「Netscape Directory Server」など複数のLDAPサーバに脆弱性

JPCERT/CCやUS-CERTは1月11日、LDAPを実装したディレクトリサーバのいくつかにバッファオーバーフローの脆弱性が存在するとし、情報を公開した。

[ITmedia]

　JPCERT コーディネーションセンター（JPCERT/CC）とIPAが運営するJVNは1月11日、LDAPを実装したディレクトリサーバのいくつかにバッファオーバーフローの脆弱性が存在するとし、情報を公開した。US-CERTも同時に脆弱性情報を公開している。

　今回指摘された問題はLDAPサーバの更新処理に起因するもので、更新情報として入力された文字列の長さをチェックしないことが原因でバッファオーバーフローが発生する。つまり、攻撃者に細工を施した文字列を入力されるとLDAPサービスがDoS状態に陥り、サービスが停止する恐れがある。ワーム流行などにつながる可能性のある緊急性の高い問題、というほどではないが、悪用されれば社内で利用している各種サービスに影響が出るおそれがある。

　JVNおよびUS-CERTの情報によれば、今のところこの脆弱性が存在することが判明しているのはRedHatの「Netscape Directory Server version 6.21以前」と日立の「Hitachi Directory Server Version 2」。HPの製品にも脆弱性が存在するというが、詳細は明らかにされていない。またOpenLDAPには問題は存在しないが、他の多くのLDAPサーバについては「Unknown（調査中）」という状態だ。

　利用している製品が影響を受ける場合、基本的な解決策は、ベンダーが提供するパッチを適用すること。ただ、何らかの要因でパッチが適用できない環境では、不必要なアクセスを許可しないよう、LDAPサービスが利用するTCP 389／636ポートを外部から利用できないように設定するなどして問題を回避すべきという。

　　LDAPは、ユーザーや各種リソースに関する情報を階層的に格納し、管理するために用いられるプロトコル。オープンソースの「OpenLDAP Server」のほかMicrosoftの「Active Directory」やSunの「iPlanet Directory Server」など、多くの商用製品に実装され、アカウントや電話番号の管理、認証、Webサービスといった幅広い用途に利用されている。