IDSなどCA製品に深刻度「高」の脆弱性

CAの各種製品に使われている「CA Message Queuing」と、不正侵入検知システム「eTrust Intrusion Detection」に脆弱性が見つかった。

[ITmedia]

　CAの各種セキュリティ製品に使われている「CA Message Queuing」ソフトと、不正侵入検知システム（IDS）「eTrust Intrusion Detection」に脆弱性が見つかった。同社はそれぞれの問題を修正するアップデートをリリースしている。

　仏FrSIRTのアドバイザリーによると、eTrust Intrusion Detectionの脆弱性は「Caller.dll」ActiveXコントロールのエラーに起因する。悪用されると攻撃者がユーザーをだまして悪質なWebページを閲覧させ、任意のコードを実行、システムを完全に制御することが可能になる。

　影響を受けるのはeTrust Intrusion Detection 3.0および3.0 SP1。深刻度評価は、FrSIRTが4段階で最も高い「Critical」、Secuniaのアドバイザリーでも5段階で上から2番目の「Highly critical」にランクされている。

　一方、CA Message Queuingソフトの脆弱性は、FrSIRTが深刻度「Critical」、Secuniaは5段階で中程度の「Moderately critical」となっている。影響を受けるのは、「Advantage Data Transport」「BrightStor」「CleverPath」「eTrust Admin」「Unicenter」などの各シリーズ製品。

　この問題は、CA Message Queuingのスタックオーバーフローが原因で発生。TCP 3104番ポートに細工を施したメッセージを送りつけることにより、リモートの攻撃者がアプリケーションをクラッシュさせたり任意のコードを実行することが可能になる。

　CAでは各製品／バージョンごとにパッチを提供している。