SANRISEシリーズにおけるSVPセキュリティホール
（MS06-056〜065）対策について
2006年10月13日
（株）日立製作所RAIDシステム事業部
1. SANRISEシリーズに対するセキュリティホール対策のお知らせ
Microsoft製品に対して、以下に示すセキュリティホールが公開されました。
- MS06-056：ASP.NET 2.0の脆弱性により、情報漏えいが起こる（922770）
- MS06-057：Windows Explorerの脆弱性により、リモートでコードが実行される（923191）
- MS06-058：Microsoft PowerPointの脆弱性により、リモートでコードが実行される（924163）
- MS06-059：Microsoft Excelの脆弱性により、リモートでコードが実行される（924164）
- MS06-060：Microsoft Wordの脆弱性により、リモートでコードが実行される（924554）
- MS06-061：Microsoft XMLコアサービスの脆弱性により、リモートでコードが実行される（924191）
- MS06-062：Microsoft Officeの脆弱性により、リモートでコードが実行される（922581）
- MS06-063：Serverサービスの脆弱性により、サービス拒否が起こる（923414）
- MS06-064：TCP/IP IPv6の脆弱性により、サービス拒否が起こる（922819）
- MS06-065：Windowsオブジェクト パッケージャの脆弱性により、リモートでコードが実行される（924496）
弊社のSANRISEシリーズのSVPにおける、上記1〜10の脆弱性の影響は下記の通りです。
- 本件は、ASP.NET（Microsoft Windows .NET Framework 2.0）の脆弱性により、情報漏えいが起こるというものです。
SVPはサブシステム管理専用装置であり、Microsoft Windows .NET Framework 2.0がインストールされることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件は、Windows Explorerの脆弱性により、リモートでコードが実行されるというものです。
本脆弱性を攻撃者が悪用するには、特別な細工が施されたWebページを表示させるように、SVP使用者（保守員）を誘導する必要が有ります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件は、Microsoft PowerPointに関する脆弱性です。
SVPはサブシステム管理専用装置であり、Microsoft PowerPointがインストールされることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件は、Microsoft Excelに関する脆弱性です。
SVPはサブシステム管理専用装置であり、Microsoft Excelがインストールされることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件は、Microsoft Wordに関する脆弱性です。
SVPはサブシステム管理専用装置であり、Microsoft Wordがインストールされることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件は、Microsoft XMLコアサービスの脆弱性により、リモートでコードが実行される等が起きるというものです。
本脆弱性を攻撃者が悪用するには、特別な細工が施されたWebページまたは電子メールメッセージを表示させるように、SVP使用者（保守員）を誘導する必要が有ります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件は、Microsoft Officeに関する脆弱性です。
SVPはサブシステム管理専用装置であり、Microsoft Officeがインストールされることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件は、Serverサービスの脆弱性により、リモートでコードが実行されるというものです。
SANRISEシリーズのSVPでは、本件の対象となるOSを使用しており、本脆弱性の影響を受けます。
- 本件は、TCP/IP IPv6の脆弱性により、サービス拒否が起こるというものです。
SANRISEシリーズのSVPでは、本件の対象となるTCP/IP IPv6プロトコルはインストールされていません。このため、SVPでは本脆弱性の影響は受けません。
- 本件は、Microsoft Windowsの脆弱性により、リモートでコードが実行されるというものです。
本脆弱性を攻撃者が悪用するには、特別な細工が施されたWebページまたは電子メールメッセージを表示させるように、SVP使用者（保守員）を誘導する必要が有ります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
弊社ストレージ装置における、今回の脆弱性の影響を以下の表に示します。
表1 脆弱性の影響範囲
| ストレージ装置 |
影響する脆弱性 |
Hitachi Universal Storage Platform
Hitachi Universal Storage Platform H12000
Hitachi Network Storage Controller
Hitachi Universal Storage Platform H10000 |
MS06-063 |
SANRISE9900Vシリーズ
SANRISE H1024/128 |
MS06-063 |
現在までのところ、SVPに影響がある上記の脆弱性を利用したVirusならびにWormは発見されておりませんが、今後この脆弱性を利用したVirusあるいはWormが広まった場合、SVPが攻撃の対象となる危険性があります。
ただし、SVPは直接ストレージ機能には係わりませんので、万一攻撃者から攻撃された場合であってもストレージとしてのデータの内容およびRead/Write機能に支障はありません。またSANRISEに蓄積されているデータを読み取られることもありません。
しかしながら万一SVPが攻撃された場合、装置の構成変更設定や保守作業に支障をきたす等の可能性があります。
そのため今般、対象となる製品に対しまして、予防処置をさせていただきます。
2. 今回のセキュリティホールの特徴
攻撃者が、上記の脆弱性を悪用する目的で、特別な細工を施したメッセージを作成し、影響を受けるコンピュータに送信することにより、リモートでコードが実行される可能性があります。
3. 対象製品
Hitachi Universal Storage Platform、Hitachi Universal Storage Platform H12000、
Hitachi Network Storage Controller、Hitachi Universal Storage Platform H10000、
SANRISE9980V/9970V、SANRISE9980V-e/9970V-e、SANRISE H1024/ H128
- 注：
- Hitachi Adaptable Modular Storage、Hitachi Workgroup Modular Storage、SANRISE9500Vシリーズ、SANRISE 2000/2000-e/1000シリーズ、およびSANRISE H512/H48は影響を受けません。
4. 対策の内容
マイクロソフト社より提供されている対策パッチの適用を、弊社保守員が実施させていただきます。現在、本件に関する対策準備を進めております。20日ほどで対策準備が整う予定でございます。対策準備が整い次第、弊社保守員よりご連絡申し上げます。本パッチの適用により、今回問題となっている脆弱性は対策されます。
5. Worm/Virusに対するSANRISEの見解
今回のように、通常のSANRISEの運用でも感染する危険性を持つセキュリティホールが顕在化した場合には、Virus/Wormの出現を待つまでもなく、逐次その旨お知らせすると共に、対策を実施させていただきます。
情報の提供はご覧のWebへ掲載する他、サポート契約に基づくSoftware Support Newsにてお知らせいたします。
6. Storage Navigatorのご使用について
Storage Navigatorを使用されている場合、クライアントPCのOSによっては同様の対策が必要と思われます。詳しくはメーカにお尋ねいただくか、以下のセキュリティサイトをご確認の上対応をお願い致します。
本セキュリティホールに関する情報
