[IT][セキュリティ]InterScan Web Security Virtual Appliance 6.5 Critical Patch (build 1339) 公開のお知らせ：サポート情報 : トレンドマイクロ

（情報元のブックマーク数）

InterScan Web Security Virtual Appliance 6.5 Critical Patch (build 1339) リリース、幾つかのAPIでリモートで任意のコードを実行できる脆弱性対応

InterScan Web Security Virtual Appliance 6.5 Critical Patch (build 1339) を下記日程にて公開いたします。

■ 公開開始日

2016/5/20(金)

■修正内容

本Critical Patchは、次の事象を主に修正するために公開されます。また、本Critical Patchには、Critical Patch (build 1337)の修正も含まれております。

IWSVAが使用するいくつかのAPIにおいて、リモートで任意のコードを実行される可能性がある問題

その他の修正については、付属の Readmeファイルまたは 製品Q&A をご覧ください。

■入手方法

本製品は次のページからダウンロードできます。

「ダウンロードページ ： InterScan Web Security Virtual Appliance 6.5」

サポート情報 : トレンドマイクロ

   問題:
     IWSVAが使用するいくつかのAPIにおいて、リモートで任意のコードを実行される可
     能性がある問題

   修正:
     本Critical Patchの適用後は、この問題が修正されます。

   7.1 以前にリリースされたHotFix
   ==============================
   注意: 本リリースでは、最新のHotFixのみテストされています。以前にリリースされ
         たHotFixについては、それぞれのHotFixのリリース時にテストされています。

   HotFix 1330
   -----------
   問題:
     IWSVAのユーザ識別機能が有効な場合に、特定のクライアントアプリケーションで
     認証がスキップされず、アプリケーションを実行できない問題

   修正:
     本HotFixの適用後は、ユーザ識別機能が有効でHTTP要求に「user-agent」ヘッダが
     含まれていない場合、HTTP要求の処理で認証をスキップすることにより、この問題

   HotFix 1334
   -----------
   問題1:
     Tomcatのログファイル「catalina.out」がローテーションされず、大きくなりすぎ
     る問題

   修正1:
     本HotFixの適用後は、ログローテーション設定ファイル 
     (/etc/logrotate.d/tomate) が提供され、ログが毎日ローテーションされるように
     なります。
   ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
   問題2:
     日本語版IWSVAの現行バージョンではHTTPS復号にSHA-1のみがサポートされるた
     め、WebブラウザでSHA-1が廃止されると、ユーザがHTTPS復号を有効にしたときに
     IWSVAから独自の証明書が返される問題

   修正2:
     本HotFixの適用後は、日本語版IWSVAでSHA-256の証明書を提供する認証局 (CA) が
     サポートされるようになります。

   HotFix 1335
   -----------
   問題:
     AUConn.shファイルで誤ったURL情報が使用されていることに起因して、[管理]→
     [サポート情報]→[配信診断] 画面で [AU接続] のステータスが常に「失敗」と表
     示される問題

     この問題はコンポーネントのアップデートには影響しません。

   修正:
     本HotFixの適用後は、AUConn.shファイルが正しいURLでアップデートされ、[AU
     接続] のステータスが正しく表示されるようになります。

   HotFix 1336
   -----------
   問題:
     IWSVA 5.6から6.5に設定ファイルをインポートする際、HTTP検査ポリシーが正しく
     移行されないことがある問題

   修正:
     本HotFixの適用後は、この問題が修正されます。

   Critical Patch 1337
   -------------------
   問題1:
     HTTPS復号化機能が有効な場合に、メモリリークの問題が発生することがある問題

     HTTPS復号化機能が有効な場合、IWSVA 6.5で「post_connection_check」関数が
     呼び出され、サーバの証明書が確認されます。この際に、OpenSSLのメモリ解放
     関数が自動的に実行されないことがあり、この問題が発生していました。

   修正1:
     本Critical Patchの適用後は、IWSVA 6.5で「sk_CONF_VALUE_pop_free」関数
     および「ASN1_item_free」関数が呼び出され、メモリが使用後ただちに解放され
     るようになり、この問題が修正されます。
   ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
   問題2: (HotFix 1334 の問題1と同一内容)
     Tomcatのログファイル「catalina.out」がローテーションされず、時間の経過と
     ともに大きくなりすぎる問題

   修正2:
     本Critical Patchの適用後は、ログファイル用にログローテーション設定ファイル
     (/etc/logrotate.d/tomcat) が追加され、ログが毎日ローテーションされるように
     なり、この問題が修正されます。

   HotFix 1338
   -----------
   問題:
     「libhttpconn.so」が「getHostAddr」情報を取得できない場合、メモリリークが
     発生することがある問題

     情報の取得に複数回失敗した場合、iwssdプロセスがクラッシュしその他のアプリ
     ケーションまたはソフトウェアとの接続を確立する機能に影響を及ぼすことがあり
     ます。

   修正:
     本HotFixの適用後は、「libhttpconn.so」のメモリリークが修正され、この問題が
     修正されます。