チェックしておきたい脆弱性情報＜2012.02.14＞

Hitachi Incident Response Team

2012.02.14

　2月5日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。

Apache HTTPサーバー 2.2.22リリース（2012/01/31）

　Apache HTTPサーバー 2.2.22では、mod_setenvifモジュールでのアクセス権限の昇格（CVE-2011-3607）、エラー処理とmod_proxyモジュールでの情報漏洩（CVE-2011-4317、CVE-2012-0053、CVE-2011-3368）、mod_log_configモジュールとscoreboardモジュールでのサービス不能攻撃を許してしまう脆弱性（CVE-2012-0021、CVE-2012-0031）の計6件を解決しています。いずれの脆弱性も2.2.x系に影響があるものです。

　また新たな機能として、スマートフィルター（動的な出力フィルター）、キャッシング機構の改良、AJP（Apache JServ Protocol）プロキシー、プロキシー負荷分散、グレースフルシャットダウン（処理中の作業が完了してから停止する機構）、大きなファイルサイズ対応などが追加されました。

Apache：Fixed in Apache httpd 2.2.22

オラクル製品におけるハッシュテーブルDoS問題（2012/01/31）

　2011年12月末に報告された、ハッシュテーブルの衝突を悪用したサービス不能攻撃を許してしまう脆弱性（ハッシュテーブルDoS問題）の更新情報です。Oracle Application Server、Oracle WebLogic Server、Oracle iPlanet Web Server、Oracle Java System Web Serverは、Javaのハッシュテーブル実装を使用しているため、ハッシュテーブルDoS問題の脆弱性（CVE-2011-5035）が存在します。

PHP 5.3.10リリース（2012/02/02）

　PHP 5.3.10では、任意のコード実行を許してしまう脆弱性（CVE-2012-0830）を解決しています。この問題は、ハッシュテーブルの衝突を悪用したサービス不能攻撃を許してしまう脆弱性（CVE-2011-4885）の対策を施した際に、PHP 5.3.9に作り込まれてしまった脆弱性です。HTTPリクエストのパラメーター数が上限値（デフォルト1000）を超え、パラメーター名に配列変数のような記述がされた場合に発生します。

Firefox 10.0、Firefox 3.6.26リリース（2012/01/31）

　Firefox 10.0では、任意のコード実行、アクセス制御機構の迂回、情報漏洩を許してしまう脆弱性など計8件、Firefox 3.6.26では計5件の問題を解決しています。

　また、Firefox 10.0から、法人向けに延長サポート版（ESR: Extended Support Release）のサービスが始まりました。延長サポート版は、1年に1回程度のメジャーアップデートと、その間、互換性には変更を加えずセキュリティ問題の修正を含むマイナーアップデートを提供するというサポート形態です。

Thunderbird 10.0、Thunderbird 3.1.18リリース（2012/01/31）

　Thunderbird 10.0では、任意のコード実行、アクセス制御機構の迂回、情報漏洩を許してしまう脆弱性など計7件、Thunderbird 3.1.18では計5件の問題を解決しています。また、Firefox同様、Thunderbird 10.0から、法人向けに延長サポート版のサービスが始まりました。

米アップルセキュリティアップデート2012-001（2012/02/01）

　Mac OS X v10.6.8、Mac OS X Server v10.6.8、OS X Lion v10.7～v10.7.2、OS X Lion Server v10.7～v10.7.2のセキュリティアップデートがリリースされました。影響を受けるパーツは、Address Book、Apache、ATS、CFNetwork、ColorSync、CoreAudio、CoreMedia、CoreText、CoreUI、curl、Data Security、dovecot、filecmds、ImageIO、Internet Sharing、Libinfo、libresolv、libsecurity、OpenGL、PHP、QuickTime、SquirrelMail、Subversion、Time Machine、Tomcat、WebDAV Sharing、Webmail、X11で、計49件の脆弱性問題を解決しています。Apacheに存在する脆弱性（CVE-2011-3389）は、平文とそれに対応した暗号文を手がかりに暗号解読（選択平文攻撃）が可能であるというSSL 3.0/TLS 1.0のCBCモードの脆弱性です。

米アップル：Mac OS X Lion v10.7.3のセキュリティコンテンツとセキュリティアップデート2012-001について

VMware ESXi/ESXのセキュリティアップデート：VMSA-2012-0001（2012/01/30）

　VMware ESXi/ESXのセキュリティアップデートがリリースされました。このアップデートでは、ESXサービス・コンソールのカーネルに存在する脆弱性38件、ESXサービス・コンソールのcURL、rpm、samba、python、pythonライブラリーに存在する脆弱性15件、計53件のセキュリティ問題を解決しています。