セキュリティ情報（2015年8月24日）

日立ディスクアレイシステムにおけるSVP セキュリティホール (MS15-078〜093)対策について

2015年8月24日
（株）日立製作所 ITプラットフォーム事業本部

1. 日立ディスクアレイシステムに対するセキュリティホール対策のお知らせ

Microsoft製品に対して、以下に示すセキュリティホールが公開されました。

[新規情報]

1. MS15-078: Microsoftフォントドライバーの脆弱性により、リモートでコードが実行される(3079904)
2. MS15-079: Internet Explorer用の累積的なセキュリティ更新プログラム(3082442)
3. MS15-080: Microsoft Graphicsコンポーネントの脆弱性により、リモートでコードが実行される(3078662)
4. MS15-081: Microsoft Officeの脆弱性により、リモートでコードが実行される(3080790)
5. MS15-082: RDPの脆弱性により、リモートでコードが実行される(3080348)
6. MS15-083: サーバーメッセージブロックの脆弱性により、リモートでコードが実行される(3073921)
7. MS15-084: XMLコアサービスの脆弱性により、情報漏えいが起こる(3080129)
8. MS15-085: マウントマネージャーの脆弱性により、特権が昇格される(3082487)
9. MS15-086: System Center Operations Managerの脆弱性により、特権が昇格される(3075158)
10. MS15-087: UDDIサービスの脆弱性により、特権が昇格される(3082459)
11. MS15-088: 安全ではないコマンドラインパラメーターの受け渡しにより、情報漏えいが起こる(3082458)
12. MS15-089: WebDAVの脆弱性により、情報漏えいが起こる(3076949)
13. MS15-090: Microsoft Windowsの脆弱性により、特権が昇格される(3060716)
14. MS15-091: Microsoft Edge用の累積的なセキュリティ更新プログラム(3084525)
15. MS15-092: .NET Frameworkの脆弱性により、特権が昇格される(3086251)
16. MS15-093: Internet Explorer 用のセキュリティ更新プログラム (3088903)

日立ディスクアレイシステムのSVPにおける、上記1.〜16.の脆弱性の影響は下記の通りです。

1. 本件は、Microsoftフォントドライバーの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別な細工がされた文書を開いたり、埋め込まれたOpenTypeフォントを含む信頼されていないwebページにアクセスする必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
2. 本件は、Internet Explorer用の累積的なセキュリティ更新プログラムです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別に細工されたWebページをInternet Explorerを使用して表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
3. 本件は、Microsoft Graphicsコンポーネントの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別な細工がされた文書を開いた場合や、TrueType または OpenType フォントが埋め込まれた信頼されていない Web ページを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
4. 本件は、Microsoft Officeの脆弱性により、リモートでコードが実行されるというものです。SVPはサブシステム管理専用装置であり、Microsoft Officeがインストールされることはありません。このため、SVPでは本脆弱性の影響は受けません。
5. 本件は、RDPの脆弱性により、リモートでコードが実行されるというものです。SVPでは､本件の対象となるOSを使用しており､本脆弱性の影響を受けます｡
6. 本件は、サーバーメッセージブロックの脆弱性により、リモートでコードが実行されるというものです。SVPでは､本件の対象となるOSを使用しており､本脆弱性の影響を受けます｡
7. 本件は、XMLコアサービスの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別に細工されたリンクをクリックした場合にメモリアドレスを漏えいさせるか、SSL2.0の使用を明示的に許可する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
8. 本件は、マウントマネージャーの脆弱性により、特権が昇格されるというものです。SVPでは､本件の対象となるOSを使用しており､本脆弱性の影響を受けます｡
9. 本件は、System Center Operations Managerの脆弱性により、特権が昇格されるというものです。SVPはサブシステム管理専用装置であり、System Center Operations Managerがインストールされることはありません。このため、SVPでは本脆弱性の影響は受けません。
10. 本件は、UDDIサービスの脆弱性により、特権が昇格されるというものです。SVPは、本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
11. 本件は、安全ではないコマンドラインパラメーターの受け渡しにより、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)がInternet Explorerの別の脆弱性を使用してサンドボックスプロセスでコードを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
12. 本件は、WebDAVの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには、SVPがSSL2.0セッションを確立できる必要があります。SVPはSSL2.0を使用しません。このため、SVPでは本脆弱性の影響は受けません。
13. 本件は、Microsoft Windowsの脆弱性により、特権が昇格されるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
14. Microsoft Edge用の累積的なセキュリティ更新プログラムというものです。SVPは、本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
15. .NET Frameworkの脆弱性により、特権が昇格されるというものです。SVPはサブシステム管理専用装置であり、影響を受けるMicrosoft.NET Frameworkがインストールされることはありません。このため、SVPでは本脆弱性の影響は受けません。
16. Internet Explorer用のセキュリティ更新プログラムです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別に細工されたWebページをInternet Explorerを使用して表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。

SVPは直接ストレージ機能には係わりませんので、万一攻撃者から攻撃された場合であってもストレージとしてのデータの内容およびRead/Write機能に支障はありません。また日立ディスクアレイシステムに蓄積されているデータを読み取られることもありません。
しかしながら万一SVPが攻撃された場合、装置の構成変更設定や保守作業に支障をきたす等の可能性があります。
そのため今般、対象となる製品に対しまして、予防処置をさせていただきます。

2.今回のセキュリティホールの特徴

攻撃者がこの脆弱性を悪用した場合、SVPが応答しなくなる可能性があります。さらに、SVPに対してプログラムのインストール、データの表示、変更、削除、完全なユーザー権限を持つ新たなアカウントを作成される可能性があります。

3. 対象製品

Hitachi Virtual Storage Platform G1000、Hitachi Virtual Storage Platform VX7、Hitachi Unified Storage VM (HUS VM)、Hitachi Virtual Storage Platform、Hitachi Virtual Storage Platform VP9500

注：

Hitachi Virtual Storage Platform G800/G600/G400/G200/G100、Hitachi Unified Storage 100、Hitachi Adaptable Modular Storage、Hitachi Workgroup Modular Storage、Hitachi Simple Modular Storage、は影響を受けません。

4. Storage Navigatorのご使用について

Storage Navigatorのご使用については、Storage Navigator機能に限ったご使用であれば特に問題ありません。
クライアントPCを他の用途でもご利用されている場合、ご利用内容によっては今回の脆弱性の影響を受ける可能性があります。
詳しくはメーカにお尋ねいただくか、以下のセキュリティサイトをご確認の上対応をお願い致します。

• http://www.microsoft.com/japan/

　本セキュリティホールに関する情報

• https://technet.microsoft.com/ja-jp/library/security/ms15-078
• https://technet.microsoft.com/ja-jp/library/security/ms15-079
• https://technet.microsoft.com/ja-jp/library/security/ms15-080
• https://technet.microsoft.com/ja-jp/library/security/ms15-081
• https://technet.microsoft.com/ja-jp/library/security/ms15-082
• https://technet.microsoft.com/ja-jp/library/security/ms15-083
• https://technet.microsoft.com/ja-jp/library/security/ms15-084
• https://technet.microsoft.com/ja-jp/library/security/ms15-085
• https://technet.microsoft.com/ja-jp/library/security/ms15-086
• https://technet.microsoft.com/ja-jp/library/security/ms15-087
• https://technet.microsoft.com/ja-jp/library/security/ms15-088
• https://technet.microsoft.com/ja-jp/library/security/ms15-089
• https://technet.microsoft.com/ja-jp/library/security/ms15-090
• https://technet.microsoft.com/ja-jp/library/security/ms15-091
• https://technet.microsoft.com/ja-jp/library/security/ms15-092
• https://technet.microsoft.com/ja-jp/library/security/ms15-093

---

本件に関する問い合せ窓口

• 問い合わせ先はこちら

---

*1

弊社では、セキュリティ対応に関して正確な情報を提供するよう努力しておりますが、セキュリティ問題に関する情報は変化しており、当ホームページで記載している内容を予告なく変更することがありますので、あらかじめご了承ください。情報ご参照の際には、常に最新の情報をご確認いただくようお願いします。

*2

当ホームページに記載されている製品には、他社開発製品が含まれております。これらのセキュリティ情報については他社から提供、または公開された情報を基にしております。弊社では、情報の正確性および完全性について注意を払っておりますが、開発元の状況変化に伴ない、当ホームページの記載内容に変更が生じることがあります。

*3

当ホームページはセキュリティ情報の提供を目的としたものであり、法律上の責任を負うものではありません。お客様が独自に行なった（あるいは行なわなかった）セキュリティ対応その他のご行為の結果につきまして、弊社では責任を負いかねます。