10月7日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダー＜が提供する情報などを参考に対処してください。
VMwareのセキュリティアップデート：VMSA-2012-0014（2012/10/04）
このセキュリティアップデートでは、vCenter Operations、CapacityIQとMovie Decoderに存在する脆弱性を解決しています。vCenter Operationsにはクロスサイトスクリプティングの脆弱性（CVE-2012-5050）、vCenter CapacityIQにはディレクトリートラバーサルの脆弱性（CVE-2012-5051）が存在します。また、VMware Movie Decoderには、DLL（ダイナミックリンクライブラリー）ファイルを読み込む際に、攻撃者が細工した外部DLLの読み込み（DLLプリロード攻撃）を許してしまう脆弱性（CVE-2012-4897）が存在します。
米アドビ コードサイニング証明書失効：APSA12-01（2012/10/04）
9月27日、Windows OSからパスワードハッシュ値を抽出するツールPwDump7.exe、不正なISAPIフィルターと思われるmyGeeksmail.dllに、有効なコードサイニング証明書を使用したディジタル署名の存在が確認されたことから、2012年7月10日以降に署名されたすべてのソフトウエアの証明書を失効させることがアナウンスされました。
10月4日、失効する証明書がhttp://csc3-2010-crl.verisign.com/CSC3-2010.crlに追加されました。APSA12-01に記載されている証明書のシリアル番号: 15 e5 ac 0a 48 70 63 71 8e 39 da 52 30 1a 04 88を調べてみますと、失効日が2012年7月10日であることを確認できます。
Squid 3.2.2リリース（2012/10/05）
Squid 3.2.2は、メモリーリーク、アクセス制御リスト（ACL）関連処理に存在する約10件のバグ修正を目的としたもので、セキュリティアップデートは含まれていません。
MySQL Community Server 5.1.66リリース（2012/09/28）
MySQL Community Server 5.1.66は、InnoDB Storage Engine、パーティショニングならびにレプリケーション処理などに存在する約20件のバグの修正を目的としたリリースで、セキュリティアップデートは含まれていません。
制御システム系製品の脆弱性
■Sielco SistemiのWinlog Lite（2012/10/03）
Sielco Sistemi（sielcosistemi.com）のSCADAシステム用HMI製品Winlog Liteには、任意のコード実行を許してしまう脆弱性が存在します。この問題は、Windowsの例外処理のための機構SEH（Structured Exception Handler）で上書きが可能であることに起因しています。この新たな脆弱性は、8月末に検証コードとともに公開されました。
Cyber Security Bulletin SB12-275（2012/10/01）
9月24日の週に報告された脆弱性の中から、米ヒューレット・パッカードのHP SiteScope、Google Chromeの脆弱性を取り上げます（Vulnerability Summary for the Week of September 24, 2012）。
■HP SiteScope（2012/09/19）
HP SiteScopeのSOAP処理（create関数、update関数、loadFileContent関数、getFileInternal関数、getSiteScopeConfiguration関数、UploadFilesHandler）には、任意のコード実行を許してしまう6件の脆弱性（CVE-2012-3259～CVE-2012-3264）が存在します。SiteScopeは、対象サーバー上にソフトウエアをインストールすることなく、データ収集するリモート監視用の製品です。
■Google Chrome 22.0.1229.94リリース（2012/10/10）
9月24日、Macintosh版Google Chrome 21.0.1180.90がリリースされました。
9月25日にリリースされたChrome 22（22.0.1229.79）では、Mouse Lock API、Windows 8向けの拡張など機能面の改善を施すとともに、メモリー破損、メモリーの解放後使用（use-after-free）、領域外のメモリー参照（out-of-bounds read）、領域外メモリーへの書き出し（out-of-bounds write）、メモリーの2重解放（double free）、整数オーバーフローに関する問題など、計24件の脆弱性（CVE-2012-2874～CVE-2012-2897）を解決しています。
10月8日にリリースされたGoogle Chrome 22.0.1229.92では、競合、領域外のメモリー参照など計5件の脆弱性（CVE-2012-2900、CVE-2012-5108～CVE-2012-5111）を解決しています。また、10月10日には、SVGでのメモリーの解放後使用（use-after-free）、IPCでの任意のファイル書き出しの脆弱性（CVE-2012-5112）を解決したGoogle Chrome 22.0.1229.94がリリースされました。
- Google：Stable Channel Update（22.0.1229.94）
- Google：Stable Channel Update（22.0.1229.92）
- Google：Stable Channel Update（22.0.1229.79）
- Google：Stable Channel Update（21.0.1180.90）
Hitachi Incident Response Team
チーフコーディネーションデザイナ
『 HIRT（Hitachi Incident Response Team）とは 』
HIRTは、日立グループのCSIRT連絡窓口であり、脆弱性対策、インシデント対応に関して、日立グループ内外との調整を行う技術専門チームです。脆弱性対策とはセキュリティに関する脆弱性を除去するための活動、インシデント対応とは発生している侵害活動を回避するための活動です。HIRTでは、日立の製品やサービスのセキュリティ向上に関する活動に力を入れており、製品の脆弱性対策情報の発信やCSIRT活動の成果を活かした技術者育成を行っています。
