2011年1月16日までに明らかになったぜい弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーなどの情報を参考に対処してください。
Tomcat 7.0.6/Tomcat 6.0.30リリース（2011/01/14）
Tomcat 7.0.6/Tomcat 6.0.30がリリースされました。Tomcat 6.0.30では、Tomcat 6.0.12～6.0.29に存在する、クロスサイトスクリプティング問題（CVE-2010-4172）を解決しています。Tomcat 7.0.6では、バグ修正、セッション管理の性能改善などが施されました。ぜい弱性に関する修正は含まれていません。クロスサイトスクリプティング問題（CVE-2010-4172）についてはTomcat 7.0.5で解決済みです（図1）。
[参考情報]
マイクロソフト2011年1月の月例セキュリティアップデート（2011/01/12）
1月の月例セキュリティアップデートでは、2件のセキュリティ更新プログラムを公開し、3件のセキュリティ問題への対策を施しています。このうち、セキュリティ更新プログラム（MS11-001）は、マイクロソフト製品がDLL（ダイナミックリンクライブラリー）ファイルを読み込む際に、攻撃者が細工した外部DLLの読み込みを許してしまう問題が発生し得る（DLLプリロード攻撃の）ぜい弱性に対処しました。
また、2010年12月に確認されたInternet Explorerのカスケードスタイルシート処理に関するぜい弱性（CVE-2010-3971）については、回避策としてカスケードスタイルシートの再帰的なロードを無効化するツール「Microsoft Fix it」が提供されました。限定的ですが、侵害活動も発生していることから、継続的に関連情報をフォローしてください（図2）。
同じく昨年12月に確認されたGraphics Rendering Engineのぜい弱性（CVE-2010-3970）については、回避策としてshimgvw.dllのアクセス制御リストを変更するツール「Microsoft Fix it」が提供されており、ぜい弱性を悪用しようとする攻撃については報告されていません（図3）。
[参考情報]
- マイクロソフト：2011年1月のセキュリティ情報
- JVN TRnotes：JVNTR-2010-23: Microsoft Windows における DLL 読み込みに関するぜい弱性 （TA10-238A）
- マイクロソフト：セキュリティ アドバイザリー（2488013）: Internet Explorer のぜい弱性により、リモートでコードが実行される
- マイクロソフト：セキュリティ アドバイザリー（2490606）: Graphics Rendering Engine のぜい弱性により、リモートでコードが実行される
Cyber Security Bulletin SB11-010（2011/01/10）
1月3日の週に報告されたぜい弱性の中から米シスコ製品のぜい弱性を取り上げます（Vulnerability Summary for the Week of January 3, 2011）。
■米シスコ ASA 5500 Version 8.2シリーズに複数のぜい弱性（2011/01/07）
2010年12月に改訂された「Release Notes for the Cisco ASA 5500 Series, Version 8.2（x）」に基づき、Neighbor DiscoveryプロトコルのIPv6実装のぜい弱性（CVE-2010-4670）など、これらのリリースで対策を施されているぜい弱性が取り上げられています。ぜい弱性に伴う影響はサービス不能、アクセス制御回避、監査機構回避につながる問題13件です。
[参考情報]
■米シスコCisco 800シリーズルーターに複数のぜい弱性（2011/01/07）
2010年12月に改訂された「Release Notes for Cisco 800 Series Routers with Cisco IOS Release 15.0（1）XA」に基づき、Neighbor DiscoveryプロトコルのIPv6実装のぜい弱性（CVE-2010-4671）など、これらのリリースで対策されているぜい弱性が取り上げられています。ぜい弱性に伴う影響は、サービス不能につながる問題4件です。
[参考情報]
Hitachi Incident Response Team
チーフコーディネーションデザイナ
| 『HIRT（Hitachi Incident Response Team）とは』 |
HIRTは，日立グループのCSIRT連絡窓口であり，ぜい弱性対策，インシデント対応に関して，日立グループ内外との調整を行う専門チームです。ぜい弱性対策とはセキュリティに関するぜい弱性を除去するための活動，インシデント対応とは発生している侵害活動を回避するための活動です。HIRTでは，日立の製品やサービスのセキュリティ向上に関する活動に力を入れており，製品のぜい弱性対策情報の発信やCSIRT活動の成果を活かした技術者育成を行っています。
