Oracle 10gの未解決の脆弱性情報、研究者が公開

Oracleは11.xのパッチを公開したが、10gまでのバージョンについては、サポートが終了していることを理由にパッチは公開していないという。

[鈴木聖子，ITmedia]

　米セキュリティ機関のSANS Internet Storm Centerは1月30日、「Oracle 10g」に存在する未解決の脆弱性情報が公開され、脆弱性検証ツールMetasploitにこの脆弱性を突くモジュールが追加される見通しだと伝えた。

　脆弱性を発見したのは米ペンシルベニア大学の研究者ダナ・テイラー氏。同氏のブログによると、2011年4月から10月にかけて、10.xと11.xの「Oracle Forms and Reports」に2件の脆弱性が見つかった。

　同氏の情報をもとに、テキサス大学はこの脆弱性を使ってサーバ上にファイルを挿入する方法を発見。「これでこの脆弱性は恐ろしく危険なものになった」（テイラー氏）という。

　テイラー氏の報告を受け、Oracleは後に11.xのパッチを公開した。しかし10gまでのバージョンについては、サポートが終了していることを理由にパッチは公開せず、回避策の説明にとどめているという。

　Oracleのこうした対応を受け、テイラー氏はこのほど脆弱性情報の公開に踏み切ることを決め、Metasploitにも情報を提供する意向を明らかにした。「Oracle Reportsの古いバージョンを使い続けている企業や政府機関は多数ある」と警告している。

　SANS Internet Storm Centerでは、「もし何らかの理由でまだOracle 10gまでのバージョンを使っている場合、回避策をチェックするか、11gにアップグレードしてほしい」と呼び掛けている。

SANSの注意喚起