8月25日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。
米シスコ製品に複数の脆弱性
■インスタントメッセージングとプレゼンスサービス（2013/08/21）
IPテレフォニーのための呼処理の基盤であるUnified Communications Managerが提供するインスタントメッセージングとプレゼンスサービスには、メモリーリークに起因する脆弱性（CVE-2013-3453）が存在します。ポート番号5060/TCPあるいは5061/TCPにおいて、大量のTCP接続を受信した場合に、サービス拒否攻撃を許してしまう可能性があります。
■Unified Communications Manager（2013/08/21）
またUnified Communications Managerには、サービス拒否攻撃を許してしまう脆弱性と任意のコード実行を許してしまう脆弱性が存在します。これはエラーの不適切な処理（CVE-2013-3459）、UDPポートでの不十分なトラフィック制限（CVE-2013-3460）、ポート番号5060/UDPでの不十分なトラフィック制限（CVE-2013-3461）に起因しています。任意のコード実行を許してしまう脆弱性は、バッファオーバーフロー（CVE-2013-3462）に起因しています。
■Cisco Prime Central for HCS Assurance（2013/08/21）
複数の情報源からのデータを集約して表示するための製品Cisco Prime Central for HCS（Hosted Collaboration Solution）Assuranceには、メモリーリーク、メモリー枯渇、ディスク枯渇に起因するサービス拒否攻撃を許してしまう複数の脆弱性が存在します。
メモリーリークに起因する脆弱性（CVE-2013-3390）の影響は、大量のTCP接続を受信した場合に現れます。メモリー枯渇に起因する脆弱性（CVE-2013-3389）の影響は、ポート番号61615/TCPあるいは61616/TCPにおいて、脆弱性（CVE-2013-3388）の影響は、ポート番号44444/TCPにおいて大量のTCP接続を受信した場合に現れます。また、ディスク枯渇に起因する脆弱性（CVE-2013-3387）の影響は、ポート番号5400/TCPにおいて、TCP接続を受信し続けてログファイルが増加し、ディスクを使い切ってしまった場合に発生します。
RealPlayer 16.0.3.51リリース（2013/08/23）
Windows版RealPlayer 16.0.3.51では、Windows版RealPlayer 11.0～11.1、RealPlayer SP 1.0～1.1.5、RealPlayer 14.0.0～16.0.2.32のRMP（RealPlayer Metadata Package File）のファイル処理に存在するスタックバッファオーバーフローに関する脆弱性（CVE-2013-4973）、RealMediaファイル処理に存在するメモリー破損に関する脆弱性（CVE-2013-4974）を解決しています。
VMwareセキュリティアップデート：VMSA-2013-0010（2013/08/22）
VMwareセキュリティアップデートでは、vmware-mountコマンドに存在するアクセス権限の昇格を許してしまう脆弱性（CVE-2013-1662）を解決しています。この問題は、DebianベースのLinux上にインストールされたVMware WorkstationとPlayerで確認されています。
Samba 4.0.9リリース（2013/08/20）
Samba 4.0.9では、"ls -l /usr/local/samba/var/locks/sysvol"実行後にWinbindが異常終了する問題、セッション情報の参照中にセグメンテーション違反が発生する問題、シャットダウン時にsmbdがループ状態に陥る問題など計20件のバグを修正しています。セキュリティアップデートは含まれていません。
制御システム系製品の脆弱性
■Sixnetのユニバーサルプロトコル実装（2013/08/19）
Sixnet（sixnet.com）のRTU（Remote Terminal Unit）のユニバーサルプロトコル実装には、文書化されていない機能が実装されています（CVE-2013-2802）。文書化されていない機能は、ファイルディスクリプタ参照、ファイルサイズ参照、ファイル参照、ファイル書込、ファイル作成、任意のコード実行で、該当するオペレーションコードを指定することにより、リモートからの操作が可能となるものです。
■シーメンスのCOMOSデータベース（2012/08/21）
産業プラントのライフサイクル全体を管理する、シーメンス（siemens.com）のCOMOSのデータベースのクライアントアプリケーションには、認証されたユーザーに対して、アクセス権限の昇格を許してしまう脆弱性（CVE-2013-4943）が存在します。
■仏シュナイダーエレクトリックのTrio J-Series Radio（2013/08/22）
シュナイダーエレクトリック（schneider-electric.com）の無線通信製品であるTrio J-Series Radioのファームウエアには、AES暗号機能を有効にしている場合に、暗号鍵を適切に生成しないという脆弱性（CVE-2013-2782）が存在します。
■Software ToolboxのTop Server（2013/08/22）
Software Toolbox（toolboxopc.com）のTop ServerのOPC（OLE for Process Control）用DNPマスタドライバーには、不正なパケットを受信した際にサービス拒否攻撃を許してしまう脆弱性（CVE-2013-2804）が存在します。脆弱性は、ポート番号20000/TCPで稼働するDNPマスタードライバーにおいて入力データの検証が適切ではないことに起因します。DNPマスタードライバーは、電力および水道施設などで使用される通信プロトコルであるDNP3（Distributed Network Protocol）を取り扱う製品です。
Cyber Security Bulletin SB13-231（2013/08/19）
8月12日の週に報告された脆弱性の中から、IBMのInfoSphere Information Serverの脆弱性を取り上げます（Vulnerability Summary for the Week of August 12, 2013）。
■IBM InfoSphere Information Server（2013/08/12）
企業内の情報統合基盤を提供するIBM InfoSphere Information Serverには、Webコンソールにクロスサイトスクリプティング（XSS）の脆弱性（CVE-2013-0585、CVE-2013-3034）、ログイン失敗時に、ユーザー名の誤りなのか、パスワードの誤りなのかを表示してしまうために、有効なユーザー名あるいはパスワードの特定を許してしまう脆弱性（CVE-2013-3040）が存在します。
Hitachi Incident Response Team
チーフコーディネーションデザイナ
『 HIRT（Hitachi Incident Response Team）とは 』
HIRTは、日立グループのCSIRT連絡窓口であり、脆弱性対策、インシデント対応に関して、日立グループ内外との調整を行う技術専門チームです。脆弱性対策とはセキュリティに関する脆弱性を除去するための活動、インシデント対応とは発生している侵害活動を回避するための活動です。HIRTでは、日立の製品やサービスのセキュリティ向上に関する活動に力を入れており、製品の脆弱性対策情報の発信やCSIRT活動の成果を活かした技術者育成を行っています。
