Hitach Incident Response Team

 3月4日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。

米シスコ製品に複数の脆弱性

■Wireless LAN Controller(2012/02/29)

 セキュリティ対策やサービス品質などの機能を提供するWireless LAN Controller(WLC)製品群には、サービス不能攻撃や不正アクセスを許してしまう脆弱性(CVE-2012-0368~CVE-2012-0371)が存在します。サービス不能攻撃を許してしまう脆弱性は、不正なHTTP/HTTPSパケットやIPv6パケットの受信が引き金となり装置の再起動が発生するというものです。不正アクセスは、アクセス制御リストが設定されている場合に、リモートの攻撃者による機器設定の参照ならびに変更を許してしまう可能性があります。

■Cius(2012/02/29)

 モバイルコラボレーション用ビジネスタブレットに搭載されているCisco Ciusソフトウエアには、サービス不能攻撃を許してしまう脆弱性(CVE-2012-0359)が存在します。不正なネットワークトラフィックを受信すると、応答不能状態に陥る可能性があります。

■Unified Communications Manager(2012/02/29)

 IPテレフォニーのための呼処理の基盤であるUnified Communications Managerには、呼制御プロトコルであるSCCP(Skinny Client Control Protocol)パケット処理に関係する2件の脆弱性が存在します。一つは、サービス不能攻撃を許してしまう脆弱性(CVE-2011-4486)で、不正なSCCPパケットの受信が引き金となり装置の再起動が発生するというものです。もう一つは、SQLインジェクションに起因する脆弱性(CVE-2011-4487)で、SQLデータベースの変更を許してしまう可能性があります。対象となるSCCPポート番号は2000/TCP、2443/TCPです。

■TelePresence Video Communication Server(2012/02/29)

 ビデオおよびテレプレゼンスコミュニケーションをサポートするTelePresence Video Communication Serverには、サービス不能攻撃を許してしまう脆弱性(CVE-2012-0330、CVE-2012-0331)が存在します。サービス不能につながる脆弱性は、不正なSIP(Session Initiation Protocol)メッセージの受信が引き金となり異常終了が発生するというものです。対象となるSIPポート番号は5060、5061です。

■Unity Connection(2012/02/29)

 音声メッセージングプラットフォームであるUnity Connection Serverには、アクセス権限昇格とサービス不能攻撃とを許してしまう脆弱性(CVE-2012-0366、CVE-2012-0367)が存在します。アクセス権限昇格はHelp Desk Administratorの権限処理が適切でないことに起因します。悪用された場合、該当システムを完全に制御されてしまう可能性があります。サービス不能につながる脆弱性は、不正なTCPパケットの受信が引き金となり異常終了が発生するというものです。

■Small Business SRP 500シリーズ(2012/02/23)

 Small BusinessシリーズのルーターであるSRP 500には3件の脆弱性が存在します。Webインタフェースでのコマンドインジェクションの脆弱性(CVE-2012-0363)は管理者権限でのコマンド実行を、同じくWebインタフェースでのファイルアップロードの脆弱性(CVE-2012-0364)は設定ファイルの変更を許してしまう可能性があります。ディレクトリートラバーサルの脆弱性(CVE-2012-0365)は、TFTPファイルアップロードアプリケーションに内在し、システムエリアへのファイルアップロードを許してしまう可能性があります。

PostgreSQL 9.1.3、9.0.7、8.4.11、8.3.18リリース(2012/02/27)

 セキュリティアップデート版であるPostgreSQL 9.1.3、9.0.7、8.4.11、8.3.18がリリースされました。これらのバージョンでは、トリガーによって呼び出される関数の権限チェックに関する問題(CVE-2012-0866)、SSL証明書のホスト名チェックが32バイト分のみとなる問題(CVE-2012-0867)、オブジェクト名に改行を埋め込まれた場合にSQLコマンド実行を許してしまう問題(CVE-2012-0868)、計3件の脆弱性を解決しています。また、9.1系ではセキュリティ関連を含む45件の問題を、そのほかのバージョンでは20件~30件の問題を修正しています。

PHP 5.4.0リリース(2012/03/01)

 PHP 5.4.0では、コードを再利用するための仕組みであるトレイト(trait)、連想配列記述のための短縮構文、開発用Webサーバーの組み込みなどの新たな機能がサポートされました。また、任意のコード実行を許してしまう脆弱性(CVE-2012-0830)、SSL 3.0/TLS 1.0のCBCモードの脆弱性(CVE-2011-3389)、サービス不能攻撃を許してしまう脆弱性(CVE-2011-4153)、crypt_blowfishにおいて8ビット文字列を適切に処理しないためにパスワード推測が容易となる脆弱性(CVE-2011-2483)など、セキュリティ関連を含む100件以上の問題を解決しています。

BIND 9.9.0リリース(2012/02/29)

 BIND 9.9系のファーストリリース版であるBIND 9.9.0では、DNSSECインライン署名など、ゾーン署名と鍵管理を中心としたDNSSECに関する性能改善、機能強化が施されています。

Tomcat Native 1.1.23リリース(2012/02/29)

 TomcatからJava Native Interface(JNI)経由でApache Portable Runtime(APR)を利用するためのライブラリーであるTomcat Native 1.1.23がリリースされました。