■問題概要、影響範囲

クロスサイトリクエストフォージェリとは、攻撃者が既存のログオンセッションを利用して、ユーザが意図しないHTTPリクエストをWebサーバに送信することにより、Webサーバ上の何らかの機能が実行される問題です。

該当製品 でこの脆弱性が利用された場合、管理コンソールにログオンできる管理者アカウントが意図せず作成される可能性があります。
なお、作成された管理者アカウントは、管理コンソール「管理者アカウント」ページに表示されます。


■ 脆弱性が利用される条件
・該当製品の 管理コンソールにログオン中
かつ
・「管理者アカウント」ページでアカウント追加操作、または既存アカウント編集操作を実行中の状態
かつ
・攻撃者が何らかの方法で準備した、アカウント作成のためのHTTPリクエストが記載されたURLに、ログオンユーザにアクセスさせた場合


■問題の発生する製品、バージョン
- InterScan Messaging Security Suite 7.1 Windows版
- InterScan Messaging Security Suite 7.0/7.1 Linux版
- InterScan Messaging Security Suite 7.0 Solaris版
- InterScan Messaging Security Virtual Appliance 7.0/8.0/8.2
- InterScan Messaging Security Appliance 7.0
■対処
１．Critical Patch の適用
各プラットフォーム、製品については順次Critical Patchをご用意いたします。
新たな情報については、本ページにてご連絡いたします。

Critical Patch 公開日予定日
製品名	バージョン	公開予定日	ダウンロードURL
InterScan Messaging Security Suite Windows版	7.1	2012/10/15	こちら
InterScan Messaging Security Suite Linux版	7.0	2012/12/10	こちら
InterScan Messaging Security Suite Linux版	7.1	2012/11/28	こちら
InterScan Messaging Security Suite Solaris版	7.0	2012/12/10	こちら
InterScan Messaging Security Appliance	7.0	2012/12/20	こちら
InterScan Messaging Security Virtual Appliance	7.0	2012/12/17	こちら
InterScan Messaging Security Virtual Appliance	8.0	2012/12/5	こちら
InterScan Messaging Security Virtual Appliance	8.2	2012/10/30	こちら

２．回避策
以下の対処により、この脆弱性が利用されるリスクを低くすることができます。

（1） ファイアウォールなどで、外部からの管理コンソール (8445/tcp) へのアクセスを遮断し、必要に応じて社内イントラネットからのアクセスを制限してください。
（2）管理コンソールログオン時のタイムアウト値を短くします。
変更方法については以下のFAQの順を確認してください。

管理コンソールタイムアウト値の変更方法

以上で操作は完了です。

■ 関連する製品Q&A

アラート/アドバイザリ： CVE-2012-2995　クロスサイトスクリプティング(XSS)の脆弱性について