米グレースノートは27日、同社が提供する「CDDB ActiveXコントロール」の一部のバージョンに深刻な脆弱性が見つかったと発表した。
今回発見された脆弱性は、当該コントロールに長いオプションを渡すとバッファオーバフローが発生し、クラッシュやコード実行の恐れがあるというもの。フランスのFrSIRTは最大の深刻度「Critical」で、デンマークのSecuniaは5段階の上から2番目「Highly critical」で警告している。
当該コントロールは、アプリケーションがデータベースからCDの収録曲情報を取得する機能を提供するもので、ソニーのVAIOやウォークマンに付属する「CONNECT Player」「SonicStage Ver.3.3/3.4」「SonicStage Mastering Studio Ver.2.1/2.2」「Do VAIO Ver.1.6」、KDDIの音楽サービス「au LISTEN MOBILE SERVICE」用の「au Music Port Ver.1.00～Ver.2.02」で使用されている。ActiveXコントロールとして提供されているため、細工されたWebページやHTMLメールで同脆弱性が悪用され、任意のプログラムを実行される可能性がある。
ソニー製品は、下記の対象製品を参照の上、アップデートプログラムを適用。KDDIの「au Music Port」は、同脆弱性の修正を含む最新版「Ver.2.1」が用意されている。
（2006/06/30 ネットセキュリティニュース）
■ソニー製品
・VAIO対象製品
http://vcl.vaio.sony.co.jp/notices/security/info210.html
・ウォークマン対象製品
http://www.sony.jp/support/p-audio/contents/information/info_060628.html
・アップデートプログラム
http://www.gracenote.com/sec062706/SonySecurityNotification_jp.html
■KDDI「au Music Port」のアップデート
http://www.au.kddi.com/news/information/au_info_20060628.html
【脆弱性情報】
・セキュリティに関する重要なお知らせ（グレースノート）
http://www.gracenote.com/gn_japan/corporate/FAQs.html/faqset=security/page=0
・JVNVU#701121：Gracenote CDDB ActiveX コントロールにおけるバッファオーバーフローの脆弱性（JVN）
http://jvn.jp/cert/JVNVU%23701121/index.html
・Gracenote CDDBControl ActiveX Control Buffer Overflow[英文]（Secunia）
http://secunia.com/advisories/20861/
・Sony Products Gracenote CDDB ActiveX Control Remote Buffer Overflow Vulnerability[英文]（FrSIRT）
http://www.frsirt.com/english/advisories/2006/2562
・VU#701121：Gracenote CDDB ActiveX control buffer overflow[英文]（US-CERT）
http://www.kb.cert.org/vuls/id/701121