CERT/CC

Advisories

Tech Tips

Incident Notes

Summaries

和訳版

最近版

全CERT勧告

Tech Tips

CERT Advisory 2001-29

この文書はCERT Advisory文書の和訳である。和訳については一切の保証はしない。この文書を使った結果のあらゆる損害等について訳者は一切責を負わない。また、転載は禁じる。
この和訳は文書の性質上、in rushであり、訳の自然さよりも訳出の迅速さを目指している。内容の正確さについては訳者としての良心から可能な限り気をつけているが、通常の翻訳であれば訳の改善を図るために訳語等で悩む時間を極力圧縮しているため、不自然なところが残っているかもしれない。指摘は歓迎である。なお、読者対象は文書の性質上、ネットワーク管理者等であるため、この読者層に通じやすい訳語選定を心がけている。
この和訳はあくまでも訳者の個人的な関心に基づいて行われている。今後、飽きるまでは原則として24時間以内の翻訳を目指す(この迅速さがどこまでできるかが訳者の関心である)が、予告なく遅延、終了することがある。
本文書の和訳について、CERTから翻訳許諾は受けていない。別所で CERTと契約を行って翻訳を行っているところがある。なお、本翻訳はその翻訳を一切参照していない。特にその必要を感じないからでもあるが、本質的に翻訳は訳者の解釈の塊であり、複数の独立した翻訳があることで、注意深い読者が比較検討して、読者の判断で何が正しいのかを判断できると考えるためである。
この翻訳に対して、しかるべきところから明示的に翻訳拒絶の連絡を受けた場合を除き、本翻訳は訳者の責任において公開する。ただし、内容についての責任は最初に書いたように負わない。
訳者は大阪女子大学情報センター講師の橋本喜代太(hash@reasoning.org, hash@center.osaka-wu.ac.jp) である。ただし、本文書の訳出に当たって、大学当局は何ら関係ない。
関連文書はここにリストがある。

CERT^® Advisory CA-2001-29
Oracle9iASの Web Cacheにバッファオーバフローの脆弱性がある

Original release date: October 25, 2001
Last revised: --
Source: CERT/CC

本文書の完全な履歴は文書末尾にある。

影響を受けるシステム

以下を動作させているシステム:

Oracle9iAS Web Cache

概要

Oracle9iAS Web Cacheにはリモートから付け入ることのできるバッファオーバフロー問題があり、侵入者は任意のコードを実行したり、 Web Cacheの通常動作を妨害したりすることができる。

I. 説明

Defcom Labsが発見したことだが、(すべてのプラットフォームで) Oracle9iAS Web Cacheにはリモートから付け入ることのできるバッファオーバフロー問題があり、侵入者はWeb Cacheプロセスに付与された権限レベルで任意のコードを実行したり、Web Cacheの通常動作を妨害したりすることができる。Oracle9iAS Web Cacheは4種類のウェブサービスを提供しているが、このすべてが脆弱であり、ソフトウェアがインストールされた時点ではデフォルトですべてが有効になっている。これらウェブサービスについてさらに詳しくは次を参照されたい。

Oracle9iAS Web Cache Administration and Deployment Guide (登録が必要))

これらサービスと、それぞれに関連したポート番号とを以下にまとめておく。

1100/tcp (incoming web cache proxy)
4000/tcp (administrative interface)
4001/tcp (web XML invalidation port)
4002/tcp (statistics port)

この脆弱性に関する詳しい情報は以下で入手できる。

http://otn.oracle.com/deploy/security/pdf/webcache.pdf

http://www.securityfocus.com/archive/1/3BCEE434.F597D815@defcom.com

II. 影響

侵入者はWeb Cacheプロセスに付与された権限レベルで任意のコードを実行でき、また、Web Cacheの通常動作を妨害できる。また、侵入者は Web Cacheが動作しているホストを通過する秘匿すべき情報やその他の機密的情報を傍受したり改竄したりすることができる可能性がある。さらに、侵入者は、Web Cacheをネットワークへの侵入地点として利用したり、 Web Cacheと他のシステム間の既存の信頼関係を悪用したりして、他のシステムにアクセスすることもできる可能性がある。

III. 解決策

Oracleが発行する修正パッチをインストールせよ。詳しくはAppendix Aを参照されたい。

Appendix A. - ベンダ情報

このAppendixでは、この勧告に対してベンダが提供してくれた情報を掲載している。ベンダがCERT/CCに対して新たな情報を報告してきてくれた際は、このセクションを更新し、更新履歴に変更点を記載する。特定のベンダが掲載されていない場合、それは我々が連絡を受け取っていないことを意味している。

Oracle

Please see http://otn.oracle.com/deploy/security/pdf/webcache.pdf

Appendix B. - 参照文献

この脆弱性を発見し、独自勧告で情報を公開したDefcom SecurityにCERT/CC は感謝を表する。また、この問題について勧告を発行したOracleにも感謝する。

著者: Ian A. Finlay.

本文書の原文は http://www.cert.org/advisories/CA-2001-29.htmlである。

CERT/CC Contact Information

Email: cert@cert.org
Phone: +1 412-268-7090 (24-hour hotline)
Fax: +1 412-268-6989
Postal address:

CERT Coordination Center
Software Engineering Institute
Carnegie Mellon University
Pittsburgh PA 15213-3890
U.S.A.

CERT/CC personnel answer the hotline 08:00-17:00 EST(GMT-5) / EDT(GMT-4) Monday through Friday; they are on call for emergencies during other hours, on U.S. holidays, and on weekends.

Using encryption

We strongly urge you to encrypt sensitive information sent by email. Our public PGP key is available from

http://www.cert.org/CERT_PGP.key

If you prefer to use DES, please call the CERT hotline for more information.

Getting security information

CERT publications and other security information are available from our web site

http://www.cert.org/

To subscribe to the CERT mailing list for advisories and bulletins, send email to majordomo@cert.org. Please include in the body of your message

subscribe cert-advisory

* "CERT" and "CERT Coordination Center" are registered in the U.S. Patent and Trademark Office.

NO WARRANTY
Any material furnished by Carnegie Mellon University and the Software Engineering Institute is furnished on an "as is" basis. Carnegie Mellon University makes no warranties of any kind, either expressed or implied as to any matter including, but not limited to, warranty of fitness for a particular purpose or merchantability, exclusivity or results obtained from use of the material. Carnegie Mellon University does not make any warranty of any kind with respect to freedom from patent, trademark, or copyright infringement.

Conditions for use, disclaimers, and sponsorship information

Revision History

October 25, 2001:  initial release

この翻訳は橋本喜代太(hash@reasoning.org)が行った。翻訳公開は原文を受け取ってから(訳者の使用しているPOPサーバにメールが届いた時点であり、訳者自身がメールを見た時点ではない) 約7時間後である。

本和訳の改訂履歴
2001年10月26日午後6時50分 (JST) 初版公開

訳者並びに連絡先: 橋本喜代太