9月16日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。
BIND 9.6-ESV-R7-P3、9.7.6-P3、9.8.3-P3、9.9.1-P3リリース（2012/09/12）
BIND 9.6-ESV-R7-P3、9.7.6-P3、9.8.3-P3、9.9.1-P3では、リソースレコード処理に存在するサービス拒否攻撃を許してしまう脆弱性（CVE-2012-4244）を解決しています。この問題は、RDATAフィールドの長さが6万5535バイトを超えるリソースレコードを読み込んだ後に、このリソースレコードに対する問い合わせが発生すると、namedプロセスが異常終了する可能性があるというものです。
BIND 9.0.x～9.6.x、9.4-ESV～9.4-ESV-R5-P1、9.6-ESV～9.6-ESV-R7-P2、9.7.x、9.8.x、9.9.xが稼働するコンテンツサーバー（権威DNSサーバー）ならびにキャッシュDNSサーバーに影響があります。なおISCでは、BIND 9.4.x、9.5.xのサポートは終了していることから、セキュリティ修正プログラムはリリースしないことを公表しています。
- ISC：CVE-2012-4244: A specially crafted Resource Record could cause named to terminate
- JPRS：BIND 9.xの脆弱性（サービス停止）について
DHCP 4.1-ESV-R7、DHCP 4.2.4-P2リリース（2012/09/12）
DHCP 4.1-ESV-R7、DHCP 4.2.4-P2では、DHCPサーバーのDHCPv6のリース処理に存在するサービス拒否攻撃を許してしまう脆弱性（CVE-2012-3955）を解決しています。この問題は、DHCPv6のリース期間の変更によりDHCPサーバーが異常終了する可能性があるというものです。DHCP 4.1.x、4.2.xに影響があります。
Apache HTTPサーバー 2.2.23リリース（2012/09/13）
Apache HTTPサーバー 2.2.23では、2件の脆弱性を解決しています。脆弱性（CVE-2012-0883）は、LD_LIBRARY_PATH環境変数に起因して発生する安全でないライブラリーの読み込み問題です。また、脆弱性（CVE-2012-2687）は、クライアントの能力に最も合うドキュメントを選択するmod_negotiationモジュールを使用したときに発生するクロスサイトスクリプティングの問題です。
米シスコ製品に複数の脆弱性
■Jabber Extensible Communications Platform（2012/09/12）
XMLをベースとしたメッセージング、プレセンス基盤であるJabber Extensible Communications Platform（Jabber XCP）およびCisco Unified Presenceには、サービス拒否攻撃を許してしまう脆弱性（CVE-2012-3935）が存在します。この問題は、ストリームヘッダーの処理に起因し、不正なExtensible Messaging and Presence Protocol（XMPP）ストリームヘッダーを受信した場合に、Connection Managerプロセスが異常終了する可能性があります。
■Cisco ASA-CX、Cisco PRSM（2012/09/12）
Cisco ASA-CXは、ASA（Adaptive Security Appliances）プラットフォーム向けのアドオンサービスモジュールで、Cisco Prime Security Manager（PRSM）は、Cisco ASA-CX用の管理プラットフォームです。これらCisco ASA-CX、Cisco PRSMには、サービス拒否攻撃を許してしまう脆弱性（CVE-2012-4629）が存在します。この問題は、不正なIPv4パケットを受信し続けてログファイルが増加し、/var/logパーティションを使い切ってしまった場合に、Cisco ASA-CXモジュールならびにCisco PRSMが応答しなくなるというものです。
米アップルiTunes 10.7（2012/09/12）
iTunes 10.7では、メモリー処理の改善を実施し、メモリー破損に起因する任意のコード実行やサービス拒否攻撃を許してしまうWebKitの約160件の脆弱性を解決しています。
米アドビ システムズColdFusionに脆弱性：APSB12-21（2012/09/11）
Windows版、Macintosh版、UNIX版のColdFusion 10、9.0.2、9.0.1、9.0、8.0.1、8.0には、サービス拒否攻撃を許してしまう脆弱性（CVE-2012-2048）が存在します。
マイクロソフト2012年9月の月例セキュリティアップデート（2012/09/12）
9月12日、月例セキュリティアップデートとActiveXのKill Bit更新プログラムがリリースされました。9月の月例セキュリティアップデートでは、Visual Studio Team Foundation Server、System Center Configuration Managerに関する2件のセキュリティ更新プログラムを公開し、2件のセキュリティ問題を解決しています。脆弱性による影響は、いずれもアクセス権限の昇格です。
ActiveXのKill Bit更新プログラムでは、米シスコのCisco AnyConnectセキュアモビリティクライアントのActiveXコントロールに存在する、任意のコード実行を許してしまう脆弱性（CVE-2012-2493～CVE-2012-2495）に対処するため、影響を受ける ActiveX コントロールにKill Bitを設定します。
PHP 5.4.7、PHP 5.3.17リリース（2012/09/13）
PHP 5.4.7、PHP 5.3.17は、バグ修正を目的としたリリースで、Core、CURL、DateTime、PDO（PHP Data Object）など、約30件、約15件のバグを修正しています。セキュリティアップデートは含まれていません。
PostgreSQL 9.2.0リリース（2012/09/10）
ロック管理、ディスク書き込みの効率、インデックスオンリーアクセスやそのほかの低レベルな演算処理など、性能とスケーラビリティーの改善を施したPostgreSQL 9.2.0がリリースされました。
制御システム系製品の脆弱性
■ハネウェルのHMIWEBブラウザー（2012/09/07）
ハネウェル（honeywell.com）のHMIWebブラウザーのコンポーネントであるHSCDSPRenderDLL ActiveXコントロールには、スタックオーバーフローに起因し、任意のコード実行を許してしまう脆弱性（CVE-2012-0254）が存在します。
■RealFlexのRealWinDemo（2012/09/07）
RealFlex（realflex.com）のHMI/SCADA製品である、RealWinDemo、RealWin、FlexViewには、DLL（ダイナミックリンクライブラリー）ファイルを読み込む際に、攻撃者が細工した外部DLLの読み込み（DLLプリロード攻撃）を許してしまう脆弱性（CVE-2012-3004）が存在します。
■シーメンスのWinCC WebNavigator（2012/09/12）
シーメンス（siemens.com）のWinCC WebNavigatorには、クロスサイトスクリプティング（CVE-2012-3031）、クロスサイトリクエストフォージェリー（CVE-2012-3028）の脆弱性、ファイル名推定可能なファイルへのアクセス（CVE-2012-3030）、SOAP（Simple Object Access Protocol）メッセージを利用したSQLインジェクション攻撃を許してしまう脆弱性（CVE-2012-3032）、ActiveXコントロールに存在するアクセス権限の取得を許してしまう脆弱性（CVE-2012-3034）が存在します。WinCC WebNavigatorは、ブラウザーやWinCC Web Viewerを使用して、インターネット経由でプラントを監視するコンポーネントです。
■IOServerのOPC Server（2012/09/14）
IOServer（ioserver.com）のOPC Serverには、機密データを格納したディレクトリーに対するアクセス制御設定の不備、ディレクトリー内の一覧表示、ディレクトリートラバーサルの脆弱性が存在します。これらの脆弱性（CVE-2012-4680）を悪用されると、情報漏洩を許してしまう可能性があります。
Cyber Security Bulletin SB12-254（2012/09/10）
9月3日の週に報告された脆弱性の中から、EMCのNetWorkerの脆弱性を取り上げます（Vulnerability Summary for the Week of September 3, 2012）。
■EMC NetWorker（2012/08/30）
統合型バックアップとリカバリー製品であるEMC NetWorkerのnsrd RPCサービスには、任意のコード実行を許してしまう書式文字列の脆弱性（CVE-2012-2288）が存在します。nsrd RPCサービスは、保存回復操作、統計情報収集、データベース保守などの機能を提供しているサービスです。このサービスが不正なメッセージを受信した場合に影響を受ける可能性があります。
Hitachi Incident Response Team
チーフコーディネーションデザイナ
『 HIRT（Hitachi Incident Response Team）とは 』
HIRTは、日立グループのCSIRT連絡窓口であり、脆弱性対策、インシデント対応に関して、日立グループ内外との調整を行う技術専門チームです。脆弱性対策とはセキュリティに関する脆弱性を除去するための活動、インシデント対応とは発生している侵害活動を回避するための活動です。HIRTでは、日立の製品やサービスのセキュリティ向上に関する活動に力を入れており、製品の脆弱性対策情報の発信やCSIRT活動の成果を活かした技術者育成を行っています。
