米Macromediaや米CERT/CCは米国時間5月29日，アプリケーション・サーバーであるMacromedia JRun 3.0および3.1のWindows版にセキュリティ・ホールがあることを明らかにした。
JRunが動作するWebサーバーに，細工が施されたリクエストを送信されると，Local System権限で任意のコードを実行される恐れがある。ただし，Internet Information Server/Services（IIS）とともに動作させている場合のみ影響を受ける。対策は，パッチの適用かJRun 4へのアップグレード。
原因は，JRunとともにインストールされるISAPIフィルタの不具合。ISAPIフィルタとは，ISAPI（Internet Server API）を利用して，IISへの要求や応答を途中で処理するDLL（Dynamic Link Library）のこと。IISサーバーへ対して，「.jsp」のリクエストが送られると，JRunのISAPIフィルタがこのリクエストを処理することになる。
そのISAPIフィルタにセキュリティ・ホールが発見された。ある細工を施したリクエストがIISサーバーへ送信されると，バッファ・オーバーフローが発生し，Local System権限で任意のコードを実行される恐れがある。
対策は，Macromediaが公開するパッチを適用すること。日本語版用のパッチも既に公開している。あるいは，最新版のバージョン4にアップグレードすることでも回避できる。
◎参考資料
◆CERT Advisory CA-2002-14 Buffer overflow in Macromedia JRun（米CERT/CC）
◆MPSB02-02-Patch Available for ISAPI buffer overflow in JRun 3.0/3.1（米Macromedia）
◆NGSSoftware Insight Security Research Advisory（NISR29052002）（今回のセキュリティ・ホールを発見した英NGS Softwareの情報）
