近年増え続ける脆弱性は、セキュリティソフトでも発見されている。今月に入ってから、２件の脆弱性についてセキュリティベンダーが警告した。セキュリティソフトのアップデートは自動に設定するか、手動に設定する場合はこまめなアップデートを怠らないよう心がけたい。
■シマンテック、「ノートン2005/2006シリーズ」にリモートでコード実行の脆弱性
フランスのセキュリティ機関FrSIRTなどは９日、シマンテックの複数の製品に「NAVOPTS.DLL」ActiveXコントロールのデザインエラーによる脆弱性があると警告した。同脆弱性は「NAVOPTS.DLL」ActiveXコントロールを初期化する際にエラーが起こり、シマンテック製品の他のActiveXコントロールにアクセス可能となり、セキュリティの規制を回避できるようになってしまう。悪用されると、細工したサイトを通じてリモートでコードを実行されるおそれがある。
同脆弱性の影響を受けるのは、下記のバージョン
・Symantec Norton AntiVirus 2005/2006
・Symantec Norton Internet Security 2005/2006
・Symantec Norton System Works 2005/2006
シマンテックはすでにLiveUpdateを通じて、この脆弱性を修正するプログラムを配布している。
・Symantec Norton Internet Security NAVOptions ActiveX Security Bypass Vulnerability[英文]（FrSIRT）
http://www.frsirt.com/english/advisories/2007/1751
・Symantec Products NAVOpts.dll ActiveX Control Security Bypass Vulnerability[英文]（Secunia）
http://secunia.com/advisories/25172/
・Symantec Norton Internet Security 2006 COM Object Security ByPass Vulnerability[英文]（iDefense Labs）
http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=529
・SYM07-005: Symantec COM object security bypass[英文]（Symantec Security Response Weblog）
http://www.symantec.com/avcenter/security/Content/2007.05.09.html
■マカフィー、修正済みの脆弱性のアップデートを呼びかけ
フランスのセキュリティ機関FrSIRTなどは９日、マカフィーの複数の製品に使用されている「McAfee SecurityCenter」のサブスクリプション管理モジュール「MCSUBMGR.DLL」にバッファオーバーフローの脆弱性があると警告した。同脆弱性は同モジュールが「IsOldAppInstalled()」メソッドを処理するときにエラーが起きるもので、細工した引数を使用するとバッファーオーバーフローを引き起すことができる。すでに同脆弱性を悪用する実証コードも出回っている。ユーザーが同脆弱性を悪用したサイトを訪れると、任意のコードを実行されるおそれがある。
同脆弱性の影響を受けるのは下記の製品
・McAfee Internet Security Suite 6.x/7.x/8.x
・McAfee Internet Security Suite 2007
・McAfee Total Protection 2007
・McAfee VirusScan Plus 2007
・McAfee PC Protection Plus 2007
・McAfee VirusScan 8.x/9.x/10.x
・McAfee Personal Firewall Plus 5.x/6.x/7.x
・McAfee Privacy Service 6.x/7.x/8.x
・McAfee SpamKiller 5.x/6.x/7.x
・McAfee QuickClean 4.x/5.x/6.x
・McAfee AntiSpyware 1.x/2.x
・McAfee Wireless Home Network Security 1.x
マカフィーは同脆弱性を修正するプログラムを３月22日から配布している。
・McAfee SecurityCenter Subscription Manager ActiveX Code Execution
Vulnerability[英文]（FrSIRT）
http://www.frsirt.com/english/advisories/2007/1717
・McAfee SecurityCenter Subscription Manager ActiveX Control Buffer Overflow[英文]（Secunia）
http://secunia.com/advisories/25173/
・McAfee Security Center IsOldAppInstalled ActiveX Buffer Overflow
Vulnerability[英文]（iDefense Labs）
http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=528
・McAfee Security Bulletin: McAfee SecurityCenter 7.2.147 or higher fixes
vulnerability[英文]（マカフィー）
http://ts.mcafeehelp.com/faq3.asp?docid=419189
（2007/05/11 ネットセキュリティニュース）