（参考）Lotus Sametime Community Services multiplexer (MUX) のスタックオーバーフローに関する潜在的な脆弱性の問題

Lotus Sametime Community Services multiplexer (MUX) の潜在的なスタックオーバーフローに関する脆弱性の問題が、TippingPoint's Zero Day Initiative より IBM Lotus に報告されました。

アドバイザリー（注意喚起）へは下記のリンクからアクセスできます。
Zero Day Initiative : Advisories

攻撃者がこの脆弱性を利用するためには、下記の手順を踏む必要があります。

• Lotus Sametime サーバーがインストールおよび設定されている
• 攻撃者は HTTP 経由で Lotus Sametime サーバーへの接続を確立することができる
• 攻撃者が Lotus Sametime サーバーへ特殊な HTTP リクエストを送信する
• Lotus Sametime Community Services multiplexer (Mux) が悪意あるリクエストを処理することにより、スタックオーバーフローが引き起こされる

本件は問題報告番号 RDES7CALDL として Lotus Quality Engineering に報告され、Lotus Sametime 8.0.1 で修正されました。そのほかのリリースでの対応については、下記をご参照ください。

Lotus Sametime 8.0 の場合：

（オプション 1）
Lotus Sametime 8.0.1 へアップグレードしてください。

（オプション 2）
すぐに 8.0.1 にアップグレードすることが難しい場合は、ロータスカスタマーサポートまでご連絡ください。この問題に対する修正モジュールを提供可能です。

Lotus Sametime 7.5.1 の場合：

（オプション 1）
すでに CF1 を適用済みの場合は、Fix Central より修正モジュール（Hotfix）ICAE-7DPP83 を入手してください。

（オプション 2）
Lotus Sametime 7.5.1 Cumulative Fix 1 (CF1) を未適用で、すぐに適用することが難しい場合は、ロータスカスタマーサポートまでご連絡ください。この問題に対する修正モジュールを提供可能です。

Lotus Sametime 7.0 の場合：
ロータスカスタマーサポートまでご連絡ください。この問題に対する修正モジュール ICAE-7DPNVH を提供可能です。

Lotus Sametime 6.5.1 Fix Pack 1 (FP1) の場合：
ロータスカスタマーサポートまでご連絡ください。この問題に対する修正モジュール ICAE-7DPNNW を提供可能です。

本事象はセキュリティ問題に該当しているため、問題の再現手順など詳細に関するお問い合わせについて、ここに掲載された以上の情報提供を行っておりません。セキュリティ保全の観点による措置のため、あらかじめご了承いただきますようお願いします。

重要度、発生頻度など当事象を評価する情報については、以下の CVSS 評価値を利用ください。CVSS の評価値の読み方については、「共通脆弱性評価システム CVSS V2 概説」をご参照ください。

(英文)「Potential IBM Lotus Sametime Mux Stack Overflow Vulnerability」(Technote #1303920)