米サンのサーバソフトウェアにセキュリティホール

　セキュリティコンサルタント企業の米@Stakeは米国時間3月13日、米Sun MicrosystemsのWebサーバ、Sun ONE Application Serverにセキュリティホールがあるとの警告を発表した。ハッカーがこれを悪用してWebサイトを乗っ取る可能性があるという。

　セキュリティホールは、Sun ONE Application Server（旧称iPlanet Enterprise Server）のNetscapeサーバのプラグイン、Connector Moduleで見つかった。Connector Moduleは、Sun ONE Application ServerとSun ONE Web Serverをつなげるモジュールで、一定サイズのバッファを利用して、サーバに送られた情報リクエストを登録する。攻撃者は非常に長いデータを送ることでサーバのデータを上書きし、サーバの管理権を乗っ取ることができる。

　@Stakeは「昨年5月に、このセキュリティホールについてSunに通告したが、何の反応も得られなかったと」述べている。

　セキュリティホールの影響を受けるのは、Application Serverのバージョン6.0と6.5。@Stakeによると、Sunが出しているパッチでバージョン6.5の問題は修復できるが、バージョン6.0に対応するパッチは配布されていないという。@Stakeは、バージョン6.0を利用している企業に対し、問題の回避策をいくつか発表している。

　Sunは、「バージョン6.0を利用している顧客企業がもうほとんどないため、パッチを出していない」と述べており、@Stakeの発表しているものと同様の回避策を推奨している。なお、Sunによると、このセキュリティホールを悪用した攻撃による被害はまだ１件も報告されていないという。