NRI Secure SANS NewsBites 日本版

Vol.2 No.17 2007年5月2日発行

**********************************************************************
NRI Secure Security Information
(SANS NewsBites、@RISKサマリー版)
Vol.2 No.17 2007年5月2日発行
**********************************************************************

このニュースレターは、情報セキュリティの専門機関であるSANS Instituteが
配信するコンテンツ(SANS NewsBites、@RISK)をベースに、NRIセキュアテクノ
ロジーズが編集してお届けしています。世界中でこの1週間に起こったセキュ
リティのあらゆるトピックと専門家のコメントが掲載されています。原版は、
およそ20万人のセキュリティのコミュニティに配信され、資料価値のあるニュ
ースソースとして活用されています。組織のセキュリティ管理に関する参考情
報としてお役立てください。

■■SANS NewsBites Vol.9 No.32-33(原版:2007年4月21日、25日)

■はじめに(Alan Paller:SANS Director of Research)

本号の最初のニュースでは、先週末に開かれた、米国議会下院公聴会の革新的
な様子が取り上げられている。150種類以上の各社新聞が、このニュースにつ
いて報じている。この公聴会で分科会議長が述べた、冒頭陳述をご覧になりた
い方はこちら:
http://homeland.house.gov/SiteDocuments/20070419153038-21091.pdf

SANS Internet Storm Centerのインシデント・ハンドラーは先週、虚偽Webサ
イトの特定にかかりきりになった。問題のサイトでは、バージニア工科大学乱
射事件犠牲者の遺族のための募金活動と見せかけ、金銭を騙しとっていた。
ハンドラーはこの調査で得られた情報を警察と共有している。幸い、読者の一
員であるKevin D. Martin氏がwww.vt.eduに本物の募金受付リンクがあること
を知らせてくれた。
────────────────

◆米国連邦議会 州や商務省へのアタックと貧弱なサイバーセキュリティを政
  府局の責任として追及 (2007.4.19)

米国下院国家安全保障委員会・緊急の脅威およびサイバーセキュリティ分科会
は、4月19日に公聴会を開き、連邦政府のサイバーセキュリティの弱点を浮き
彫りにした。分科会議長Langevin氏は「我々は、自身のネットワークの範囲を
把握できていない」とし、「誰がネットワーク内にいるのかもわからないし、
どのような情報が盗まれたのかもわからない。我々は、国家の安全を脅かすこ
の現状について真剣に考えるべき」と述べた。この公聴会は、米国下院議員ら
に連邦政府のシステムがどれだけひどく侵害されているかをしっかり理解して
もらうために開かれた。また、国土安全保障省や他の政府局が、このような侵
害を食い止めるため実施している対策についても、この機会に理解を促す意向。
この公聴会では、昨年発生した国務省や商務省へのアタックが論点となった。
下院議員と証人両人とも、政府局がFISMAの必須条件に遵守していたとしても、
同局のシステムが安全になるわけではないと述べている。政府局の証人による
と、FISMAは誤った指標に則っており、議員および国務省外交安全局で上級セ
キュリティコーディネータのDonald R. Reid氏は、「国務省のコンピュータシ
ステムへの侵害は、アジア駐在の米国職員がアタック目的の送信メールに添付
されていたWordファイルを開いたときに発生した」との。この侵害は、問題の
Microsoft Word文書に数カ月間もパッチが適用されていなかったzero-day脆弱
性を悪用したもののようだ。
http://www.computerworld.com/action/article.do?command=printArticleBasic&articleId=9017183
http://www.washingtonpost.com/wp-dyn/content/article/2007/04/19/AR2007041901898.html
http://www.msnbc.msn.com/id/18186800/

【編集者メモ】(Schultz)
この公聴会で「FISMAへの遵守」が問題として、議論されなかったのはよいこ
とだ。FISMAと実世界のセキュリティとの間に、共通点はほとんどないのだか
ら。
────────────────

◆Apple 今年4度目のOS Xのセキュリティ更新をリリース(2007.4.19)

Appleは、Mac OS Xにあるセキュリティ欠陥25個に対処すべく、Mac OS X更新
版をリリースした。これらの中で最も深刻な欠陥は、悪用されるとアタッカー
にパッチ未適用のシステムの制御が奪われるおそれが生じる、というものだっ
た。今のところ、これらの脆弱性が悪用された形跡はないようだ。Appleは、
今年に入って毎月1度のペースでMac OS Xの更新をリリースしている。
http://news.com.com/Apple+plugs+25+Mac+OS+X+flaws/2100-1002_3-6177758.html
http://docs.info.apple.com/article.html?artnum=305391

【編集者メモ】(Skoudis)
なんと大量の脆弱性に、大量のパッチだろう! AppleのWebサイトの各リリー
ス説明と対応CVEは、他のベンダーのセキュリティ欠陥情報やリスク予測に関
する説明に比べ、たいへん内容が薄くほとんど詳細がない。Appleにはがっか
りしだ。
────────────────

◆契約社員 カリフォルニア州発電所でコンピュータ破壊工作をした疑いで逮
  捕(2007.4.20-21)

カリフォルニアの男性Lonnie Charles Denisonが、カリフォルニア独立系統運
用者(California Independent System Operator(Cal-ISO 局))のコンピュー
タを妨害した疑いで逮捕された。このコンピュータは、州の電力送信ラインを
統制し、エネルギー取引市場も運営しているという。Denisonのセキュリティ
アクセス権は、同僚と揉めたために使用停止になっていた。同人はリモートで
サイバー侵入をしようと試みたが失敗したため、カードキーで施設への物理的
な侵入を図った。緊急時停電装置を保護しているガラスを割ってボタンを押し、
データセンターをダウンさせたという。そのためCal-ISO局はエネルギー取引
市場にアクセスできなかったが、送電に影響はなかった。
http://www.theregister.co.uk/2007/04/20/terrorists_among_us_flee_flee/print.html
http://www.latimes.com/technology/la-fi-grid21apr21,1,5633750.story?coll=la-headlines-technology

【編集者メモ1】(Skoudis)
この事件によって、社員の退職とともにシステムから徹底的にその社員のアク
セス信用証明書を排除すべきであることが明らかになった。物理的資産と、コ
ンピュータおよびネットワークなどの資産の両方から取り除く必要性がある。
このような事件を例にとると、経営層に対してセキュリティ対策施行の重要性
を説くことが容易になる。結果、我々セキュリティ担当者が必要とする経営層
の関心とリソースを得ることができ、やるべき業務を達成しやすくなるわけだ。
【編集者メモ2】(Schultz)
この事件は、「ユーザーアクセスを無効にする際には、何種類のアクセス権を
考慮しなくてはならないか」を考えさせる恐ろしい教訓を与える。電力発電所
内で発生したということが、ことの重大さを物語っている。所内の論理アクセ
スと物理アクセスの間にあるセキュリティ問題が、何年もの間放置されていた
のだ。
────────────────

◆米国商務省 マルウェアに感染したにもかかわらずデータは一切盗まれてい
  ないと主張(2007.4.19)

先週の証言で、米国商務省(DOC)のDavid Jarrell氏は「同省がサイバー侵入者
をいかにして感知したか」「ネットワークに侵入して情報を盗もうとする侵入
者を阻止するために何を行ったか」述べた。Jarrell氏は、同省の重要なイン
フラ保護プログラムのマネージャであり、マルウェアに感染した同省の33台の
コンピュータからは、最終的に何の情報も盗まれていないと信じている。同氏
はまた、侵害されたシステムは連邦情報セキュリティマネジメント法(FISMA)
に遵守しており、「アタックは、商用のコンピュータセキュリティやネットワ
ーク監視ツール、設定基準(侵入テスト)などとは全く関係なく、インターネ
ットアクセスを用いてzero-day脆弱性を悪用する手法を用いていた。したがっ
て、セキュリティインシデントは、FISMAに準拠していても発生していた可能
性がある」と主張している。
http://www.computerworld.com/action/article.do?command=viewArticleBasic&taxonomyName=security&articleId=9017183&taxonomyId=17&intsrc=kc_top

【編集者メモ】(Paller)
FISMAの尺度にまたもや追い討ち。今やzero-day脆弱性は日常茶飯事だ。この
ニュースを見れば、zero-day脆弱性を防御する術がないと考えている政府局も、
技術力のない担当者がセキュリティを管理すれば国家が損害を被るということ
がわかったであろう。FISMAの基準は今後変わっていくだろう。FISMAの報告書
を書くことで利益を得ている人間でさえも、このような状態のまま放置してい
た時期が長すぎたと結論づけている。先週の公聴会の結果、連邦システムの防
御力を高めるガイダンスを提供するために、委員会が開かれている。
────────────────

◆悪意あるOffice文書を使用したターゲット型アタックが増加中
  (2007.4.22)

悪意あるMicrosoft Officeファイルを使用したアタックが増加している。問題
のファイルはたいてい電子メールに添付され、標的と定めた相手に送信される。
送信文書が開かれると、アタッカーは自分のいる場所からユーザーのコンピュ
ータのコントロールを奪い、接続しているコンピュータネットワークの内部を
探索できるようになってしまう。このアタックは、米国連邦政府局、核関連お
よび国防関連の政府請負業者を狙っているようだ。1年ほど前は、このような
アタックは1週間に1回か2回ほど検知されていたにすぎなかった。しかし2007
年3月、あるセキュリティ企業によると、216の政府局や組織において、悪意あ
るメールが716件傍受されたという。このようなアタックを介した侵入者によっ
て、米国務省のコンピュータがアクセス権を侵入者に獲得された経緯もある。
http://www.usatoday.com/tech/news/computersecurity/2007-04-22-cyberspies-microsoft-office_N.htm?csp=34
────────────────

◆課題でMacをハッキング(2007.4.20-23)

CanSec Westに参加しているソフトウェアエンジニアが、その開催地でSafari
Webブラウザにあるzero-day脆弱性を利用してMacBookをハッキングした。使用
したエクスプロイトは、他の参加者によって作成されたものだ。そのエクスプ
ロイトによって、そのハッカーは、ハックしたマシンに関する完全なユーザー
権限を得られたという。
http://news.com.com/2102-7349_3-6178131.html?tag=st.util.print
http://www.theregister.co.uk/2007/04/20/pwn-2-own_winner/print.html
http://www.macworld.com/news/2007/04/20/machack/index.php

【編集者メモ】(Schultz)
私はMac愛好者で、自宅にある3台のMacマシンを頻繁に使用している。しかし
同時にMacユーザーの多くが、これらのマシンにある脆弱性に気づいていない
ことを危惧している。こういったユーザーは、Macを使っているからアタック
やマルウェア感染で被害を受けないと信じている場合が多い。Macの脆弱性に
対するエクスプロイトを作成しようという気運が急激に高まっており、近い将
来、アタックが成功してしまったコンピュータとしてのMacの割合が増えるで
あろう。

■■■■■ @RISK:The Consensus Security Vulnerability Alert ■■■■■
        (原版:2007年4月24日配信 Vol.6 No.17)

@RISKは、前週1週間に発見された重大な脆弱性およびエクスプロイトをリスト
アップした脆弱性のサマリー情報です。SANS Instituteと3ComのTipping Point
チーム主導の下に作成され、12社のセキュリティ管理者で構成される「セキュ
リティマネージャ委員会」の具体的アクションも掲載されています。組織のシ
ステムを保護するために有益で的確なガイダンスを提供します。

<今週報告された脆弱性情報のサマリー>
======================================================================
カテゴリー              件数(#は本稿掲載番号)
======================================================================
サードパーティのWindowsアプリ      13 (#1,#9,#10)
Mac OS                  1 (#3)
Linux                   3
Solaris                  2 (#8)
Unix                    4
クロスプラットフォーム          14 (#4,#5,#6,#7)
Webアプリ…XSS             7
Webアプリ…SQLインジェクション     5
Webアプリケーション          35
ネットワークデバイス           1 (#2)
======================================================================

■はじめに(Alan Paller:SANS Director of Research)

今週は、Apple OS/X、Oracle、IBM TivoliおよびNortelのVPNの全てに主なセ
キュリティ脆弱性が確認された。
────────────────

1.危険度【重大】:GraceNote CDDBControl ActiveXコントロールにバッファオ
ーバーフローの脆弱性

<影響のある製品>
GraceNote CDDBControl ActiveXコントロール
このコントロールは、以下のような他の製品多数において、その製品のパーツ
として同梱されている:
Sony SonicStage
Sony CONNECT Player
Nokia PC Suite
AOL Client Software

<詳細>
Gracenoteは、消費者がデジタル媒体をより効率的に管理し、特定できるよう
にするソフトウェアを販売している。Gracenote製品は、多くののベンダーで
使用されている。GraceNote CDDBControl ActiveXコントロールは、コンパク
トディスク情報のGraceNoteデータベースアクセス時に用いられるが、これに
はバッファオーバーフローの脆弱性がある。このコントロールをインスタンス
化するWebページによってこのオーバーフローが引き起こされると、現在のユ
ーザー権限で任意のコードが実行されてしまう。このオーバーフローに関して
は、限定的な詳細情報のみがアドバイザリで公表されている。

<現状>
GraceNoteはこの問題を認めており、更新もリリースしている。ベンダーによ
って更新情報が異なるので、製品の更新情報については各製品の対応ベンダー
に問い合わせること。

<セキュリティマネージャ委員会所属企業の対応>
影響のあるソフトウェアや設定は、現在稼働していないか、極めて限定的な使
用にとどまっているため、どの委員会所属企業でも正式にサポートされていな
い。そのため、何の対策も講じる必要はないと報告されている。

<参考>
GraceNoteの更新情報
http://www.gracenote.com/corporate/FAQs.html/faqset=update/page=0
Zero Dayイニシアチブのアドバイザリ
http://zerodayinitiative.com/advisories/ZDI-07-021.html
Gracenote製品を使用しているソフトウェア
http://www.gracenote.com/prof/partners/software/
SecurityFocus BID
http://www.securityfocus.com/bid/23567
────────────────

2.危険度【高】: Nortel Networks VPNルータおよびスイッチに複数の脆弱性

<影響のある製品>
Nortel Networks VPNルータシリーズ 1010、1050、1100、1700、1740、1750、
2700および5000 Nortel
Networks Contivity VPNスイッチシリーズ1000、2000および4000

<詳細>
VPN機能を提供するNortelルータやスイッチには複数の脆弱性がある。これら
の脆弱性は、プライベートネットワークへのアクセス権を獲得するため、もし
くはVPNルータやスイッチを侵害するために悪用される。

(a)VPNルータには、デフォルトのユーザーアカウント2つ、"FIPSecryptedtest
1219"と"FIPSunecryptedtest1219"があり、これらはLDAPテンプレートに保存
されている。これらアカウントは起動時のシステム診断に使用されるが、シス
テムマネージャからはわからない。アタッカーは、これらのアカウントを悪用
してプライベートネットワークへのアクセス権を獲得してしまう。

(b)VPNルータ・webマネジメント・コンソールには認証回避脆弱性がある。細
工されたURLを使用して認証証明書なしに特定の管理ページにアクセスできて
しまう。アタッカーがVPNデバイスを侵害して、さらなるアタックを遂行する
ためにプライベートネットワークを開いてしまうおそれがある。

<現状>
Nortelはこの問題を認めており、更新もリリースしている。Nortelアドバイザ
リには回避策が掲載されている。

<参考>
Nortelのアドバイザリ
http://www116.nortelnetworks.com/pub/repository/CLARIFY/DOCUMENT/2007/16/022181-01.pdf
製品のホームページ
http://products.nortel.com/go/product_content.jsp?parId=0&segId=0&catId=
-9972&prod_id=8548&locale=en-US
SecurityFocus BID
http://www.securityfocus.com/bid/23562
────────────────

3.危険度【高】:Apple Mac OS Xに複数の脆弱性(セキュリティ更新2007-004)

<影響のある製品>
Apple Mac OS X 10.4.9
Apple Mac OS X Server 10.4.9

<詳細>
Appleの最新セキュリティ更新は、Mac OS Xにある複数の脆弱性に対処してい
る。デフォルト設定や一般的な設定に2つの脆弱性があり、現ユーザー権限で
任意のコードが実行されてしまうおそれがある。

(a)Mac OS Xのファイルシステムチェック・ユーティリティ'fsck'実装は、不
正形式のUnix Filesystem(UFS)を正確に処理できない。Mac OS XはUFSを使用
してディスクイメージの作成をサポートしている。細工されたUFSディスクイ
メージによって、fsckが画像を開く特に実行されると、この脆弱性が悪用され
る。ディスクイメージは、アプリケーションやその他のファイルのトランスフ
ァー時に用いられるが、その際プロンプトなしで開かれてしまう場合があるの
で注意が必要だ。

(b)細工されたWebページによって"libinfo"ライブラリ(WebKitフレームワーク
によって使用される)に不正なメモリアクセスが生じる。SafariはこのWebKit
を使用しているので、脆弱性がある。Mac OS Xの全てのユーザーは直ちに更新
しなければならない。

この更新でパッチが適用された脆弱性の中には他に、FTPサーバ・サブシステ
ムでの認証リモートコード実行、インターネット接続の共有がオンのときのリ
モートコード実行、Mac OS Xにあるサードパーティソフトウェアの脆弱性、さ
まざまな情報開示脆弱性、いろいろなローカル権限昇格脆弱性などがある。

<現状>
Appleはこの問題を認めており、更新をリリースしている。このセキュリティ
更新は、Mac OS Xの「ソフトウェアアップデート」で自動的に配信されるよう
になっている。

<参考>
Appleのセキュリティアドバイザリ
http://docs.info.apple.com/article.html?artnum=305391
Secuniaのセキュリティアドバイザリ
http://secunia.com/advisories/23540/
@RISKのバックナンバーに掲載された関連記事
http://www.sans.org/newsletters/risk/display.php?v=4&i=28#widely9
http://www.sans.org/newsletters/risk/display.php?v=6&i=5#widely8
Disk ImageについてのWikipediaの説明
http://en.wikipedia.org/wiki/.dmg
fsckについてのWikipediaの説明
http://en.wikipedia.org/wiki/Fsck
────────────────

4.危険度【高】: Oracleの重大なパッチ更新(2007年4月期)

<影響のある製品>
複数のOracle製品のさまざまなバージョンが影響を受ける。ユーザーはOracle
のアドバイザリを見て、使用製品への影響の有無を確認すること。

<詳細>
Oracleの重大なパッチ更新は、さまざまなOracle製品の多数の脆弱性に対処し
ている。最も重大なのは、OracleデータベースやE-Business Suite製品のさま
ざまなパックにあるSQLインジェクション脆弱性であり、昇格された権限で任
意の命令文を実行できるようになってしまう。公開されたWebサイトにあるSQL
インジェクション脆弱性を介してデータベースのSQL命令文を実行できるので
注意が必要だ。その他今回の更新で、いろいろなDoS脆弱性、セキュリティポ
リシー回避脆弱性、クロスサイトスクリプティング脆弱性などにパッチが適用
された。Oracle DatabaseおよびE-Business Suite製品のユーザーは、どちら
かの製品にアクセス可能な状態にあるか、もしくはそれらの製品が公開された
Webサイトによって使用されているか、信頼できないユーザーがデータベース
へアクセス可能になっている場合は、すぐに更新するべきである。

<現状>
Oracleはこの問題を認めており、更新をリリースしている。これらの脆弱性の
中には、最高で5年もの間パッチを適用されていないものもあるので注意が必
要だ。

<セキュリティマネージャ委員会所属企業の対応>
委員会所属企業のほとんどが、影響のあるソフトウェアを使用していた。通常
の問合せとテストの完了後、次期定例メンテナンススケジュールに合わせてパ
ッチを適用する予定である。拠点へ及ぶ影響をまだ調査中の企業もある。

<参考>
Oracle重大なパッチ更新
http://www.oracle.com/technology/deploy/security/critical-patch-updates/cpuapr2007.html
Zero Dayイニシアチブのアドバイザリ
http://zerodayinitiative.com/advisories/ZDI-07-017.html
http://zerodayinitiative.com/advisories/ZDI-07-016.html
NGSソフトウェアのアドバイザリ
http://www.ngssoftware.com/research/papers/NGSSoftware-OracleCPUAPR2007.pdf
Red Databaseのセキュリティアドバイザリ
http://archives.neohapsis.com/archives/bugtraq/2007-04/0299.html
http://archives.neohapsis.com/archives/bugtraq/2007-04/0300.html
http://archives.neohapsis.com/archives/bugtraq/2007-04/0302.html
http://archives.neohapsis.com/archives/bugtraq/2007-04/0340.html
http://archives.neohapsis.com/archives/bugtraq/2007-04/0304.html
SHATTERチームのアドバイザリ
http://archives.neohapsis.com/archives/bugtraq/2007-04/0313.html
SecurityFocus BID
http://www.securityfocus.com/bid/23532
────────────────

5.危険度【高】:Novell Groupwise WebAccessにバッファオーバーフローの脆
弱性

<影響のある製品>
Novell GroupWise WebAccess

<詳細>
Novell GroupWise WebAccessは、GroupWiseシステムにWebアクセスを提供する
際用いられるが、バッファオーバーフロー脆弱性がある。このオーバーフロー
は、ベース64の335バイト暗号化データが送信されると、HTTPベーシック認証
中に引き起こされる。このバッファオーバーフローの悪用により、サーバ・プ
ロセスの権限で任意のコードを実行できるようになってしまう。この脆弱性の
技術的詳細が公表されている。

<現状>
Novellはこの問題を認めており、更新をリリースしている。ユーザーは、TCP
7205番・7211番ポートをネットワーク境界でブロックすれば、この脆弱性の影
響を軽減できる。しかしこの措置を施してしまうと、影響ありとされるアプリ
ケーションへの正当なアクセスも阻止されてしまうので、注意が必要だ。

<セキュリティマネージャ委員会所属企業の対応>
影響のあるソフトウェアや設定は、現在稼働していないか、極めて限定的な使
用にとどまっているため、どの委員会所属企業でも正式にサポートされていな
い。そのため、何の対策も講じる必要はないと報告されている。

<参考>
Zero Dayイニシアチブのアドバイザリ
http://zerodayinitiative.com/advisories/ZDI-07-015.html
Novellの更新ダウンロード
http://download.novell.com/Download?buildid=8RF83go0nZg~
http://download.novell.com/Download?buildid=O9ucpbS1bK0~
SecurityFocus BID
http://www.securityfocus.com/bid/23556
────────────────

6.危険度【高】: BMC Performance ManagerおよびPatrolに複数の脆弱性

<影響のある製品>
BMC Performance Manager
BMC Patrol

<詳細>
BMC Performance Manager製品は、ネットワークやあらゆるアプリケーション、
データベース、OSの可用性やパフォーマンを管理するために設計された。し
かしBMCの2製品、Performance ManagerとPatrolには脆弱性がある。

(a)BMC Performance Managerの"PatrolAgent.exe"コンポーネントへのリクエ
スト処理には、脆弱性がある。このコンポーネントはTCP3181番ポートでリッ
スンされるようになっている。しかし、これは正確にユーザーインプットを消
毒できないため、製品の設定を任意で改変できるようになり、Simple Network
Management Protocol(SNMP)設定を改変すれば、影響のあるプロセス権限でSNMP
リクエストを介して任意のコードを実行できるようになってしまう。この脆弱
性の技術的詳細が公表されている。

(b)BMC Patrolには、"bgs_sdservice"コンポーネントへのリクエストの処理に
脆弱性がある。このコンポーネントはTCP10128番ポートでリッスンされるよう
になっている。細工されたExternal Data Representation(XDR)文字列をこの
コンポーネントに送信すれば、メモリ崩壊が引き起こされる。この脆弱性が悪
用されれば、影響を受けるプロセスによって任意のコードを実行できるように
なってしまう。その詳細が公表されている。

<現状>
BMCはこの問題を認めており、更新もリリースしている。BMCによると、(a)の
問題は、「正確に設定されたシステム」上では脆弱でないため、脆弱性ではな
いという。

<セキュリティマネージャ委員会所属企業の対応>
影響のあるソフトウェアや設定は、現在稼働していないか、極めて限定的な使
用にとどまっているため、どの委員会所属企業でも正式にサポートされていな
い。そのため、何の対策も講じる必要はないと報告されている。

<参考>
Zero Dayイニシアチブのアドバイザリ
http://zerodayinitiative.com/advisories/ZDI-07-019.html
http://zerodayinitiative.com/advisories/ZDI-07-020.html
XDRについてのWikipediaの説明
http://en.wikipedia.org/wiki/External_Data_Representation
SNMPについてのWikipediaの説明
http://en.wikipedia.org/wiki/Simple_Network_Management_Protocol
製品のホームページ
http://www.bmc.com/products/products_services_detail/0,,0_0_0_2001,00.html
SecurityFocus BIDs
http://www.securityfocus.com/bid/23559
http://www.securityfocus.com/bid/23557
────────────────

7.危険度【高】:IBM Tivoli Monitoring Expressの Universal Agentにバッフ
ァオーバーフローの脆弱性

<影響のある製品>
IBM Tivoli Monitoring Express 6.1までのバージョン

<詳細>
企業環境にある他のシステムを監視するときに用いられるIBM Tivoli
Monitoring Expressには、脆弱性がある。この脆弱性は、さまざまなサービス
へのリクエストの処理に存在する。Tivoli Universal Agent Primary Service、
Tivoli Enterprise Portal Server、もしくは、Windows OS用Tivoli
Monitoring Agentに、過剰に長い文字列を送信すれば、"kde.dll"共有ライブ
ラリにバッファオーバーフローを引き起こせるようになってしまう。バッファ
オーバーフローが悪用されれば、影響を受けるプロセスの権限で任意のコード
が実行されてしまう。この脆弱性の技術的詳細が公表されている。

<現状>
IBMはこの問題を認めており、更新をリリースしている。可能であれば、TCP
10100番・6014番・14206番ポートをネットワーク境界でブロックするとよい。

<セキュリティマネージャ委員会所属企業の対応>
影響のあるソフトウェアや設定は、現在稼働していないか、極めて限定的な使
用にとどまっているため、どの委員会所属企業でも正式にサポートされていな
い。そのため、何の対策も講じる必要はないと報告されている。

<参考>
Zero Dayイニシアチブのアドバイザリ
http://zerodayinitiative.com/advisories/ZDI-07-018.html
IBM Tivoliの修正パック
http://www-1.ibm.com/support/docview.wss?uid=swg24012341
SecurityFocus BID
http://www.securityfocus.com/bid/23558
────────────────

8.危険度【高】: Sun Java Web Consoleに書式文字列の脆弱性

<影響のある製品>
Sun Java Web Consoleのバージョン 2.2.2 - 2.2.5

<詳細>
インストールされたJavaベースの管理ツールに中央インタフェースを提供する
Sun Java Web Consoleには、書式文字列の脆弱性がある。システムに細工され
たログインリクエストを送信すれば、未認証のアタッカーでも、この脆弱性を
利用することが可能だ。悪用されれば、Java Web Consoleのプロセスで任意の
コードを実行できるようになってしまう。この脆弱性の技術的詳細が公表され
ている。

<現状>
Sunはこの問題を認めており、更新をリリースしている。

<セキュリティマネージャ委員会所属企業の対応>
影響のあるソフトウェアや設定は、現在稼働していないか、極めて限定的な使
用にとどまっているため、どの委員会所属企業でも正式にサポートされていな
い。そのため、何の対策も講じる必要はないと報告されている。

<参考>
n.runs AG のアドバイザリ
http://archives.neohapsis.com/archives/bugtraq/2007-04/0286.html
Sunのセキュリティアドバイザリ
http://sunsolve.sun.com/search/document.do?assetkey=1-26-102854-1
Sun Java Web Consoleの概要
http://docs.sun.com/app/docs/doc/817-1985/6mhm8o5kh?a=view
SecurityFocus BID
http://www.securityfocus.com/bid/23539
────────────────

9.危険度【高】: Akamai Download Managerに複数のActiveX脆弱性

<影響のある製品>
Akamai Download Manager 2.2.1.0 までのバージョン
Download Managerは、Javaアプレットか、もしくはActive Xコントロールとし
て販売されている。しかし、このうちActive Xバージョンのみが脆弱である。

<詳細>
Akamaiのダウンロード管理アプリケーションとして広範囲で使用されている
Akamai Download ManagerのActiveXバージョンには、複数の脆弱性がある。悪
意あるWebページが、このActiveXコントロールをインスタンス化して悪意ある
URLを引き渡すと、これらの脆弱性が利用され、現在のユーザー権限で任意の
コードが実行されてしまう。
Akamai Download Managerのユーザーのみが脆弱である。Akamaiコンテンツネ
ットワークからコンテンツをダウンロードしているユーザーは、この脆弱性の
影響を受けない。

<現状>
Akamaiはこの問題を認めており、更新もリリースしている。

<セキュリティマネージャ委員会所属企業の対応>
影響のあるソフトウェアや設定は、現在稼働していないか、極めて限定的な使
用にとどまっているため、どの委員会所属企業でも正式にサポートされていな
い。そのため、何の対策も講じる必要はないと報告されている。

<参考>
Akamaiのセキュリティアドバイザリ
http://archives.neohapsis.com/archives/bugtraq/2007-04/0254.html
iDefenseのセキュリティアドバイザリ
http://archives.neohapsis.com/archives/bugtraq/2007-04/0259.html
SecurityFocus BID
http://www.securityfocus.com/bid/23522
────────────────

10.危険度【高】:LANDesk Management Suiteにバッファオーバーフローの脆弱


<影響のある製品>
LANDesk Management Suite 8.7もしくはそれ以前のバージョン

<詳細>
広範囲で使用されているシステム管理アプリケーション、LANDesk Management
Suiteにはバッファオーバーフローの脆弱性がある。"AOLNSRVR.EXE"プロセス
に、268バイト以上のリクエストを送信すると、このバッファオーバーフロー
を引き起こすことが可能になる。このバッファオーバーフローが悪用されれば、
SYSTEM権限で任意のコードを実行できるようになってしまう。

<現状>
LANDeskはこの問題を認めており、更新もリリースしている。UDP65535番ポー
トをネットワーク境界でブロックすれば、この脆弱性の影響を軽減できる。

<セキュリティマネージャ委員会所属企業の対応>
委員会所属企業のうち1社のみが影響のあるソフトウェアを使用していた。同
社は現在パッチの適用を推進中である。

<参考>
TippingPointセキュリティ研究チームのアドバイザリ
http://www.tippingpoint.com/security/advisories/TSRT-07-04.html
LANDeskのセキュリティアドバイザリ
http://kb.landesk.com/display/4n/kb/article.asp?aid=4142
LANDeskのホームページ
http://www.landesk.com
SecurityFocus BID
http://www.securityfocus.com/bid/23483

=======
ここに掲載されている情報は、e-mailを介して自由に他の方に再送していただ
いて結構です。ただし、サイトへの掲載は禁じます。日本語版の無料購読を希
望する方は下記までご連絡ください。

このメールは、SANS関連のイベントに参加された方、NRIセキュアからの情報
を希望された方を中心に配信しています。
配信を希望されない方は、恐れ入りますが件名に「配信停止」とお書きいただ
き、info@nri-secure.co.jpまたはinfo@sans-japan.jpまで返信してくだい。