【重要】RightFax、RightFax for FoIPの脆弱性に関するセキュリティパッチ公開について

仮想化対応FAXサーバー『RightFax』

サポート

RightFax、RightFax for FoIPの脆弱性に関するセキュリティパッチ公開について

公開日：2012年10月9日

RightFax、RightFax for FoIP の開発元であるOpenTextより、製品の脆弱性に関するセキュリティパッチが公開されましたのでお知らせします。

OpenTextはUS-CERTが示したOracle Outside Inテクノロジーの脆弱性（VU#118913）を受けて、RightFaxのセキュリティパッチを公開しました。

▼Oracle Outside Inテクノロジーの脆弱性に関するサイト
http://www.kb.cert.org/vuls/id/118913（英文）
http://jvn.jp/cert/JVNVU118913/

これを受け、ハンモックではパッチの入手方法等に関する問い合わせ窓口を開設しました。

RightFax セキュリティパッチに関するお問い合わせフォーム
※こちらのフォーム以外からの問い合わせは受付できません。

■本件に関する技術情報Q&A

Q1.	どのような脆弱性ですか？
A1.	RightFax は送信ファイルをFAXイメージに変換する過程で Oracle Outside In Technology を利用しています。その Oracle Outside In Technology がファイルを処理する過程の脆弱性を利用し、任意のコードが実行される可能性があります。
Q2.	どのようなファイルを処理する場合に問題が生じる可能性がありますか？
A2.	脆弱性を利用するために細工されたファイルです。
Q3.	危険性のレベルはどの程度ですか？
A3.	メーカーは以下の4段階の内、今回のケースをHIGHと位置付けています。 HIGH：（そのままの状態で、）この問題はアタッカーにデータ要素の機密性、整合性、入手可能性を侵害する機会を与える。あるいは、プログラム等を侵害する機会を与える。 MEDIUM：いくつかの前提条件を満たしている場合、この問題はアタッカーにデータ要素の機密性、整合性、入手可能性を侵害する機会を与える。あるいは、プログラム等を侵害する機会を与える。 LOW：プログラム等のセキュリティに対して重大なリスクは低い。 INFORMATION：特定の条件下においてリスクの可能性がある。
Q4.	Oracle 関連の連携機能をつかっていなくても対象になりますか？
A4.	はい、対象となります。
Q5.	パッチはありますか？
A5.	はい、RightFax9.4 FP1 SR4 に対するパッチがあります。それより前のバージョンに対するパッチはありません。
Q6.	パッチ適用手順はどうすれば良いですか？（更新されるファイルは？）
A6.	RightFax\INSOフォルダーの全ファイルとRightFax\WorkSrv\worksrv.exeです。 RightFax のバージョンを確認 RightFax サービスの停止ファイルの更新 RightFax サービスの開始
Q7.	RightFax9.4 FP1 SR4 より前のバージョンにも当該脆弱性があるということですか？
A7.	はい、全ての RightFax に当該脆弱性があります。
Q8.	バージョンが RightFax9.4 FP1 SR4 か確認する方法は？
A8.	RightFax\binフォルダーのfaxserv.exeのファイルバージョンで確認します。 faxserv.exeのファイルバージョンが9.4.1.4070の場合、RightFax9.4 FP1 SR4 です。
Q9.	RightFax9.4 FP1 SR4 より前のバージョンに当該パッチを適用するには？
A9.	当該パッチを適用する前に RightFax9.4 FP1 SR4 へのアップグレードが必要です。

【重要】RightFax、RightFax for FoIPの脆弱性に関するセキュリティパッチ公開について｜仮想化対応FAXサーバー『RightFax』

『RightFax』は豊富な機能を標準搭載しFAX送受信を効率化。
『PCからかんたんにFAXを送受信』一人1台のFAX環境を実現。FAX情報のデータ化によりセキュリティ向上とコスト削減を実現いたします。

仮想化対応FAXサーバー『RightFax』

ページ先頭へ