Hewlett Packard (HP) ProCurve Manager (PCM), PCM+, Identity Driven Manager (IDM), and Application Lifecycle Management のリモートコード実行の脆弱性（CVE-2013-4810）

何が起きた

HP のネットワーク管理ソフト ProCurve Manager (PCM)、PCM+、Identity Driven Manager (IDM)、Application Lifecycle Management に弱点が見つかりました。EJBInvokerServlet や JMXInvokerServlet という受け口に細工したデータ（マーシャリングされたオブジェクト）を送ると、任意のプログラム（攻撃者が好きに選べるプログラム）を実行される可能性があります。NVD の評価では、離れた場所からログインなしで、利用者の操作もなしに攻撃できます。実際の攻撃での悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、HP ProCurve Manager (PCM) 3.20 と 4.0、PCM+ 3.20 と 4.0、Identity Driven Manager (IDM) 4.0、Application Lifecycle Management が対象です。HP の勧告 HPSBPV02918 では、この弱点の対象として HP IDM v4.00 が挙がっています。

何をすればいい

HP の勧告では、問題を直す更新ソフトを提供しており、PCM の AutoUpdate 機能で更新するよう案内しています。勧告の表では、この弱点に対して HP PCM v4.00 AutoUpdate #6（04.00.06.628）が示されています。Application Lifecycle Management の修正については、この勧告からは不明です。あわせてメーカーの公式の案内を確認してください。

やることチェックリスト

• PCM の AutoUpdate 機能で更新ソフトを適用する
• PCM v4.00 を AutoUpdate #6 に更新する
• IDM v4.00 を使う環境も更新する

用語メモ

マーシャリング

プログラムの中のデータを、通信で送れる形に変換することです。受け取る側が元に戻すときに細工が悪用されることがあります。

AutoUpdate

PCM に用意されている、更新ソフトを取り込むための機能です。