SYM05-021
2005年10月19日
Symantec LiveUpdate for Macintosh にローカルでの権限昇格の脆弱性

改編履歴
なし

危険性
中

解説
Symantec LiveUpdate for Macintosh は、一部が Java プログラミング言語で実装されています。Java インタプリタのインターフェースでは、LiveUpdate コンポーネントからの入力をコマンドライン引数として受け取って Java インタプリタに渡します。このインターフェースは、システム管理者権限（SUID）で実行するように設定されています。ローカルのユーザーは、この LiveUpdate Java インターフェースを使用することにより、システム管理者権限で Java コードの実行が可能になります。

影響を受けるコンポーネント

影響を受けないコンポーネント

弊社の対応
Symantec LiveUpdate では、影響を受ける製品のすべてのバージョンについて修正パッチが作成され、利用可能になっています。

Symantec LiveUpdate を使用して手動で更新を行うには、以下の操作を実行してください。

• インストールされているシマンテック製品を開きます。
  
• ツールバーから [LiveUpdate] をクリックします。
  
• LiveUpdate を実行して、すべてのシマンテック製品の更新をダウンロードおよびインストールします。

弊社は、本件の悪用についての報告または本件に起因したお客様からの被害報告は受けておりません。

通常のベスト･プラクティスの一環として、お使いのコンピュータにインストールしているすべてのオペレーティング・システムおよびアプリケーションに対し、各製品ベンダーから配布されている修正パッチや更新プログラムを適用することで、システムを常に最新の状態にしておくよう心がけてください。シマンテックでは、影響を受ける製品をお使いのお客様はこの種の脅威に対処するため、お使いの製品を直ちに更新するように強くお勧めします。

CVE
CVE（Common Vulnerabilities and Exposures）推進グループは、本件に対し CAN-2005-2759 という識別番号を付けました。

本件は、様々なセキュリティ問題の名称が標準化されている CVE リスト（http://cve.mitre.org）への登録候補となっています。

クレジット
本件の報告と問題の解決にあたりご協力いただいた iDefense に感謝いたします。

弊社は、シマンテック製品のセキュリティ面および機能面を重視しています。シマンテックは、Organization for Internet Safety（OISafety）の設立メンバーの一員として、責任ある開示プロセスに従って情報開示を行っています。また、シマンテックは、NIAC（National Infrastructure Advisory Council ：米国の国家インフラ諮問委員会）による脆弱性評価基準ガイドラインに賛同しています。シマンテック製品に関して、セキュリティ上問題であるか、あるいは問題となり得る点を発見した場合は、secure@symantec.com（米国）までご一報ください。シマンテック製品セキュリティ・チームの担当者が、折り返しご連絡させていただきます。

弊社は、シマンテック製品に存在する疑いがある脆弱性への対応プロセスについて概説した、Product Vulnerability Handling Process（製品脆弱性対応プロセス）ドキュメントを作成しました。弊社は、シマンテック製品をお使いのお客様を保護するとともに、インターネットのセキュリティを守るために、あらゆる脆弱性情報の迅速かつ責任ある開示をお約束します。このドキュメントは、下記の場所から入手いただけます。

脆弱性情報を弊社にお寄せになる際には、必ず暗号化された電子メールを使用して secure@symantec.com（米国）まで送信くださるようお願いいたします。SymSecurity PGP キーは、下記の場所から入手いただけます。

Symantec Vulnerability Response Policy (英語)

シマンテック製品脆弱性 レスポンス用 PGP キー