本文へジャンプ

重要セキュリティー情報 > 

AIX 5L V5.3におけるメール・サービス(pop3d,pop3ds,imapdおよびimapds)の脆弱性
概要

公開日： 2007年2月8日

AIX 5L V5.3 の pop3d、pop3ds、imapdおよびimapds メール・サービスにおいて脆弱性が発見されました。IBM はこの脆弱性の修正プログラムを提供します。

現象

AIX 5L V5.3 の pop3d、pop3ds、imapdおよびimapds メール・サービスにおいて脆弱性が発見されました。この脆弱性により、特定の環境ではセキュリティー認証を回避される可能性があります。


対象製品

AIX 5L V5.3


確認方法

pop3d、pop3ds、imapdおよびimapds は bos.net.tcp.server ファイルセットにより提供されます。このファイルセットについて、次のコマンドでバージョン情報を確認してください。
# lslpp -L bos.net.tcp.server
本脆弱性については、次のバージョンで影響があります。


AIX Release Lower Level Upper Level
AIX 5.3 5.3.0.30 5.3.0.52

対応方法

【A：正式な修正】
次の修正プログラムが提供される予定です。
APAR number for AIX 5.3.0: IY93084 (出荷予定日：2007年3月7日)
これらのAPARの適用の際に、最新のテクノロジー・レベルにアップデートされることを推奨します。

注： AIX5L の修正プログラムは、IBMのWebサイト Quick links for AIX fixes (英語)より、Specific fixes => ＜所定の AIX レベル＞を選択し、APAR number or abstract => ＜所定のAPAR番号＞を指定し、入手します。
AIX5L の最新テクノロジー・レベルも Quick links for AIX fixes (英語)より、入手できます。

【B：暫定フィックス(Interim Fix、ifix)】

暫定フィックスは下記サイトよりダウンロードできます。
ftp://aix.software.ibm.com/aix/efixes/security/pop3d_ifix.tar.Z

pop3d_ifix.tar.Z は tar 形式の圧縮ファイルです。まず uncompress コマンドと tar コマンドを使用して、ファイルを解凍、復元してください。
その後、セキュリティ勧告の英語原文、次の暫定フィックスとそれぞれの暫定フィックスの PGP 署名ファイルが復元されたことを確認してください。

Filename sum md5
IY93084_03.070111.epkg.Z 30827  2193  f2eaab199ede9f1558f2cdbcb5bf1c4e
IY93084_04.070111.epkg.Z 55091 2198 d9bdd94a06a6644b1e409130e0545237
IY93084_05.070123.epkg.Z 61360 2201 cb24548b7ba7cb80d6c5142de62db092

重要
a.  sum と md5 値は sum および md5sum コマンドにて確認できます。
ファイルの復元後、暫定フィックスのsum値が正確であるか、PGP署名ファイルが含まれているかを確認してください。
問題があるとき、ファイルの解凍、復元作業とファイルダウンロード用のウェブ・サイト・アドレスを再確認してください。
問題を判明できない場合、SWMA/PAテクニカルサポート総合窓口へお問い合わせください。
b.  暫定フィックスが適切なAIXバージョンとテクノロジー・レベルに適用されることを確保するため、インストール時、前提ファイルの自動確認が行われます。
暫定フィックスの適用には、次のレベルのbos.net.tcp.serverファイルセットが前提となります。
 
Interim
Fix		 Fileset Level
(lower limit)		 Fileset Level
(upper limit)		 AIX
Level
IY93084_03.070111.epkg.Z 5.3.0.30 5.3.0.30 5300-03
IY93084_04.070111.epkg.Z 5.3.0.40 5.3.0.40 5300-04
IY93084_05.070123.epkg.Z 5.3.0.50 5.3.0.52 5300-05
c.  暫定フィックスの適用前にmksysbを取ることを推奨します。
そして、取得したmksysbが実行できるかどうかも確認しておいてください。
d.  暫定フィックスは完全なリグレッション・テストが行われていません。
そのため、IBMはすべての環境で正しく稼動することを保証しておりません。
お客様の自己責任で適用いただくことをご了承ください。

注： AIX5Lのすべての暫定フィックスは、ftp://aix.software.ibm.com/aix/efixes/security より、入手できます。

暫定フィックスのインストール手順
pop3d_ifix.tar.Z ファイルが復元された後、ご使用の AIX レベルと一致する暫定フィックスを選択して適用してください。
暫定フィックスの適用には、新しい暫定フィックスマネージャー(emgr)を使用します。詳しい情報はこちらをご参照ください。

http://www14.software.ibm.com/webapp/set2/sas/f/aix.efixmgmt/home.html (英語)
  1. 暫定フィックスのインストール・プレビューを行ってください。
    # emgr -e ipkg_name -p (ipkg_name は ご使用のAIXレベルと一致する暫定フィックス名です)
  2. 暫定フィックスを適用してください。
    # emgr -e ipkg_name -X (ipkg_nameは ご使用のAIXレベルと一致する暫定フィックス名です。"X" オプションはemgrの実行に十分なスペースがない場合にファイルシステムの拡張を試みます)

【C：回避策】

pop3d、pop3ds、imapdおよびimapds メール・サービスを使用しない時には、これらのデーモンを停止してください。

お問合せ先

SWMA/PAテクニカルサポート総合窓口
（有効なメンテナンス契約IBM番号をお持ちのお客様）
電話：0120-557-971
受付時間：月〜金 9:00〜17:00（祝日、12/30〜1/3を除く）


参考情報 （情報源）
IBM SECURITY ADVISORY: AIX 5.3 : Security advisories (2007.01.26) Authentication vulnerability in pop3d, pop3ds, imapd and imapds. (英語)

上に戻る