【活用ガイド】

JVNDB-2010-001895

Oracle Siebel Option Pack for IE の ActiveX コントロールのメモリ初期化処理に脆弱性

概要

Oracle Siebel Option Pack for IE の ActiveX コントロールには、メモリを適切に初期化しない脆弱性が存在します。

Siebel Option Pack for IE は、Oracle Siebel Customer Relationship Management (CRM) software によって提供される ActiveX コントロールです。Siebel Option Pack for IE の ActiveX コントロールは、ファイル名が ieop_aom で始まる様々な DLL によって提供されています。この ActiveX コントロールには、NewBusObi() メソッドが使用するメモリを適切に初期化しない脆弱性が存在します。
CVSS による深刻度 (CVSS とは?)

CVSS v2 による深刻度
基本値: 9.3 (危険) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 全面的
  • 完全性への影響(I): 全面的
  • 可用性への影響(A): 全面的
影響を受けるシステム


オラクル
  • Oracle Siebel Option Pack for IE ActiveX control

想定される影響

細工された HTML を閲覧することで、ユーザの権限で任意のコードを実行される可能性があります。
対策

[アップデートする]
Oracle が提供している Oracle Critical Patch Update Advisory - October 2010 をもとにアップデートを行ってください。

[ワークアラウンドを実施する]
対策版を適用するまでの間、以下の回避策を適用することで本脆弱性の影響を軽減することが可能です。

* ActiveX コントロールを無効にする
ベンダ情報

オラクル マイクロソフト
  • Microsoft サポート : 240797
CWEによる脆弱性タイプ一覧  CWEとは?

  1. コード・インジェクション(CWE-94) [NVD評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2009-3737
参考情報

  1. JVN : JVNVU#174089
  2. National Vulnerability Database (NVD) : CVE-2009-3737
  3. US-CERT Vulnerability Note : VU#174089
  4. US-CERT Vulnerability Note : MAPG-6URMUW
  5. Secunia Advisory : SA40804
  6. VUPEN Security : VUPEN/ADV-2010-2028
  7. OPEN SOURCE VULNERABILITY DATABASE (OSVDB) : 66926
更新履歴

  • [2010年08月31日]
      掲載
    [2010年10月29日]
      対策：対策方法の記述を更新しました。

公表日2010/08/09
登録日2010/08/31
最終更新日2010/10/29