概要
公開日： 2007年06月14日
現象
AIX5.2、5.3の Perlインタープリターとそれに関連するPerlのバイナリに脆弱性が発見されました。
この脆弱性によりローカル・ユーザーが別のユーザーとして任意のコードを実行できてしまいます。
対象製品
AIX5.2およびAIX5.3
確認方法
PerlインタープリターとPerのバイナリは perl.rte ファイルセットにより提供されます。このファイルセットについて、次のコマンドでバージョン情報を確認してください。
# lslpp -L perl.rte
本脆弱性については、次のバージョンで影響があります。
| AIX Release | Lower Level | Upper Level |
|---|---|---|
| AIX 5.2 | 5.8.0.10 | 5.8.0.95 |
| AIX 5.3 | 5.8.2.10 | 5.8.2.50 |
対応方法
【A：正式な修正】
次の修正プログラムが提供される予定です。
APAR number for AIX 5.2.0: IY98394 (available approx. 2007年7月25日)
APAR number for AIX 5.3.0: IY98395 (available approx. 2007年4月7日)
これらのAPARの適用の際に、最新のテクノロジー・レベルにアップデートされることを推奨します。
注：AIX5Lの修正プログラムは、IBMのWebサイトQuick links for AIX fixes(US)より、
Specific fixes => ＜所定のAIXレベル＞ を選択し、
APAR number or abstract => ＜所定のAPAR番号＞を指定し、入手します。
AIX 5Lの最新メンテナンス・レベルもQuick links for AIX fixes(US)より、入手できます。
【B：暫定フィックス(Interim Fix、ifix)】
暫定フィックスは下記サイトよりダウンロードできます。
ftp://aix.software.ibm.com/aix/efixes/security/perl_ifix.tar.Z(US)
perl_ifix.tar.Z は tar 形式の圧縮ファイルです。まず uncompress コマンドと tar コマンドを使用して、ファイルを解凍、復元してください。
その後、セキュリティ勧告の英語原文、次の暫定フィックスとそれぞれの暫定フィックスの PGP 署名ファイルが復元されたことを確認してください。
| Filename | sum | md5 | |
|---|---|---|---|
| IY98394.051407.epkg.Z | 63922 | 14844 | 6fe2f7bd7f4cc66c5acba17a71361baf |
| IY98395.051407.epkg.Z | 20736 | 15234 | d7977aea2a5c364634fe3f2dbd805899 |
重要
【a.】sum と md5 値は sum および md5sum コマンドにて確認できます。ファイルの復元後、暫定フィックスの sum 値が正確であるか、PGP 署名ファイルが含まれているかを確認してください。
問題があるとき、ファイルの解凍、復元作業とファイルダウンロード用のウェブ・サイト・アドレスを再確認してください。問題を判明できない場合、SWMA/PAテクニカルサポート総合窓口へお問い合わせください。
【b.】暫定フィックスの適用には、次のレベルの perl.rte ファイルセットが前提となります。
| Interim Fix |
Fileset Level (lower limit) |
Fileset Level (upper limit) |
AIX Release |
|---|---|---|---|
| IY98394.051407.epkg.Z | 5.8.0.10 | 5.8.0.95 | AIX 5.2 |
| IIY98395.051407.epkg.Z | 5.8.2.10 | 5.8.2.50 | AIX 5.3 |
【c.】暫定フィックスの適用前にmksysbを取ることを推奨します。
そして、取得したmksysbが実行できるかどうかも確認しておいてください。
【d.】暫定フィックスは完全なリグレッション・テストが行われていません。
そのため、IBMはすべての環境で正しく稼動することを保証しておりません。
お客様の自己責任で適用いただくことをご了承ください。
注：AIX5Lのすべての暫定フィックスは、ftp://aix.software.ibm.com/aix/efixes/security(US) より、入手できます。
暫定フィックスのインストール手順
perl_ifix.tar.Z ファイルが復元された後、次の手順に従って、暫定フィックスを適用してください。暫定フィックスの適用には、新しい暫定フィックスマネージャー(emgr)を使用します。詳しい情報はこちらをご参照ください。
http://www14.software.ibm.com/webapp/set2/sas/f/aix.efixmgmt/home.html (US)
- 暫定フィックスのインストール・プレビューを行ってください。
# emgr -e ipkg_name -p (ipkg_name は ご使用のAIXレベルと一致する暫定フィックス名です) - 暫定フィックスを適用してください。
# emgr -e ipkg_name -X (ipkg_nameは ご使用のAIXレベルと一致する暫定フィックス名です。"X" オプションはemgrの実行に十分なスペースがない場合にファイルシステムの拡張を試みます)
お問合せ先
SWMA/PAテクニカルサポート総合窓口
（有効なメンテナンス契約IBM番号をお持ちのお客様）
電話 ：0120-557-971
受付時間：月曜日～金曜日 9時～17時（祝日、12月30日～1月3日を除く）