Oracle Siebel Option Pack for IEのActiveXコントロールに脆弱性（JVN）

製品・サービス・業界動向業界動向

2010.8.9 Mon 21:00

独立行政法人情報処理推進機構セキュリティセンター（IPA/ISEC）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は8月9日、Oracle Siebel Customer Relationship Management（CRM）softwareが提供しているActiveXコントロール「Oracle Siebel Option Pack for IE」にメモリを適切に初期化しない脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。

「Siebel Option Pack for IE」のActiveXコントロールは、ieop_aomで始まるファイル名を持つさまざまなDLLにより提供されている。このActiveXコントロールには、NewBusObi() メソッドが使用するメモリを適切に初期化しない脆弱性が存在する。この問題が悪用されると、細工されたHTMLを閲覧することで、ユーザの権限で任意のコードを実行される可能性がある。本脆弱性は現在のところ、対策方法が公開されていない。JVNでは、ActiveXコントロールを無効にすることで本脆弱性の影響を軽減できるとしている。

http://jvn.jp/cert/JVNVU174089/index.html

《ScanNetSecurity》