KDDI ウェブコミュニケーションズ

【重要】UNIX 系 OS のシェル [bash] の脆弱性に関する当社サービスへの影響と対応について（第二報）

2014.10.03

平素は格別のご高配賜り厚くお礼申し上げます。

2014 年 9 月 25 日に一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）をはじめとする関係各所から発表された bash の脆弱性（CVE-2014-6271、CVE-2014-7169、CVE-2014-6277、CVE-2014-6278、以下本脆弱性）に関して、当社が提供しているサービスへの影響、ならびに対応方針について、第二報をお知らせいたします。

以下のサービスにおいて、インターネット上で情報が公開されているようなbash の脆弱性は存在しますが、当社で採用しているサービスシステムでは影響を受ける条件が限定されます。
しかしながら、万全を期すため本脆弱性の対応パッチの適用を以下のスケジュールで進めてまいります。

  • レンタルサーバー CPI
    ＊ 2014 年 10 月 6 日から順次対応を開始し、10 月 17 日までにすべてのプランの対応を完了予定でございます。
    シェアードプラン：S シリーズ、G シリーズ、2007（GT）シリーズ、 X シリーズ、Z シリーズ、ZZ シリーズ、ACE シリーズ
    ストアカートプラン
    マネージドプラン：Pro1 シリーズ、Pro10 シリーズ、V シリーズ、MG シリーズ、CHM シリーズ、CHM-S シリーズ

以下のサービスは脆弱性の対応が完了しております。

root権限付きレンタルサーバーへの影響

root 権限付きレンタルサーバーにつきましては、bash をご利用されている場合、お客様にて bash のバージョンをご確認いただき、バージョンアップ等のご対応をお願いいたします。

  • VPSスケーラブルプラン
    VSシリーズ、VPシリーズ
  • RouteOne、Windows One
  • カスタマイズエンジン
  • CloudCore Hybrid 専用サーバー、クラウドサーバー
  • CloudCoreVPS
  • 専用サーバー
    ハイブリッドプラン：物理専用サーバー（CHP）、仮想専用サーバー（CHV）

以下の bash のバージョンをご利用の場合、脆弱性の影響を受けます。

  • bash 4.3 Patch 25 およびそれ以前
  • bash 4.2 Patch 48 およびそれ以前
  • bash 4.1 Patch 12 およびそれ以前
  • bash 4.0 Patch 39 およびそれ以前
  • bash 3.2 Patch 52 およびそれ以前
  • bash 3.1 Patch 18 およびそれ以前
  • bash 3.0 Patch 17 およびそれ以前

参考：GNU bash の脆弱性に関する注意喚起（一般社団法人 JPCERT コーディネーションセンター ）

今後も提供サービスの安定運用、維持管理を徹底し、お客様に安心してサービスをご利用いただけるように努めてまいります。

本情報は、進展あり次第更新をしてまいります。