-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 各位 JPCERT-AT-2011-0032 JPCERT/CC 2011-12-05 <<< JPCERT/CC Alert 2011-12-05 >>> Java SE を対象とした既知の脆弱性を狙う攻撃に関する注意喚起 https://www.jpcert.or.jp/at/2011/at110032.txt I. 概要 JPCERT/CC では、Oracle 社の Java SE JDK 及び JRE の既知の脆弱性を狙う 攻撃を確認しています。2011年10月11日に公開された Java SE JDK 及び JRE 6 Update 29 より前のバージョンを使用している場合、遠隔の第三者によって 任意のコードを実行される可能性があります。脆弱性の詳細については、 Oracle 社の情報を確認してください。 Oracle Java SE Critical Patch Update Advisory - October 2011 http://www.oracle.com/technetwork/topics/security/javacpuoct2011-443431.html JPCERT/CC では、本脆弱性を使用した攻撃サイトを確認しており、現時点で 2つの攻撃手法を確認しています。 1. 正規サイトが改ざんされ、サイトにアクセスしたユーザを攻撃サイトに 転送し、マルウエアに感染させようとするケース 2. スパムメールの本文内に記載されたリンクをユーザにアクセスさせ、攻 撃サイトに誘導し、マルウエアに感染させようとするケース 既に、脆弱性診断ツールの一部や、いわゆるガンブラーで用いられた Exploit Kit の一部にも組み込まれていることを確認しています。本脆弱性を 対象とした攻撃活動が拡大する可能性が考えられますので、Oracle 社が提供 する対策済みソフトウエアへアップデートの実施をお勧めします。 II. 対象 Java SE JDK および JRE 6 Update 27 以前 JDK/JRE の製品サポート期間について: JDK/JRE 5.0 系列の製品は 2009年10月30日にサポート期間が満了したことに より、無償アップデートは終了しています。アプリケーションのバージョン アップや有償サポートへの加入をご検討下さい。 Java SE 6 End of Life (EOL) Notice (英語) http://www.oracle.com/technetwork/java/eol-135779.html ※ 一部メーカー製 PC では、JRE がプリインストールされている場合があり ます。念のため、利用中の PC に JRE がインストールされているかどう かを確認してください。 III. 対策 Oracle 社から修正済みソフトウエアが公開されています。修正済みソフトウ エアへアップデートしてください。 - Java SE 6 Update 29 全オペレーティングシステムの Java のダウンロード一覧 http://java.com/ja/download/manual.jsp?locale=ja IV. 参考情報 Oracle Oracle Java SE Critical Patch Update Advisory - October 2011 http://www.oracle.com/technetwork/topics/security/javacpuoct2011-443431.html October 2011 Critical Patch Updates Released http://blogs.oracle.com/security/entry/october_2011_critical_patch_updates NTTデータ先端技術株式会社 Oracle Java SE JDKおよびJREのRhinoスクリプトエンジンの脆弱性（CVE-2011-3544）に関する検証レポート http://security.intellilink.co.jp/article/vulner/111202.html So-net セキュリティ通信 修正されたばかりのJREの脆弱性を突く実証コード公開 http://security-t.blog.so-net.ne.jp/2011-12-01 今回の件につきまして当方まで提供いただける情報がございましたら、ご連 絡ください。 ====================================================================== 一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC) MAIL: info@jpcert.or.jp TEL: 03-3518-4600 FAX: 03-3518-4602 https://www.jpcert.or.jp/ -----BEGIN PGP SIGNATURE----- iQEVAwUBTtwjjzF9l6Rp7OBIAQggFwf+P06PiUqciv3k8jTa8Yws/bYWGfxBiRls 9b5j1rQ7nrPYCpBrnLd1s5aoRP2oPQ4rMnydHYZgztVp2BvU03ZYhPTwFSaqlpNh sA4Kf0aGM7q0OLG5pxsK7UgxUc/RSp6HBbg2P755CnATxW+b27OS106V3Aka7aGp 0/488VWEHqK39N3e1TUNLtm0Uu7GtrqWunFVWRcKODxOTq/ph0N0AU0RTMn7ovCI egCI30wGwEtLpqKB1/AhNJ1jiVZVbvx2o8pK8qBuJavrng2sOcWQJ0Z46K74OdOa 8kAADmRVY+ljs/QxAtX0Vm+7q9GEqV7Wcox1nqGz4PM10KUh3RCVxQ== =O2q6 -----END PGP SIGNATURE-----