米Symantecは現地時間11月8日，バックアップ製品「VERITAS NetBackup 5.0／5.1」にバッファ・オーバーフローのセキュリティ・ホールが見つかったことを明らかにした。NetBackup 5.xのサーバーやクライアント（エージェント）に細工が施されたデータを送信されると，データに含まれる任意のプログラムを実行させられる可能性がある。対策はパッチを適用すること。
今回のセキュリティ・ホールは，NetBackup 5.xに含まれる共有ライブラリに見つかった。当初は，NetBackupに含まれるサービス（デーモン）の一つ「Volume Manager Daemon（vmd）」のセキュリティ・ホールとして認識されたが，実際には，vmdが使用する共有ライブラリの一つが問題であることが確認された。このため，vmd経由以外でも，今回のセキュリティ・ホールを突かれる可能性がある。
この共有ライブラリには未チェックのバッファが存在する。このため，同ライブラリを使用するサービスに対して細工を施したデータが送信されると，NetBackupのサーバーあるいはクライアントが不正終了したり，サーバー／クライアントが動作するマシン上で任意のプログラムを実行されたりする恐れがある。
対策はパッチ（セキュリティ・パック）を提供すること。パッチの詳細やダウンロード方法については，VERITASのページに詳しい。
NetBackupのサービスにアクセスできるマシンを制限すること，NetBackupのサービスがアクセスを待ち受けるポートをインターネット／LAN境界でふさぐことも，影響を緩和するためには有効である。NetBackupのサービス（プロセス）がアクセスを待ち受けるポートの一覧はVERITASのページに記載されている。
なお，NetBackupには2005年10月にもセキュリティ・ホールが見つかっている（関連記事）。
◎参考資料
◆VERITAS NetBackup 5.x: Buffer Overflow in Shared Library used by Volume Manager Daemon
◆Symantec Advisory SYM05-024: Exploitation of a buffer overflow vulnerability in VERITAS NetBackup Enterprise Server/Server 5.0 and 5.1 could potentially lead to a remote Denial Of Service or remote code execution.
