Lotus Dominoに未解決の脆弱性、Shadow Brokersの流出情報で発覚

[鈴木聖子，ITmedia]

　米カーネギーメロン大学のセキュリティ機関CERT/CCは4月17日、IBM Lotus Dominoで発覚した未解決の脆弱（ぜいじゃく）性に関するセキュリティ情報を公開した。報道によると、米国家安全保障局（NSA）のハッキングツール流出にかかわったとされる集団「Shadow Brokers」が新たに公開した情報の中に、この脆弱性を突くエクスプロイトが含まれていた。

　CERT/CCによると、脆弱性はIMAPサーバでEXAMINEコマンドを処理する際のバッファオーバーフロー問題に起因する。悪用された場合、認証された攻撃者が細工を施したコマンドを送り付けることにより、リモートで任意のコードを実行できてしまう恐れがある。

CERT/CCによると、悪用された場合、認証された攻撃者が細工を施したコマンドを送り付けることにより、リモートで任意のコードを実行できてしまう恐れがある

　影響を受けるのはDominoサーバの9.0.1FP8までのバージョン。危険度は共通脆弱性評価システム（CVSS）のベーススコアで9.0（最大値は10.0）と、極めて高い。この脆弱性を突くエクスプロイトは、「EMPHASISISMINE」のコード名で公開されていたという。

　現時点で、この問題の現実的な解決策は存在しない。Microsoftの脆弱性緩和ツールEnhanced Mitigation Experience Toolkit（EMET）を利用すれば、攻撃を防ぐ一助になるとしている。