Symfoware Server: 7件のセキュリティ脆弱性(CVE-2014-0060, CVE-2014-0061, CVE-2014-0062, CVE-2014-0063, CVE-2014-0064, CVE-2014-0065, CVE-2014-0066) (2014年7月15日)

本セキュリティサイトについてのご注意

1. 脆弱性の説明

Symfoware Server（Openインタフェース）において、下記の7件の脆弱性の問題が確認されました。

1. GRANT コマンドにおいて、ロールに任意のユーザを追加または削除される脆弱性の問題が確認されました。
   本脆弱性問題は、CVE-2014-0060 に該当します。
2. 手続き言語の有効性検査関数において、権限を取得される脆弱性の問題が確認されました。
   本脆弱性問題は、CVE-2014-0061 に該当します。
3. CREATE INDEX および ALTER TABLE コマンドにおいて、不正なインデックスを作成される、または、許可されていないテーブルの一部を読み取られる脆弱性の問題が確認されました。
   本脆弱性問題は、CVE-2014-0062 に該当します。
4. interval および timestamp データ型の処理において、バッファオーバーフローの脆弱性の問題が確認されました。
   本脆弱性問題は、CVE-2014-0063 に該当します。
5. データ型の入力関数など複数の関数において、整数オーバーフローの脆弱性の問題が確認されました。
   本脆弱性問題は、CVE-2014-0064 に該当します。
6. Symfoware Server において、バッファオーバーフローの脆弱性の問題が確認されました。
   本脆弱性問題は、CVE-2014-0065 に該当します。
7. chkpass 追加モジュールにおいて、サービス運用妨害(DoS)となる脆弱性の問題が確認されました。
   本脆弱性問題は、CVE-2014-0066 に該当します。

Symfoware Serverについては以下のページを参照してください。
http://www.fujitsu.com/jp/products/software/middleware/database/symfoware/products/symfowareserver/

富士通は、3.に示すセキュリティパッチを提供していますので、早急に適用する様にお願いします。

2. 脆弱性のもたらす脅威

1. リモートの攻撃者によって、SET ROLE コマンドを、関連する GRANT コマンドの前に実行されることで、ロールに任意のユーザを追加、またはロールから任意のユーザを削除される可能性があります。
2. リモートの攻撃者によって、別の言語で定義された関数、または、直接呼び出されることが許可されていない関数を介して、権限を取得される可能性があります。
3. リモートの攻撃者によって、同時に同じ名前のテーブルを作成または削除されることで、不正なインデックスを作成される、または、許可されていないテーブルの一部を読み取られる可能性があります。
4. リモートの攻撃者から細工されたリクエストが送信されることにより、Symfoware Serverのプロセスがダウンし、サービス運用妨害(DoS)となる可能性があります。または、任意のコードを実行される可能性があります。
5. リモートの攻撃者からバッファオーバーフローを誘発する、不特定の影響を受ける可能性があります。
6. リモートの攻撃者から、不特定の影響を受ける可能性があります。
7. リモートの攻撃者によって、NULLポインタデリファレンスおよびクラッシュを引き起こされ、サービス運用妨害(DoS)となる可能性があります。

各脆弱性の深刻度に関しては、「4. 関連情報」に記載のJVNおよびIPAの公開情報を参照願います。

3. 該当システム・対策情報

3-1.該当システム

PRIMEQUEST, PRIMERGY, GP5000, CELSIUS, FMV, PRIMEPOWER, GP7000F, GP-S, 富士通 S Series, SPARC Enterprise, SPARC M10, FUJITSU Integrated System HA Database Ready

3-2.該当製品・対策Patch

・Symfoware Server
・Symfoware Analytics Server
・FUJITSU Integrated System HA Database Ready

[※1]32bitモジュールに対するパッチです。
[※2]64bitモジュールに対するパッチです。
[※3]Symfoware Analytics Server Standard Edition (64bit) V12.0.0では、
      Symfoware Server Standard Edition(Openインタフェース) V12.0.0Aを同梱しています。
[※4]Symfoware Server Standard Edition(Openインタフェース) V12.0.0A(Windows Server 2008 R2)の修正および対応Clientの修正を適用してください。
[※5]Symfoware Server Standard Edition(Openインタフェース) V12.0.0A(RHEL6(Intel64))の修正および対応Clientの修正を適用してください。

パッチ入手に関しては、当社サポートセンターにお問い合わせください。

参考: 該当製品の確認方法

製品のバージョンを確認するには、製品に添付されている「ソフトウェア説明書」を参照してください。

3-3. 回避方法

回避方法はありません。
3-2.に示すセキュリティパッチを適用してください。

4. 関連情報

1. CVE-2014-0060
   PostgreSQL before 8.4.20, 9.0.x before 9.0.16, 9.1.x before 9.1.12, 9.2.x before 9.2.7, and 9.3.x before 9.3.3 does not properly enforce the ADMIN OPTION restriction, which allows remote authenticated members of a role to add or remove arbitrary users to that role by calling the SET ROLE command before the associated GRANT command.
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0060
   
   JVNDB-2014-001843
   PostgreSQL におけるロールに任意のユーザを追加または削除される脆弱性
   http://jvndb.jvn.jp/ja/contents/2014/JVNDB-2014-001843.html
2. CVE-2014-0061
   The validator functions for the procedural languages (PLs) in PostgreSQL before 8.4.20, 9.0.x before 9.0.16, 9.1.x before 9.1.12, 9.2.x before 9.2.7, and 9.3.x before 9.3.3 allow remote authenticated users to gain privileges via a function that is (1) defined in another language or (2) not allowed to be directly called by the user due to permissions.
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0061
   
   JVNDB-2014-001844
   PostgreSQL における権限を取得される脆弱性
   http://jvndb.jvn.jp/ja/contents/2014/JVNDB-2014-001844.html
3. CVE-2014-0062
   Race condition in the (1) CREATE INDEX and (2) unspecified ALTER TABLE commands in PostgreSQL before 8.4.20, 9.0.x before 9.0.16, 9.1.x before 9.1.12, 9.2.x before 9.2.7, and 9.3.x before 9.3.3 allows remote authenticated users to create an unauthorized index or read portions of unauthorized tables by creating or deleting a table with the same name during the timing window.
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0062
   
   JVNDB-2014-001845
   PostgreSQL における不正なインデックスを作成される脆弱性
   http://jvndb.jvn.jp/ja/contents/2014/JVNDB-2014-001845.html
4. CVE-2014-0063
   Multiple stack-based buffer overflows in PostgreSQL before 8.4.20, 9.0.x before 9.0.16, 9.1.x before 9.1.12, 9.2.x before 9.2.7, and 9.3.x before 9.3.3 allow remote authenticated users to cause a denial of service (crash) or possibly execute arbitrary code via vectors related to an incorrect MAXDATELEN constant and datetime values involving (1) intervals, (2) timestamps, or (3) timezones, a different vulnerability than CVE-2014-0065.
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0063
   
   JVNDB-2014-001846
   PostgreSQL におけるスタックベースのバッファオーバーフローの脆弱性
   http://jvndb.jvn.jp/ja/contents/2014/JVNDB-2014-001846.html
5. CVE-2014-0064
   Multiple integer overflows in the path_in and other unspecified functions in PostgreSQL before 8.4.20, 9.0.x before 9.0.16, 9.1.x before 9.1.12, 9.2.x before 9.2.7, and 9.3.x before 9.3.3 allow remote authenticated users to have unspecified impact and attack vectors, which trigger a buffer overflow. NOTE: this identifier has been SPLIT due to different affected versions; use CVE-2014-2669 for the hstore vector.
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0064
   
   JVNDB-2014-001847
   PostgreSQL の path_in 関数およびその他の不特定の関数における整数オーバーフローの脆弱性
   http://jvndb.jvn.jp/ja/contents/2014/JVNDB-2014-001847.html
6. CVE-2014-0065
   Multiple buffer overflows in PostgreSQL before 8.4.20, 9.0.x before 9.0.16, 9.1.x before 9.1.12, 9.2.x before 9.2.7, and 9.3.x before 9.3.3 allow remote authenticated users to have unspecified impact and attack vectors, a different vulnerability than CVE-2014-0063.
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0065
   
   JVNDB-2014-001848
   PostgreSQL におけるバッファオーバーフローの脆弱性
   http://jvndb.jvn.jp/ja/contents/2014/JVNDB-2014-001848.html
7. CVE-2014-0066
   The chkpass extension in PostgreSQL before 8.4.20, 9.0.x before 9.0.16, 9.1.x before 9.1.12, 9.2.x before 9.2.7, and 9.3.x before 9.3.3 does not properly check the return value of the crypt library function, which allows remote authenticated users to cause a denial of service (NULL pointer dereference and crash) via unspecified vectors.
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0066
   
   JVNDB-2014-001849
   PostgreSQL の chkpass 拡張機能におけるサービス運用妨害 (DoS) の脆弱性
   http://jvndb.jvn.jp/ja/contents/2014/JVNDB-2014-001849.html

5. 改版履歴

• 2014年7月15日 新規掲載