脆弱性の重要情報 脆弱性ID: ASA-2012-03-01 公開日: 2012-03-20 脆弱性の概要: CertFP エントリの不適切なクリーンアップにより、未定義の動作（特権昇格またはクラッシュ）が発生する可能性があります。 影響を受けるバージョン: - 5.2.0 - 5.2.6 - 6.0.0 - 6.0.9 - 7.0.0-alpha1 - 7.0.0-beta1 CVSSv2 ベーススコア: 7.5 アクセスベクトル: ネットワーク アクセス複合度: 中程度 認証要件: 複数インスタンス 影響: - 機密性: 完全 - 整合性: 部分的 - 可用性: 完全 悪用の可能性: 機能的な脆弱性が存在 修正レベル: 公式修正 報告の信頼性: 確認済み 影響の概要 問題の概要: アカウントが期限切れまたは削除された場合、CertFP エントリが存在し続け、時折、割り当て済みオブジェクトや別のアカウントオブジェクトを指すことがあります。攻撃者が特定の CertFP フィンガープリントを持つアカウントを作成および削除すると、他のアカウントに知られることなく、将来の別のアカウントにアクセスできる可能性があります。 追加影響: サービスの再起動時に、ディスク上のオブジェクトストレージのデシリアライズ処理中に異常条件が発生する可能性があります。 脆弱性の発見 発見者: Aaron M.D. Jones 報告リンク: Jira SRV-166 解決策 パッチバージョン: - Atheme 5.2.7, 6.0.10, 7.0.0-beta2 アップグレード推奨: 最新バージョンへのアップグレードを強く推奨します。 連絡先情報 IRC: irc.atheme.org #atheme-project Web: www.atheme.org