JVNVU#99135508
Uptime Infrastructure Monitor (旧称 up.time) の Windows 向けエージェントに複数の脆弱性

Idera が提供する Uptime Infrastructure Monitor (旧称 up.time) の Windows 向けエージェントには、書式指定文字列に関する脆弱性およびバッファオーバーフローの脆弱性が存在し、第三者が特定のコマンドを実行することが可能となります。

• Uptime Infrastructure Monitor の Windows 向けエージェント

書式指定文字列の問題 (CWE-134) - CVE-2015-2894
version 6.0 および 7.2 では、遠隔の攻撃者が書式指定子 "%n" または "%s" を送信することで、エージェントをクラッシュさせることが可能です。

バッファオーバーフロー (CWE-120) - CVE-2015-2895
version 7.4 では、遠隔の攻撃者が 1024バイトを超える入力値を含むコマンドを送信することで、エージェントをクラッシュさせることが可能です。コード実行も可能と考えられますが、現時点では実証されていません。

情報漏えい (CWE-200) - CVE-2015-2896
version 7.6 およびそれ以前では、遠隔の第三者が当該製品の使用するポートに特定のコマンドを送信することにより、情報を取得することが可能です。これらのコマンドでは認証は行われないため、攻撃者は、動作しているエージェントのバージョン、実行している OS の詳細、システムで動作している他のプロセスの詳細、Windows のイベントログ情報などを取得することが可能です。

遠隔の攻撃者によって、サービス運用妨害 (DoS) 攻撃を受けたり、システム情報を取得されたりする可能性があります。また、任意のコードを実行される可能性もあります。

アップデートする
Idera は CVE-2015-2894 および CVE-2015-2895 を修正した version 7.6 をリリースしています。可能な限り早く当該製品をアップデートすることを推奨します。
なお、CVE-2015-2896 は今後のアップデートで修正される予定です。

ワークアラウンドを実施する
Idera は、次のように設定を見直すことで、本脆弱性の影響を軽減することが可能であると述べています：

1. All agents run in a read only mode by default, where they can only poll metrics.
   エージェントをデータ読み取り専用で動作させる。
    
2. In order to use custom scripts or trigger recovery actions, you need to set a password on the agent, or add commands to the .uptmpasswd file for the linux agent.
   カスタムスクリプトを使ったりリカバリを実施する場合は、エージェントにパスワードを設定するか、Linux 向けエージェントの場合は .uptmpasswd ファイルにコマンドを追加する。
    
3. Agents communication can be encrypted with SSL by using various SSL Tunneling/Proxy Utilities (openSSL, etc). KB articles cover the specifics for implementing with Stunnel on various platforms.
   エージェントの通信は SSL トンネリングや OpenSSL などのプロキシツールを使用することで SSL 暗号化することが可能。Securing the Linux agent (tcpwrappers and ssl) や Securing the Windows Agent with SSL を参照せよ。
4. Agents running under xinet.d can also be secured at the service level by restricting incoming connections to only accept connections from the Monitoring Station, or limit the total number of connections, etc.
   xinet.d の管理下で動作しているエージェントについては、xinet.d の設定で Monitoring Station 以外からの接続要求を拒否したり、同時接続数を制限するなどの設定を行うことが可能。
    
5. Disable Agent Commands you don't use either via the Agent Console or editing conf/agent_commands.txt.
   使用する予定のないコマンドについては、Agent Console 経由の設定または conf/agent_commands.txt を直接編集することで無効にする。