Hitach Incident Response Team

　3月9日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。

Struts 2.3.16.1リリース（2014/03/02）

　WebアプリケーションフレームワークStrutsのバージョン2.3.16.1がリリースされました。バージョン2.3.16.1では、classパラメーターを利用したClassLoaderの操作を許してしまう脆弱性（CVE-2014-0094）を解決します。また、サービス拒否攻撃を許してしまう脆弱性（CVE-2014-0050）を解決するために、Commons FileUploadを1.3.1にバージョンアップします。

PHP 5.4.26、PHP 5.5.10リリース（2014/03/06）

　PHP 5.5.10では、Fileinfo、GDに存在するサービス拒否攻撃や任意のコード実行を許してしまう脆弱性（CVE-2014-1943、CVE-2014-2270、CVE-2013-7327）を解決しています。脆弱性CVE-2014-2270は、領域外のメモリー参照（out-of-bounds read）に起因しています。

　PHP 5.4.26では、Fileinfoに存在するサービス拒否攻撃を許してしまう脆弱性（CVE-2014-1943）を解決しています。脆弱性CVE-2014-1943は、ファイルタイプを判定する処理でループに入り込んでしまうことがあり、CPUリソースを浪費してしまうというものです。不正なファイルを参照した際に影響を受ける可能性があります。