Hitach Incident Response Team

　1月6日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。

認証局TURKTRUSTから発行された中間CA証明書の失効（2013/01/03）

　2012年8月に、トルコの認証局TURKTRUSTからSSLサーバー証明書ではなく、中間CA証明書*.EGO.GOV.TRおよびe-islem.kktcmerkezbankasi.orgが発行された問題です。中間CA証明書は、ルート認証局以外の認証局の正当性を証明するためのもので、ルート証明書とサーバー証明書の信頼性を結びつけます。2012年12月24日、Google Chromeが、中間CA証明書（*.EGO.GOV.TR）を用いて作成された電子証明書（*.google.com）を不正な証明書として検知したことから、この問題の存在が明らかとなりました（図1）。

図1●認証局TURKTRUSTから発行された中間CA証明書問題の対応経緯
図1●認証局TURKTRUSTから発行された中間CA証明書問題の対応経緯

　電子証明書の悪用による被害を防ぐために、マイクロソフトでは、中間CA証明書を失効させ、「信頼されない発行元」に該当する証明書を登録しました（写真1）。

写真1●信頼されない発行元に登録された電子証明書
写真1●信頼されない発行元に登録された電子証明書

制御システム系製品の脆弱性

■i-GEN SolutionsのopLYNX Central（2012/12/27）

　i-GEN Solutions（i-gen.com）のopLYNX Centralには、認証機構の迂回を許してしまう脆弱性（CVE-2012-4688）が存在します。opLYNX Centralは、WebベースのSCADA用HMI（Human Machine Interface）ソフトウエアです。

■AdvantechのStudio Webサーバー（2013/01/04）

　Advantech（advantech.com）のHMI SCADAソフトウエアであるAdvantech Studio Webサーバーには、情報漏洩を許してしまうディレクトリートラバーサルの脆弱性が存在します。

日立製品に複数の脆弱性（2012/12/25）

　企業内の電子掲示板として情報伝達を支援するCollaboration - Bulletin boardには、クロスサイトスクリプティングの脆弱性が存在します。

　Cosminexus HTTP Server、Hitachi Web Serverには、不正なパケットの受信によりサービス拒否攻撃を許してしまう脆弱性（CVE-2007-6750、CVE-2010-1623）、共有メモリーの破損に起因し、サービス拒否攻撃を許してしまう脆弱性（CVE-2012-0031）、エラー処理での情報漏洩を許してしまう脆弱性（CVE-2012-0053）が存在します。脆弱性（CVE-2012-0031、CVE-2012-0053）は、Apache HTTPサーバー 2.2.22で解決されたものです。

Cyber Security Bulletin SB12-359（2012/12/28）

　12月17日の週に報告された脆弱性の中から、シマンテックのSymantec Endpoint Protection、IBMのTSM for Space Managementの脆弱性を取り上げます（Vulnerability Summary for the Week of December 17, 2012）。

■シマンテックSymantec Endpoint Protection（2012/12/10）

　Symantec Endpoint Protection（管理コンソール）11.0/12.1、Symantec Endpoint Protection Small Business Edition（管理コンソール）12.0には、入力データを適切に検証しないことに起因し、任意のコード実行を許してしまう脆弱性（CVE-2012-4348）が存在します。また、Symantec Network Access Control 12.1には、入力データを適切に処理しないことに起因し、任意のコード実行やアクセス権限の昇格を許してしまう脆弱性（CVE-2012-4349）が存在します。

■IBMのTSM for Space Management（2012/12/19）

　ネットワーク上のディスクスペースを管理するIBMのTivoli Storage Manager（TSM）for Space Managementには、ローカルユーザーに対して全ファイルの参照や変更操作を許してしまう脆弱性（CVE-2012-4859）、リモートユーザーに対してTSM for Space Management上の全ファイルの参照や変更操作を許してしまう脆弱性（CVE-2012-5954）が存在します。

寺田 真敏
Hitachi Incident Response Team
チーフコーディネーションデザイナ

『 HIRT（Hitachi Incident Response Team）とは 』
HIRTは、日立グループのCSIRT連絡窓口であり、脆弱性対策、インシデント対応に関して、日立グループ内外との調整を行う技術専門チームです。脆弱性対策とはセキュリティに関する脆弱性を除去するための活動、インシデント対応とは発生している侵害活動を回避するための活動です。HIRTでは、日立の製品やサービスのセキュリティ向上に関する活動に力を入れており、製品の脆弱性対策情報の発信やCSIRT活動の成果を活かした技術者育成を行っています。