米Symantecは現地時間5月25日，同社のセキュリティ製品「Symantec Client Security 3.x」と「Symantec Antivirus Corporate Edition（CE）10.x」に脆弱性（セキュリティ・ホール）が見つかったことを明らかにした。現時点（5月29日正午）では，英語版のアップデート（修正パッチ）のみを公開している。

　今回明らかにされた脆弱性は，米eEye Digital Securityが発見したもの。同社によって，その存在だけは明らかにされていた（関連記事：シマンテックのセキュリティ製品に危険な脆弱性）。

　Symantecの情報によれば，脆弱性の存在が確認されているのは，Symantec Client Securityのバージョン3.0（ビルド3.0.2.2010，ビルド3.0.2.2020）およびバージョン3.1（ビルド3.1.0.394，ビルド3.1.0.400），Symantec Antivirus CEのバージョン10.0（ビルド10.0.2.2010，ビルド10.0.2.2010）およびバージョン10.1（ビルド10.1.0.394，ビルド10.1.0.400）。

　同社の「Norton Internet Security」や「Norton AntiVirus」といったNortonシリーズは影響を受けない。また，Client Securityのバージョン1.0／1.1／2.0，AntiVirus CEのバージョン8.0／8.1／9.0も影響を受けない。

　今回，Client Security 3.xやAntiVirus CE 10.xには，スタック・オーバーフローの脆弱性が見つかったという。このため細工が施されたデータを送られると，これらが動作するシステムを不正終了されたり，任意のプログラムが実行されたりする可能性がある。このとき任意のプログラムは，eEye Digital Securityが報告したようにSYSTEM権限で実行されるという。

　対策は，同社が提供するアップデート（修正パッチ）を適用すること。ただし，現在用意されているのは英語版のみ。英語版以外の言語バージョンについては未公表。同社のIPS（侵入防御システム）製品の最新シグネチャでは，今回の脆弱性を突く攻撃に対応済みであるという。

◎参考資料
◆SYM06-010 May 25, 2006 Symantec Client Security and Symantec AntiVirus Elevation of Privilege
◆Product Updates