US-CERT Vulnerability Note VU#166521
MSN Messenger and Windows Live Messenger webcam stream heap overflow
http://www.kb.cert.org/vuls/id/166521

CIAC Bulletin R-332
MSN Messenger and Windows Live Messenger Webcam Vulnerability
http://www.ciac.org/ciac/bulletins/r-332.shtml

概要

MSN メッセンジャーおよび Windows Live メッセンジャーの webcam ス
トリームの処理には、ヒープオーバーフローの脆弱性があります。結果
として、遠隔の第三者が細工した webcam ストリームをユーザに受け入
れさせることで、ユーザの権限で任意のコードを実行する可能性があり
ます。なお、本件に関しては攻撃方法に関する情報が公開されています。

対象となるバージョンは以下の通りです。

- MSN メッセンジャー 7.x およびそれ以前
- Windows Live メッセンジャー 8.1 より前のバージョン

この問題は、マイクロソフトが提供する修正済みの Windows Live メッ
センジャー 8.1 に該当する製品を更新することで解決します。

なお、Windows Live メッセンジャーは、Windows 2000 には対応してい
ません。Windows 2000 において MSN メッセンジャーを使用する場合に
は、送信元に関わらず webcam の招待を受け入れないよう注意してくだ
さい。

【2】Yahoo! メッセンジャーにヒープオーバーフローの脆弱性

情報源

US-CERT Vulnerability Note VU#515968
Yahoo! Messenger webcam stream heap overflow
http://www.kb.cert.org/vuls/id/515968

概要

Windows 版 Yahoo! メッセンジャーの webcam ストリームの処理には、
ヒープオーバーフローの脆弱性があります。結果として、遠隔の第三者
が細工した webcam ストリームをユーザに受け入れさせることで、ユー
ザの権限で任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃
を行ったりする可能性があります。なお、本件に関しては攻撃方法に関
する情報が公開されています。

対象となるバージョンは以下の通りです。

- 2007年8月22日以前にダウンロードした Windows 版の Yahoo! メッセ
  ンジャー

この問題は、Yahoo! が提供する修正済みのバージョンに Yahoo! メッセ
ンジャーを更新することで解決します。

【3】Cisco 製品に SQL インジェクションおよびクロスサイトスクリプティングの脆弱性

情報源

CIAC Bulletin R-336
XSS and SQL Injection in Cisco CallManager/Unified Communications Manager Logon Page Vulnerabilities
http://www.ciac.org/ciac/bulletins/r-336.shtml

概要

Cisco の CallManager および Unified Communications Manager のロ
グオンページには、SQL インジェクションおよびクロスサイトスクリプ
ティングの脆弱性があります。結果として、遠隔の第三者が機密情報を
取得したり、細工した HTML 文書をユーザに閲覧させることで、ユーザ
のブラウザ上で任意のスクリプトを実行したりする可能性があります。

対象となるバージョンは以下の通りです。

- CallManager および Unified Communications Manager の以下のバージョン
 - 3.3(5)sr2b 以前
 - 4.1(3)sr5 以前
 - 4.2(3)sr2 以前
 - 4.3(1)sr1 以前

この問題は、Cisco が提供する修正済みのバージョンに該当する製品を
更新することで解決します。詳細については Cisco が提供する情報を参
照してください。

【4】BIND 8 の乱数生成に脆弱性

情報源

US-CERT Vulnerability Note VU#927905
BIND version 8 generates cryptographically weak DNS query identifiers
http://www.kb.cert.org/vuls/id/927905

CIAC Bulletin R-333
BIND Version 8 Vulnerable
http://www.ciac.org/ciac/bulletins/r-333.shtml

概要

BIND 8 の乱数生成には脆弱性があります。結果として、遠隔の第三者が
DNS キャッシュを汚染する可能性があります。

対象となるバージョンは以下の通りです。

- BIND 8.4.7 およびそれ以前

BIND 8 のサポートは 2007年8月で終了しており、ISC では BIND 9 の
最新版へ更新することを強く推奨しています。なお、BIND 9 への更新
がすぐにできない場合は、ISC から提供されている 
BIND8.4.7-p1.patch を適用してください。

【5】ドメイン管理者への不審なメール送付について

情報源

概要

WHOIS データベースにて公開されているドメイン名の管理者に対して、
ドメイン名の更新料支払いを促すメールが送付されていることが確認さ
れています。なお、送付されるメールの送信者は、ドメイン名のレジス
トラやリセラーとは関係のない組織となっています。JPCERT/CC では、
この問題についての報告を複数受領しています。

現在、確認されているメールの内容は以下のとおりです。

- 差出人: no-reply@domainrenewal-online.com
- 件名: 所有しているドメイン名

また、メール本文には、メールアドレスやクレジットカード番号などの
個人情報の入力を求める Web サイトへの URL が記載されています。

上記のメールを受け取った際には、メールからリンクされている Web 
サイトで情報を入力しないようにしてください。また、上記以外の更新
料支払いを促すメールを受け取った際には、レジストラやリセラーに確
認するなど慎重な対応をお願いします。

【6】Oracle JInitiator の ActiveX コントロールにスタックバッファオーバーフローの脆弱性

情報源

US-CERT Vulnerability Note VU#474433
Oracle JInitiator ActiveX control stack buffer overflows
http://www.kb.cert.org/vuls/id/474433

CIAC Bulletin R-334
Oracle JInitiator Vulnerabilities
http://www.ciac.org/ciac/bulletins/r-334.shtml

概要

Oracle JInitiator の ActiveX コントロールには、複数のスタックバッ
ファオーバーフローの脆弱性があります。結果として、遠隔の第三者が
細工した HTML 文書をユーザに閲覧させることで、ユーザの権限で任意
のコードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- Oracle JInitiator 1.1.8.16 およびそれ以前

なお、JInitiator 1.3.1.x はこの脆弱性の影響を受けません。

2007年9月4日現在、この問題に対する修正プログラムは提供されており
ません。なお、JInitiator 1.3.1.x を導入しても古いバージョンは削
除されないため、今回の問題は解決されないことに注意してください。

Internet Explorer での回避策として、Kill Bit を設定する、インター
ネットゾーンで ActiveX コントロールを無効にするなどの方法がありま
す。詳細については、下記関連文書を参照してください。

【7】HP OpenView Performance Manager に脆弱性

情報源

CIAC Bulletin R-337
HP OpenView Performance Manager (OVPM) Vulnerability
http://www.ciac.org/ciac/bulletins/r-337.shtml

概要

HP OpenView Performance Manager (OVPM) には脆弱性があります。結果
として、遠隔の第三者が任意のコードを実行する可能性があります。

対象となるプラットフォームおよびバージョンは以下の通りです。

- 以下のプラットフォームで動作する HP OpenView Performance
  Manager (OVPM) 5.x および 6.x
 - HP-UX PA-RISC および IPF B.11.11、B.11.23
 - Solaris 7, 8, 9 
 - Windows 2000、Windows Server 2003 および Windows XP

この問題は、HP が提供する修正済みのバージョンに HP OpenView
Performance Manager を更新することで解決します。

【8】rsync に脆弱性

情報源

CIAC Bulletin R-335
rsync Vulnerability
http://www.ciac.org/ciac/bulletins/r-335.shtml

概要

rsync には脆弱性があります。結果として、遠隔の第三者が細工したディ
レクトリ名を rsync に処理させることで、ユーザの権限で任意のコー
ドを実行する可能性があります。

対象となるバージョンは以下の通りです。

- rsync 2.6.9

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに rsync を更新することで解決します。詳細については、
ベンダや配布元が提供する情報を参照してください。

【9】Asterisk に複数の脆弱性

情報源

CIAC Bulletin R-330
Asterisk Security Vulnerabilities
http://www.ciac.org/ciac/bulletins/r-330.shtml

概要

ソフトウェア PBX の Asterisk には複数の脆弱性があります。結果とし
て、遠隔の第三者が任意のコードを実行したり、サービス運用妨害 (DoS)
攻撃を行ったり、機密情報を取得したりする可能性があります。

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに Asterisk を更新することで解決します。詳細については、
ベンダや配布元が提供する情報を参照してください。

【10】policyd にバッファオーバーフローの脆弱性

情報源

CIAC Bulletin R-338
postfix-policy Vulnerability
http://www.ciac.org/ciac/bulletins/r-338.shtml

概要

Postfix 用のスパム対策プラグイン policyd には、バッファオーバーフ
ローの脆弱性があります。結果として、遠隔の第三者が任意のコードを
実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があり
ます。

対象となるバージョンは以下の通りです。

- policyd 1.81 より前のバージョン

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに policyd を更新することで解決します。詳細については、
ベンダや配布元が提供する情報を参照してください。

【11】Quiksoft EasyMail の ActiveX コントロールに複数のスタックバッファオーバーフローの脆弱性

情報源

US-CERT Vulnerability Note VU#281977
Quiksoft EasyMail SMTP ActiveX control stack buffer overflow vulnerabilities
http://www.kb.cert.org/vuls/id/281977

CIAC Bulletin R-339
Quiksoft EasyMail SMTP ActiveX Vulnerabilities
http://www.ciac.org/ciac/bulletins/r-339.shtml

概要

Quiksoft EasyMail の ActiveX コントロールには、複数のスタックバッ
ファオーバーフローの脆弱性があります。結果として、遠隔の第三者が
細工した HTML 文書をユーザに閲覧させることで、ユーザの権限で任意
のコードを実行する可能性があります。なお、本件に関しては攻撃方法
に関する情報が公開されています。

2007年9月4日現在、この問題に対する修正プログラムは提供されており
ません。 詳細については、Quiksoft が提供する情報を参照してくださ
い。

Internet Explorer での回避策として、Kill Bit を設定する、インター
ネットゾーンで ActiveX コントロールを無効にするなどの方法がありま
す。詳細については、下記関連文書を参照してください。

【12】Tuigwaa にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#82276964
Tuigwaa におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN%2382276964/index.html

概要

Tuigwaa プロジェクトが提供する Web アプリケーション開発支援ソフト
ウェア Tuigwaa には、クロスサイトスクリプティングの脆弱性がありま
す。結果として、遠隔の第三者がユーザのブラウザ上で任意のスクリプト
を実行する可能性があります。

対象となるバージョンは以下の通りです。

- Tuigwaa 1.0 から 1.0.4

この問題は、Tuigwaa プロジェクトが提供する修正済みのバージョン 
1.0.5 に Tuigwaa を更新することで解決します。

【13】Mayaa にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#38199598
Mayaa におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN%2338199598/index.html

概要

Seasar プロジェクトが提供する Java 用テンプレートエンジン Mayaa
には、クロスサイトスクリプティングの脆弱性があります。結果として、
遠隔の第三者がユーザのブラウザ上で任意のスクリプトを実行する可能性
があります。

対象となるバージョンは以下の通りです。

- Mayaa 1.1.11 およびそれ以前 

この問題は、Seasar プロジェクトが提供する修正済みのバージョン 
1.1.12 またはそれ以降に Mayaa を更新し、設定を変更することで解決
します。詳細については、Seasar プロジェクトが提供する情報を参照
してください。

【14】ショッピングバスケットプロにディレクトリトラバーサルの脆弱性

情報源

Japan Vulnerability Notes JVN#20452446
ショッピングバスケットプロにおけるディレクトリトラバーサルの脆弱性
http://jvn.jp/jp/JVN%2320452446/index.html

概要

CGI RESCUE が提供するショッピングカート用のソフトウェアのショッピ
ングバスケットプロには、ディレクトリトラバーサルの脆弱性がありま
す。結果として、遠隔の第三者がショッピングバスケットプロの設置さ
れているサーバ内のファイル名、ディレクトリ名の一覧を取得する可能
性があります。

対象となるバージョンは以下の通りです。

- ショッピングバスケットプロ v7.51 およびそれ以前

この問題は、CGI RESCUE が提供する修正済みのバージョン 7.52 にショッ
ピングバスケットプロを更新することで解決します。

■今週のひとくちメモ

○インターネットセキュリティの歴史第8回「不正アクセス行為の禁止等に関する法律の施行」

2000年2月13日、「不正アクセス行為の禁止等に関する法律」が施行さ
れました。この法律の施行により、ID・パスワードの不正使用など直接
的な被害を伴わない不正アクセスを禁止・処罰することが可能になりま
した。

この法律は「不正アクセス行為等の禁止・処罰」と「防護側の対策」と
いう 2点から構成されています。不正アクセス行為は「電気通信回線
(ネットワーク)を通じて行われる行為」に限定されていますが、この法
律では、パスワード等を第三者に提供するなど不正アクセス行為を助長
する行為をも含めて禁止しています。

また、第7条にもとづき、毎年不正アクセス行為の発生状況などの情報
が公表されるようになりました。2006年の情報については、以下の参考
文献を参照してください。

参考文献 (日本語)

警察庁サイバー犯罪対策
不正アクセス行為は処罰されます !
http://www.npa.go.jp/cyber/legislation/gaiyou/main.htm

警察庁サイバー犯罪対策
不正アクセス行為の禁止等に関する法律の概要
http://www.npa.go.jp/cyber/legislation/gaiyou/gaiyou.htm

経済産業省
不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況について
http://www.meti.go.jp/press/20070222002/20070222002.html

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2007-09-05号

<<< JPCERT/CC WEEKLY REPORT 2007-09-05 >>>

■08/26(日)〜09/01(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

○インターネットセキュリティの歴史 第8回 「不正アクセス行為の禁止等に関する法律の施行」

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次

○インターネットセキュリティの歴史第8回「不正アクセス行為の禁止等に関する法律の施行」