IBM、Lotus Notesの深刻な脆弱性を修正

　IBMは、同社の製品「Lotus Notes 1-2-3」で使用されるサードパーティ製のソフトウェアコンポーネントに非常に重大な脆弱性が見つかったことを受け、この脆弱性を修正するためのパッチを公開した。

　ユーザーが悪質な添付ファイルを開くと、Lotus Notes 1-2-3がLotus Worksheet形式のファイルを処理し、バッファオーバーフローが発生する可能性がある。Core Security Technologiesは、米国時間11月27日に出した安全に対する注意を呼びかける声明で、この脆弱性により、悪意を持った攻撃者にシステムを遠隔操作されたり、コードを勝手に実行されたりする可能性がある、としている。

　同声明はまた、「特定の脆弱性がサードパーティ製コンポーネントに存在するとしても、問題はそれだけではなく、ユーザーに不用意にファイルを開かせてしまう、Lotus Notes 1-2-3の添付ファイル情報の表示方法にもある」としている。

　一例を挙げると、Lotus NotesはMIME Content-typeヘッダの代わりに添付ファイルそのものの拡張子に基づいてファイルタイプやアイコンを表示するため、攻撃者は悪質なLotus Notes 1-2-3ファイルに.jpgや.gifといったなじみのある拡張子を付け、添付ファイルとして送信することができる。

　IBMでは、同社のサポートからパッチをダウンロードするよう呼びかけている。このパッチはNotes 7.x、8.xのクライアント版に対応する。同社はまた、今回見つかった脆弱性により被害を受ける可能性があるのはWindows用Notesであり、「Lotus Domino Server」のユーザーに影響はないとしている。

　Lotus Notesは、電子メール、インスタントメッセンジャー、ブラウザ、ビジネスコラボレーション用アプリケーションで構成されるデスクトップクライアント。Lotus Dominoと連携させて使用する。

　セキュリティ会社のSecuniaは、今回見つかった脆弱性を5段階評価で上から2つ目に高い「非常に重大」に設定している。