Sun ONE Application Serverにバッファオーバーフロー脆弱性

■URL
http://www.atstake.com/research/advisories/2003/a031303-1.txt
http://wwws.sun.com/software/download/products/3e3afb89.html

　セキュリティーコンサルティング企業米@Stakeは13日、「SunONE Application Server 6.x」にバッファオーバーフロー脆弱性が存在するとのアドバイザリーを発表した。対策を講じなければ、Webサーバーを乗っ取られる可能性もある。

　@Stakeのアドバイザリーによると、問題が発見されたのは、SunONE Application Server（旧名iPlanet Application Server）のSunONE Web Serverに組み込まれているNSAPIプラグインモジュール。このモジュールが非常に長いURIを扱うことができないため、オーバーフローを起こしてしまうという。

　SunONE Application Server 6.5では、Sunが配布しているSP1を当てることで問題を解決できる。ただし、バージョン6.0は修正パッチが提供されていないため、独自の対策を講じなければならない。またバージョン6.5を使用していても、SP1を当てたくない場合には、同様に対策が必要だ。

　@Stakeが提案している対策方法は、非常に長いURIなどのHTTPリクエストを拒否するなどというもの。例えば、SunONE Web Serverより外側のSSLセッションを停止し、IDSを使って非常に長いURIを検知するフィルターを置くことなどが考えられる。また、@Stakeでは、長いURIを探知してエラーを返すためのNSAPIモジュールのサンプルコードを公開しており、このコードを使って問題を処理することもできる。

　Netcraftの調査によると、2003年2月時点でアクティブなWebサイトのうち、1.33％がSunONE Web Serverを使用しているという。

◎関連記事
■米Sun、「iPlanet」などのソフトウェア製品を「Sun ONE」ブランドに統一

(2003/3/17)

[Reported by 青木大我（taiga@scientist.com）]