米Symantecは米国時間10月12日，バックアップ製品「VERITAS NetBackup」のサーバーおよびクライアント（エージェント）にセキュリティ・ホールが見つかったことを明らかにした。影響を受けるのは，すべてのビルドならびにプラットフォームのNetBackup 4.5／5.0／5.1／6.0。細工が施されたデータを送信されると任意のプログラムを実行させられる恐れがある。対策はパッチを適用することなど。

　今回のセキュリティ・ホールは，NetBackupのサーバーおよびクライアントの両方に含まれる「bpjava-msvc」デーモン（サービス）に存在する。これは，Javaのユーザー・インターフェースにおいてユーザー認証を提供するサービス。TCP 13722番ポートで通信を待ち受ける。

　このサービスに「フォーマット・ストリング・オーバーフロー（format string overflow）」のセキュリティ・ホールが見つかった。このため，NetBackupのサーバーあるいはクライアントへ細工を施したデータを送信すると，データに含まれる任意のプログラムが同サービスの権限（通常はrootあるいはSYSTEM）で実行される。

　対策は同社が提供するパッチ（アップデート）を適用すること。同社ではパッチの適用を強く勧めている。パッチに関する情報はVERITASのページに詳しい。また，ファイアウオールなどでTCP 13722番ポートをふさぐことも回避策の一つ。同ポートをふさげば，外部からの攻撃を防げる。

◎参考資料
◆VERITAS NetBackup: Java User-Interface, format string vulnerability
◆Document ID: 279085