Hitach Incident Response Team

　2011年1月23日までに明らかになったぜい弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーなどの情報を参考に対処してください。

オラクル2011年1月の四半期セキュリティアップデート（2011/01/19）

　Critical Patch Update - January 2011には、Oracle Database Server系7件（含むOracle Secure Backup系1件、Oracle Audit Vault系1件）、Oracle Fusion Middleware系16件、Oracle Enterprise Manager Grid Control系2件、Oracle Applications系16件（含む、Oracle Supply Chain Products Suite系3件、Oracle PeopleSoft and JDEdwards Suite系11件）、Oracle Industry Applications系2件、Oracle Sun Products Suite系23件（含む、Oracle Open Office Suite系2件）、計66件のセキュリティアップデートが含まれています。このうち、認証操作が不要で、リモートからの攻撃が可能なぜい弱性は、Oracle Database Server系3件、Oracle Fusion Middleware系12件、計15件です。

[参考情報]

HP OpenView Storage Data Protectorに任意のコード実行につながるぜい弱性（2011/01/18）

　高性能でスケーラブルなバックアップやリカバリーを自動化するHP OpenView Storage Data Protectorには、攻撃者が用意した任意のコード実行を許してしまうぜい弱性（CVE-2011-0273）が存在します。影響を受けるバージョンは、HP-UX、Solaris、Linux、Windows版のv6.11です。

[参考情報]

HP LoadRunnerに任意のコード実行につながるぜい弱性（2011/01/12）

　性能テスト、負荷テストなどの機能を提供するHP LoadRunner 9.52に、リモートからの任意のコード実行が可能になるぜい弱性（CVE-2011-0272）が存在します。この問題は、米ティッピングポイントの「Zero Day Initiative」によって確認されたもので、TCPポート番号5001、5002、5003、50500、54345で稼働するmagentproc.exeプロセスに存在し、ユーザーが指定した値を確認することなくバッファを確保するために発生します。

[参考情報]

Cyber Security Bulletin SB11-017（2011/01/17）

　1月10日の週に報告されたぜい弱性の中から米シスコ製品、HP OpenView Network Node ManagerとGoogle Chromeのぜい弱性を取り上げます（Vulnerability Summary for the Week of January 10, 2011）。

■米シスコ製品に複数のぜい弱性（2011/01/07）

　Cyber Security Bulletin SB11-010で報告されたASA 5500 Version 8.2シリーズ、Cisco 800シリーズルーターのぜい弱性の追加情報です。ASA 5500 Version 8.2シリーズでは5件（CVE-2010-4688～CVE-2010-4692）、Cisco 800シリーズルーターでは5件（CVE-2010-4683～CVE-2010-4687）のぜい弱性情報がCyber Security Bulletin SB11-010に掲載されました。掲載されたぜい弱性に伴う影響はサービス不能、アクセス制御回避、情報漏えいにつながるものです。

[参考情報]

■HP OpenView Network Node Managerに複数のぜい弱性（2011/01/10）

　ネットワーク管理ソフトのHP OpenView Network Node Manager v7.51、v7.53には、複数のぜい弱性が存在します。これらの問題は、ティッピングポイントの「Zero Day Initiative」によって確認されたもので、バッファオーバーフローに起因するぜい弱性が8件、フォーマット文字列（出力変換指定子）に関するぜい弱性が1件、CGIスクリプトのパラメーター処理に関するぜい弱性が2件で、いずれも攻撃者が用意した任意のコード実行を許してしまうぜい弱性です。

[参考情報]

■Google Chrome 8.0.552.237リリース（2011/01/12）

　Google Chrome 8.0.552.237がリリースされました。今回のリリースでは、計16件のぜい弱性を解決しており、これまでのリリースの中では、最多の対応件数となっています（図1）。

図1●Google ChromeのStableアップデートリリース回数とぜい弱性対策の件数
図1●Google ChromeのStableアップデートリリース回数とぜい弱性対策の件数

[参考情報]

寺田　真敏
Hitachi Incident Response Team
チーフコーディネーションデザイナ
『HIRT（Hitachi Incident Response Team）とは』

HIRTは，日立グループのCSIRT連絡窓口であり，ぜい弱性対策，インシデント対応に関して，日立グループ内外との調整を行う専門チームです。ぜい弱性対策とはセキュリティに関するぜい弱性を除去するための活動，インシデント対応とは発生している侵害活動を回避するための活動です。HIRTでは，日立の製品やサービスのセキュリティ向上に関する活動に力を入れており，製品のぜい弱性対策情報の発信やCSIRT活動の成果を活かした技術者育成を行っています。