ニュース
» 2014年01月31日 07時22分 UPDATE

Oracle 10gの未解決の脆弱性情報、研究者が公開

Oracleは11.xのパッチを公開したが、10gまでのバージョンについては、サポートが終了していることを理由にパッチは公開していないという。

[鈴木聖子,ITmedia]

 米セキュリティ機関のSANS Internet Storm Centerは1月30日、「Oracle 10g」に存在する未解決の脆弱性情報が公開され、脆弱性検証ツールMetasploitにこの脆弱性を突くモジュールが追加される見通しだと伝えた。

 脆弱性を発見したのは米ペンシルベニア大学の研究者ダナ・テイラー氏。同氏のブログによると、2011年4月から10月にかけて、10.xと11.xの「Oracle Forms and Reports」に2件の脆弱性が見つかった。

 同氏の情報をもとに、テキサス大学はこの脆弱性を使ってサーバ上にファイルを挿入する方法を発見。「これでこの脆弱性は恐ろしく危険なものになった」(テイラー氏)という。

 テイラー氏の報告を受け、Oracleは後に11.xのパッチを公開した。しかし10gまでのバージョンについては、サポートが終了していることを理由にパッチは公開せず、回避策の説明にとどめているという。

 Oracleのこうした対応を受け、テイラー氏はこのほど脆弱性情報の公開に踏み切ることを決め、Metasploitにも情報を提供する意向を明らかにした。「Oracle Reportsの古いバージョンを使い続けている企業や政府機関は多数ある」と警告している。

 SANS Internet Storm Centerでは、「もし何らかの理由でまだOracle 10gまでのバージョンを使っている場合、回避策をチェックするか、11gにアップグレードしてほしい」と呼び掛けている。

olcval01.jpg SANSの注意喚起

Copyright © ITmedia, Inc. All Rights Reserved.

ピックアップコンテンツ

- PR -

注目のテーマ

マーケット解説

- PR -