11月10日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。
BIND 9.9.4-P1、BIND 9.8.6-P1、BIND 9.6-ESV-R10-P1リリース（2013/11/07）
Windows版BIND 9.6（9.6-ESV～9.6-ESV-R10）、9.8.x（9.8.0～9.8.6）、9.9.x（9.9.0～9.9.4）には、namedのlocalnetsアクセスコントロールリストが誤って設定される脆弱性が存在します。この問題は、Winsockライブラリーの動作に起因する不具合で、アクセス制御の迂回に悪用される可能性があります。
- ISC：CVE-2013-6230: A Winsock API Bug Can Cause a Side-Effect Affecting BIND ACLs
- JPRS：BIND 9.xの脆弱性（サービス提供者が意図しないアクセスの許可）について
米シスコ製品
■Cisco IOS（2013/11/06）
Cisco IOSのSIP（Session Initiation Protocol）パケット処理にサービス拒否攻撃を許してしまう脆弱性（CVE-2013-5553）が存在します。対象となるポート番号は5060/UDP、5060/TCP、5061/TCPで、不正なSIPパケットを受信した場合に影響を受ける可能性があります。
■Cisco Wide Area Application Services（WAAS）Mobile（2013/11/06）
Cisco Wide Area Application Services（WAAS）MobileサーバーのWeb管理インタフェースには、Microsoft Internet Information Services（IIS）の権限を使用して、任意のコード実行を許してしまう脆弱性（CVE-2013-5554）が存在します。この問題は、HTTP POST要求に対するデータの検証が適切でないために、ディレクトリートラバーサルの問題が発生することに起因します。Cisco WAAS Mobileは、在宅勤務や外出などモバイル対応にWAN経由でのアプリケーションインフラを提供するCisco WAASを拡張した製品です。
■Cisco TelePresence VX Clinical Assistant（2013/11/06）
Cisco TelePresence VX Clinical AssistantのWIL-Aモジュールには、リモートからの不正アクセスを許してしまう脆弱性（CVE-2013-5558）が存在します。この問題は、再起動時に管理者用パスワードがリセットされ、空パスワードが設定されてしまうために起こります。Cisco TelePresence VX Clinical Assistantは、離れた場所にいる専門医が患者を診療するなどの利用を想定した医療用ビデオ会議システムです。
OpenSSH 6.4、OpenSSH 6.4p1リリース（2013/11/08）
OpenSSH 6.4、OpenSSH 6.4p1では、AES-GCM（Advanced Encryption Standard-Galois Counter Mode）の鍵再生成処理に存在する、任意のコード実行を許してしまう脆弱性を解決しています。AES-GCMは、OpenSSH 6.2からサポートされた暗号です。この問題は、鍵交換でAES-GCMが選択された場合、鍵再生成中にメモリー破損が発生することに起因します。
Squid 3.3.10リリース（2013/11/03）
Squid 3.3.10は、Mac OS X 10.8でのセルフテストが失敗する、IPv6環境でtcp_outgoing_tosが動作しない、ローカルネームサーバーで設定エラーが発生する不具合など、バグ修正を目的としたリリースで、セキュリティアップデートは含まれていません。
Red Hat Enterprise Linux Server（v.6）（2013/11/05）
ガベージコレクション（gc）、Java開発環境java-1.6.0-openjdkのセキュリティアップデート（RHSA-2013:1500、RHSA-2013:1505）がリリースされました。
gcでは、malloc、callocに存在するサービス拒否攻撃や任意のコード実行を許してしまう脆弱性（CVE-2012-2673）を解決しています。この問題は、入力パラメーターの検証が適切ではないことに起因します。java-1.6.0-openjdkは、Java SEの10月セキュリティアップデートに合わせてリリースされたセキュリティアップデートです。2D、AWT、BEANS、CORBA、JAX-WS、JAXP、JGSS、JNDI、Javadoc、ライブラリー、スクリプティング、セキュリティ、Swing、Jhatのコンポーネントに影響を与える26件の脆弱性を解決しています。
Cyber Security Bulletin SB13-308（2013/11/04）
10月28日の週に報告された脆弱性の中から、IBM Security AppScan Enterpriseの脆弱性を取り上げます（Vulnerability Summary for the Week of October 28, 2013）。
■IBM Security AppScan Enterprise（2013/10/22）
Webアプリケーションの脆弱性テストとその結果をレポートするIBM Security AppScan Enterpriseには、SSLサーバーから送られるX.509証明書を適切に検証しない脆弱性（CVE-2013-4062）、認証ホストの設定の変更に対する認証を適切にチェックしない脆弱性（CVE-2013-4061）、Jazz Team Serverコンポーネントに、デフォルトのアカウントとパスワードが存在する脆弱性（CVE-2013-5430）、応答メッセージに平文のAppScan Sourceデータベースパスワードを格納して送信する脆弱性（CVE-2013-3989）が存在します。
Hitachi Incident Response Team
チーフコーディネーションデザイナ
『 HIRT（Hitachi Incident Response Team）とは 』
HIRTは、日立グループのCSIRT連絡窓口であり、脆弱性対策、インシデント対応に関して、日立グループ内外との調整を行う技術専門チームです。脆弱性対策とはセキュリティに関する脆弱性を除去するための活動、インシデント対応とは発生している侵害活動を回避するための活動です。HIRTでは、日立の製品やサービスのセキュリティ向上に関する活動に力を入れており、製品の脆弱性対策情報の発信やCSIRT活動の成果を活かした技術者育成を行っています。
