米Internet Security Systems(ISS)は米国時間3月18日,同社のセキュリティ製品「RealSecure」や「BlackICE」,「Proventia」にセキュリティ・ホールが見つかったことを明らかにした。細工が施されたデータを送られると,任意のプログラムを実行させられる恐れがある。このセキュリティ・ホールを突くワームも既に出現している。対策は最新のXPU(X-Press Update)を適用すること。
今回のセキュリティ・ホールは,サーバー製品だけではなく,「BlackICE PC Protection」や「RealSecure Desktop Protector」といったクライアント製品にも存在するので注意が必要である(影響を受けるバージョンの詳細やXPUの公開状況については,同社ページを参照のこと)。
今回のセキュリティ・ホールは,同社製品が備える「ISS Protocol Analysis Module」(PAM)コンポーネントのICQインスタント・メッセージング・プロトコル解析ルーチンに見つかった。細工が施されたデータを送信されると,バッファ・オーバーフローが発生し,任意のプログラムを実行される恐れがある。
実際,このセキュリティ・ホールを突いて感染を広げるワーム「Witty」が出現している。Wittyが送信する攻撃パケットの発信元ポートはUDP4000番である。警察庁では3月20日,Wittyのものと思われるトラフィック増加を確認しているという。なお,アプライアンス製品「Proventia」には今回のセキュリティ・ホールが存在するものの,Wittyには感染しない。
対策は最新のXPUを適用すること。XPUは攻撃を検知するための定義情報(シグネチャ)だが,今回のセキュリティ・フィックス(パッチ)も含まれている。同社の「Download Center」などから入手できる。
◎参考資料
◆Vulnerability in ICQ Parsing in ISS Products(米Internet Security Systems)
◆BlackICE Witty Worm Propagation(米Internet Security Systems)
◆ISS 製品における ICQ 解析の脆弱点(インターネット セキュリティ システムズ)
◆BlackICE Wittyワーム(インターネット セキュリティ システムズ)
◆ISS製品の脆弱性及びWittyワームの発生について(警察庁)
◆Internet Security Systems PAM ICQ Server Response Processing Vulnerability(米eEye Digital Security)
◆ISS Multiple Products ICQ Server Response Processing Vulnerability(デンマークSecunia)
(勝村 幸博=IT Pro)