SYM04-005
2004年3月19日
Symantec Norton Internet Security / Norton AntiSpam にリモートアクセスの脆弱性

改編履歴
本ページの下部を参照してください。

危険性
高

概要
NGSsoftware 社から、Symantec Norton Internet Security ならびに Symantec Norton AntiSpam 2004 でセキュリティ上の脆弱性を発見したという報告を受けました。攻撃者がその脆弱性の悪用に成功した場合、攻撃者は標的のシステム上で任意のコードをリモートから実行することが可能になり、結果的にシステムのセキュリティが侵害されるおそれがあります。

影響を受けるコンポーネント
Symantec Norton Internet Security/Professional 2002, 2003, 2004
Symantec Norton Personal Firewall 2003, 2004
Symantec Client Firewall 5.01, 5.1.1
Symantec Client Security 1.0、1.1
Symantec Norton AntiSpam 2004

解説
弊社は、NGSsoftware 社が Symantec Norton Internet Security 2004 および Symantec Norton AntiSpam 2004 の評価中に発見したリモートアクセスの脆弱性に関する警告を受けました。Symantec Norton Internet Security および Symantec Norton AntiSpam 2004 には、外部からの入力データの境界チェックを適切に行わない ActiveX コンポーネントが含まれています。悪意を持つ人物にこれらの問題が悪用された場合、標的のシステム上のアプリケーションが勝手に起動されたり、攻撃者が選んだ任意コードがローカルのシステム上で本来よりも高いアクセス権限で実行される可能性が生じます。

攻撃者がこの問題の悪用に成功するためには、標的のシステムのユーザが有害なコードの起動が可能な場所を訪問するか、あるいは、有害なコードをローカルのコンピュータにダウンロードして起動するように誘導することが必要条件となります。これらのセキュリティ問題の悪用が成功した場合、標的のシステムのセキュリティが著しく低下するおそれがあります。

シマンテックの対応
検証の結果、NGSsoftware 社から報告された問題が存在することを確認し、Symantec LiveUpdate を通じ、Symantec Norton AntiSpam 2004 ならびに Symantec Norton Internet Security 2004 用の修正パッチをリリースしました。さらなる調査の結果、NGSsoftware 社から報告された Symantec Norton Internet Security 2004 に関する問題は、シマンテックのクライアント・ファイアウォール製品の一部バージョンにも影響を及ぼすと判断し、本件に対応する修正パッチを開発し、リリースしました。本件の影響を受ける製品の修正パッチはすべて、Symantec LiveUpdate およびご利用のテクニカル・サポート・チャネルを通じて入手いただけます。

Symantec LiveUpdate を通じてシマンテック製品を更新する方法
対象製品: 更新方法:
Symantec Norton Internet Security/Professional 2002, 2003, 2004、 Symantec Norton Personal Firewall 2003, 2004、Symantec Norton AntiSpam 2004

1. インストール済みのシマンテック製品を開きます。

2. ツールバー内の LiveUpdate をクリックします。

3. 利用可能なシマンテック製品向け更新ファイルがすべてダウンロードされ、インストールされるまで、LiveUpdate を実行します。

4. LiveUpdate 終了後、再起動を行ってください。

5. LiveUpdate の画面で、更新ファイルがすべてダウンロードがされなくなり、最新バージョンになったことの確認メッセージが出るまで、再度、1-4 の手順を繰り返してください。
テクニカル・サポートのページから修正パッチをダウンロードする方法
対象製品: 更新方法:
Symantec Client Firewall 5.01, 5.1.1、 Symantec Client Security 1.0, 1.1 左記のエンタープライズ製品をお使いのお客様は、SCF のリモートアクセスに対する脆弱性 から修正パッチをダウンロードし、インストールしてください。

この問題が実際に悪用された事例や、これらの問題に起因した弊社製品ユーザからの被害報告は、受けておりません。弊社は今後も引き続き、本件の評価を継続実施する予定にしております。

日常的なベスト・プラクティスとして、シマンテックは、多層的なセキュリティ対策の実施を推奨しています。最低限でも、パーソナル・ファイアウォールおよびウイルス対策アプリケーションの両方を実行し、かつ、それらを常に最新の状態に維持するよう努めてください。これにより、ネットワークの外部から侵入する脅威だけでなく、内部から侵入する脅威の両方を、複数の侵入ポイントで検知・保護することが可能となります。

お使いのコンピュータにインストールしているオペレーティング システムならびにアプリケーションすべてに対し、各製品ベンダーから配布されている修正パッチや更新プログラムを適用することで、システムを常に最新の状態にしておくよう心がけてください。

メールで届く不審な添付ファイルや実行形式ファイルには用心してください。また、未知あるいは信頼できない Web サイトを訪問する際には十分な注意を払ってください。

知らない人または組織から届いた添付ファイルや実行形式ファイルは絶対に開封しないでください。このようなファイルには常に十分過ぎるくらいの注意が必要です。

添付ファイルの差出人を知っている場合でも、メール本文でその内容について説明されていない場合、そのファイルは別人によって添付された可能性があるため、十分注意してください。

不審な添付ファイルが届いた場合は、開封する前に差出人に連絡して本当にその人が送信したものかどうかを確認し、それでも不審な点がある場合は、開封せずに削除してください。

CVE
CVE（Common Vulnerabilities and Exposures）推進グループは、上述の問題に次の識別番号を付けました。

Symantec Norton AntiSpam の脆弱性: CAN-2004-0363
Symantec Norton Internet Security の脆弱性: CAN-2004-0364

本件は、様々なセキュリティ問題の名称が標準化されている CVE リスト(http://cve.mitre.org)への登録候補となっています。

クレジット
本件に関する技術的な問題点の特定と情報提供にご協力くださった Mark Litchfield 氏ならびに NGSsoftware 社リサーチ・チームの皆様に深く感謝いたします。

シマンテック製品のセキュリティに関する情報の連絡先

弊社では、シマンテック製品のセキュリティ面および機能面を重視しています。シマンテックは、Oraganization for Internet Safety (OIS) の設立メンバーの一員として、責任ある開示プロセスに従って情報開示を行っています。シマンテック製品に関して、セキュリティ上、問題であるか、あるいは、問題となり得る点を発見した場合は、symsecurity@symantec.com (米国) までご一報ください。


脆弱性情報を弊社にお寄せになる際には、必ず暗号化された電子メールを使用して symsecurity@symantec.com (米国) まで送信くださるようお願いいたします。SymSecurity PGP キーは、こちらから入手いただけます。


Copyright (c) 2004 by Symantec Corp.
このアドバイザリーの電子媒体による配信は、Symantec Security Response の許可なく改ざんを行わない場合に限り認められています。このアドバイザリーの一部または全部を電子媒体以外の媒体へ複製または印刷する場合は必ず事前にシマンテックの許可を受ける必要があります。

免責事項
このアドバイザリーは、発行時点で確認されていた情報を基に正確であると判断された情報で構成されています。記載情報の使用は、現状のまま使用することを条件に認められています。本書の記載内容について弊社は一切保証いたしておりません。本書の使用あるいは信頼性に関連して生じる直接的、間接的、派生的な損失または損害に関して、本書の著者も発行者も一切責任を負いません。

Symantec、Symantec Security Response、Sym Security、およびシマンテックの各製品名は、Symantec Corp. およびその関連会社の米国および各国における登録商標です。その他の商品名・会社名等はすべて各社の商標または登録商標です。

米国サイト最終更新日: 2004年4月20日(金） 14:08:22

改編履歴

2004年4月19日 [米国時間]
「影響を受ける製品」情報ならびに対応情報を追加しました。

2004年4月8日(木) 13:50 [日本時間]
Symantec Norton AntiSpam 2004 for Windows 修正パッチの LiveUpdate による配布を開始

2004年4月1日(木) 9:50 [日本時間]
問い合わせ窓口を NIS/NAS 脆弱性情報特別窓口からコンシューマ・カスタマーサービスセンターに変更

2004年3月30日(火) 9:50 [日本時間]
Symantec Norton Internet Security 2004/Professional for Windows 修正パッチの LiveUpdate による配布を開始

2004年3月25日(木) 11:15 [日本時間]
本件に関する問い合わせ窓口を告知

2004年3月24日(水) 19:15 [日本時間]
Symantec Norton Internet Security 2004/Professional for Windows の修正パッチは 2004年4月2日(金)[日本時間]に、 Symantec Norton AntiSpam 2004 の修正パッチは 2004年4月14日(水)[日本時間]に LiveUpdate を通じてご提供する予定です。

2004年3月23日(火) 19:01 [日本時間]
Symantec Norton Internet Security 2004/Professional for Windows の修正パッチは 2004年4月8日(木)に、 Symantec Norton AntiSpam 2004 の修正パッチは 2004年4月19日(月)に LiveUpdate を通じてご提供する予定です。

2004年3月22日(月) [米国時間]
CVE 識別番号を追加しました。
サイトマップ · 利用規約 · プライバシーポリシー · サイトに関するご意見・ご感想 · お問合わせ · 各国サイト
©1995 - 2009 Symantec Corporation