計4066件で、このうちPHPで開発されたWebサイト用プログラムのぜい弱性が884件（22%）でした（図1）。2009年の31%に比べると減少していますが、報告されたぜい弱性の約4分の1がPHPで開発されたWebサイト用プログラムのぜい弱性となっています。ぜい弱性の種別は、SQLインジェクション（CWE-89）、クロスサイトスクリプティング（CWE-79）、パストラバーサル（CWE-22）が上位を占めています（図2）。
Hitachi Incident Response Team
チーフコーディネーションデザイナ
| 『HIRT（Hitachi Incident Response Team）とは』 |
HIRTは，日立グループのCSIRT連絡窓口であり，ぜい弱性対策，インシデント対応に関して，日立グループ内外との調整を行う専門チームです。ぜい弱性対策とはセキュリティに関するぜい弱性を除去するための活動，インシデント対応とは発生している侵害活動を回避するための活動です。HIRTでは，日立の製品やサービスのセキュリティ向上に関する活動に力を入れており，製品のぜい弱性対策情報の発信やCSIRT活動の成果を活かした技術者育成を行っています。
