CAの各種製品に使われている「CA Message Queuing」と、不正侵入検知システム「eTrust Intrusion Detection」に脆弱性が見つかった。
CAの各種セキュリティ製品に使われている「CA Message Queuing」ソフトと、不正侵入検知システム(IDS)「eTrust Intrusion Detection」に脆弱性が見つかった。同社はそれぞれの問題を修正するアップデートをリリースしている。
仏FrSIRTのアドバイザリーによると、eTrust Intrusion Detectionの脆弱性は「Caller.dll」ActiveXコントロールのエラーに起因する。悪用されると攻撃者がユーザーをだまして悪質なWebページを閲覧させ、任意のコードを実行、システムを完全に制御することが可能になる。
影響を受けるのはeTrust Intrusion Detection 3.0および3.0 SP1。深刻度評価は、FrSIRTが4段階で最も高い「Critical」、Secuniaのアドバイザリーでも5段階で上から2番目の「Highly critical」にランクされている。
一方、CA Message Queuingソフトの脆弱性は、FrSIRTが深刻度「Critical」、Secuniaは5段階で中程度の「Moderately critical」となっている。影響を受けるのは、「Advantage Data Transport」「BrightStor」「CleverPath」「eTrust Admin」「Unicenter」などの各シリーズ製品。
この問題は、CA Message Queuingのスタックオーバーフローが原因で発生。TCP 3104番ポートに細工を施したメッセージを送りつけることにより、リモートの攻撃者がアプリケーションをクラッシュさせたり任意のコードを実行することが可能になる。
CAでは各製品/バージョンごとにパッチを提供している。
Copyright © ITmedia, Inc. All Rights Reserved.