JPCERT コーディネーションセンター

Weekly Report 2008-01-09号

JPCERT-WR-2008-0101
JPCERT/CC
2008-01-09

<<< JPCERT/CC WEEKLY REPORT 2008-01-09 >>>

■12/23(日)〜01/05(土) のセキュリティ関連情報

目 次

【1】Flash オーサリングツールが生成する Flash ファイルにクロスサイトスクリプティングの脆弱性

【2】Wireshark (旧 Ethereal) に複数の脆弱性

【3】GNU Tar に複数の脆弱性

【4】OpenSSL の FIPS Object Module に脆弱性

【5】GreaseKit および Creammonkey に許可されていない関数が実行される脆弱性

【6】HP-UX に脆弱性

【7】WinAce にバッファオーバーフローの脆弱性

【8】PeerCast にヒープオーバーフローの脆弱性

【9】Mortbay Jetty に脆弱性

【今週のひとくちメモ】Netscape ウェブブラウザのサポート終了

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2008/wr080101.txt
https://www.jpcert.or.jp/wr/2008/wr080101.xml

【1】Flash オーサリングツールが生成する Flash ファイルにクロスサイトスクリプティングの脆弱性

情報源

US-CERT Vulnerability Note VU#249337
Flash authoring tools create Flash files that contain cross-site scripting vulnerabilities
http://www.kb.cert.org/vuls/id/249337

CIAC Bulletin S-101
Flash Authoring Tool Vulnerability
http://www.ciac.org/ciac/bulletins/s-101.shtml

概要

多くの Flash オーサリングツールが生成する Flash ファイルには、ク
ロスサイトスクリプティングの脆弱性があります。結果として、遠隔の
第三者がユーザのブラウザ上で任意のスクリプトを実行する可能性があ
ります。

すでに対策が行われている製品としては以下が挙げられています。

- Adobe Dreamweaver
- Adobe Acrobat Connect
- InfoSoft FusionCharts
- Techsmith Camtasia
- Autodemo

この問題は、各ベンダが提供する提供する修正済みのバージョンに、該
当する製品を更新することで解決します。詳細については、各ベンダが
提供する情報を参照してください。

また、脆弱性のある Flash ファイル使用しているサイトは、対策済み
の製品を使って該当する Flash ファイルを生成しなおす必要があるこ
とにご注意ください。

あわせて、お使いの Flash Player が最新版であることをご確認くださ
い。

関連文書 (日本語)

JPCERT/CC REPORT 2007-12-27
Adobe Flash Player に複数の脆弱性
http://www.jpcert.or.jp/wr/2007/wr075001.html#1

関連文書 (英語)

Adobe Security bulletin APSA07-06
Vulnerabilities in some SWF files could allow cross-site scripting
http://www.adobe.com/support/security/advisories/apsa07-06.html

Adobe - Developer Center
Creating more secure SWF web applications
http://www.adobe.com/devnet/flashplayer/articles/secure_swf_apps.html

【2】Wireshark (旧 Ethereal) に複数の脆弱性

情報源

CIAC Bulletin S-103
Wireshark Vulnerabilities
http://www.ciac.org/ciac/bulletins/s-103.shtml

概要

Wireshark (旧 Ethereal) には、複数の脆弱性があります。結果として、
遠隔の第三者が細工したパケットを処理させることで、サービス運用妨
害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは以下の通りです。

- Wireshark (旧 Ethereal) 0.8.16 から 0.99.6

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに Wireshark を更新することで解決します。

関連文書 (日本語)

Debian セキュリティ勧告 DSA-1446-1
wireshark -- 複数の脆弱性
http://www.debian.org/security/2008/dsa-1446.ja.html

関連文書 (英語)

Wireshark: wnpa-sec-2007-03
Multiple problems in Wireshark(R) (formerly Ethereal(R)) versions 0.8.16 to 0.99.5
http://www.wireshark.org/security/wnpa-sec-2007-03.html

【3】GNU Tar に複数の脆弱性

情報源

CIAC Bulletin S-100
GNU Tar Vulnerabilities
http://www.ciac.org/ciac/bulletins/s-100.shtml

概要

GNU Tar には、複数の脆弱性があります。結果として、第三者が細工し
たアーカイブファイルを処理させることで、任意のコードを実行する可
能性があります。

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに GNU Tar を更新することで解決します。詳細については、
ベンダや配布元が提供する情報を参照してください。なお、JPCERT/CC
REPORT 2007-12-27号【2】で紹介した Apple が提供するセキュリティ
アップデートにも、この問題に対する修正が含まれています。

関連文書 (日本語)

Debian セキュリティ勧告 DSA-1438-1
tar -- 複数の脆弱性
http://www.debian.org/security/2007/dsa-1438.ja.html

JPCERT/CC REPORT 2007-12-27
Apple 製品に複数の脆弱性
http://www.jpcert.or.jp/wr/2007/wr075001.html#2

関連文書 (英語)

The FreeBSD Project Security Advisory FreeBSD-SA-07:10.gtar
gtar directory traversal vulnerability
http://security.freebsd.org/advisories/FreeBSD-SA-07:10.gtar.asc

【4】OpenSSL の FIPS Object Module に脆弱性

情報源

US-CERT Vulnerability Note VU#150249
OpenSSL FIPS Object Module fails to properly generate random seeds
http://www.kb.cert.org/vuls/id/150249

概要

OpenSSL の FIPS Object Module には、生成される乱数値が推測可能な
脆弱性があります。

対象となるバージョンは以下の通りです。

- OpenSSL FIPS Object Module v1.1.1

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに OpenSSL FIPS Object Module を更新することで解決しま
す。詳細については、ベンダや配布元が提供する情報を参照してくださ
い。

関連文書 (英語)

OpenSSL Security Advisory [29-Nov-2007]
OpenSSL FIPS Object Module Vulnerabilities
http://www.openssl.org/news/secadv_20071129.txt

【5】GreaseKit および Creammonkey に許可されていない関数が実行される脆弱性

情報源

JP Vendor Status Notes JVN#33044255
GreaseKit および Creammonkey における許可されていない関数が実行される脆弱性
http://jvn.jp/jp/JVN%2333044255/index.html

概要

Apple Webkit を利用しているソフトウェア上で、ユーザスクリプトを
実行可能にするための機能拡張ソフトウェア GreaseKit および
Creammonkey には、許可されていない関数が実行される脆弱性がありま
す。結果として、遠隔の第三者が細工した Web ページを閲覧させるこ
とで、任意のサイトへ HTTP リクエストを送信したり、ユーザスクリプ
トの設定値を読み書きしたりする可能性があります。

対象となる製品およびバージョンは以下の通りです。

- GreaseKit 1.2 から 1.3 まで
- Creammonkey 0.9 から 1.1 まで

この問題は、配布元が提供する修正済みのバージョンに、該当する製品
を更新することで解決します。なお、Creammonkey を使用している場合
は、後継ソフトウェアである最新版の GreaseKit に更新することが推
奨されています。

関連文書 (日本語)

8-p.info
GreaseKit および Creammonkey の GM 関数に関する脆弱性
http://8-p.info/greasekit/vuln/20071226-ja.html

【6】HP-UX に脆弱性

情報源

CIAC Bulletin S-098
HP-UX Running rpc.yppasswdd Vulnerability
http://www.ciac.org/ciac/bulletins/s-098.shtml

概要

rpc.yppasswdd が動作する HP-UX には、脆弱性があります。結果とし
て、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行う可能性があり
ます。

対象となるバージョンは以下の通りです。

- HP-UX B.11.11
- HP-UX B.11.23
- HP-UX B.11.31

この問題は、HP が提供するパッチを HP-UX に適用することで解決しま
す。

関連文書 (英語)

HP Support document c01294324
HPSBUX02295 SSRT071333 rev.1 - HP-UX Running rpc.yppasswdd, Remote Denial of Service (DoS)
http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c01294324

【7】WinAce にバッファオーバーフローの脆弱性

情報源

JP Vendor Status Notes JVN#44736880
WinAce におけるバッファオーバーフローの脆弱性
http://jvn.jp/jp/JVN%2344736880/index.html

概要

e-merge GmbH が提供するファイル圧縮・展開ソフト WinAce には、バッ
ファオーバーフローの脆弱性があります。結果として、遠隔の第三者が
細工したファイルを展開処理させることで、そのユーザの権限で任意の
コードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- WinAce 2.6.5 およびそれ以前

この問題は、e-merge GmbH が提供する修正済みのバージョンに WinAce
を更新することで解決します。

関連文書 (英語)

winace.com
NEW: WinAce 2.69 is available for download
http://www.winace.com/

【8】PeerCast にヒープオーバーフローの脆弱性

情報源

CIAC Bulletin S-099
PeerCast Vulnerability
http://www.ciac.org/ciac/bulletins/s-099.shtml

概要

PeerCast には、ヒープオーバーフローの脆弱性があります。結果とし
て、遠隔の第三者が細工した SOURCE リクエストを処理させることで、
サービス運用妨害 (DoS) 攻撃を行ったり、任意のコードを実行したり
する可能性があります。

対象となるバージョンは以下の通りです。

- 0.1217 およびそれ以前

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに PeerCast を更新することで解決します。詳細については、
ベンダや配布元が提供する情報を参照してください。

関連文書 (日本語)

Debian セキュリティ勧告 DSA-1441-1
peercast -- バッファオーバフロー
http://www.debian.org/security/2007/dsa-1441.ja.html

関連文書 (英語)

peercast.org
PeerCast P2P Broadcasting
http://www.peercast.org/

【9】Mortbay Jetty に脆弱性

情報源

US-CERT Vulnerability Note VU#553235
Jetty fails to properly process URLs that contain double / characters
http://www.kb.cert.org/vuls/id/553235

概要

Java ベースの Web サーバ、Mortbay Jetty には、脆弱性があります。
結果として、遠隔の第三者が細工した URL を処理させることで、機密
情報を取得する可能性があります。

対象となるバージョンは以下の通りです。

- Mortbay Jetty 6.1.6 およびそれ以前

この問題は、配布元が提供するバージョン 6.1.7 に Mortbay Jetty を
更新することで解決します。

関連文書 (英語)

Mortbay
jetty6 - Jetty WebServer
http://jetty.mortbay.org/

Mortbay
jetty-6.1.7 - 22 December 2007
http://svn.codehaus.org/jetty/jetty/trunk/VERSION.txt

■今週のひとくちメモ

○Netscape ウェブブラウザのサポート終了

Netscape ウェブブラウザのサポート終了が AOL から告知されています。
2008年2月1日をもって全てのバージョンの Netscape ウェブブラウザの
サポートが終了するとのことです。Netscape Blog では、Netscape ユー
ザは Mozilla Firefox へ移行することを推奨しています。

参考文献 (英語)

Netscape Blog
End of Support for Netscape web browsers
http://blog.netscape.com/2007/12/28/end-of-support-for-netscape-web-browsers/

■JPCERT/CC からのお願い

  • 本レポートに関するお問い合わせは editor@jpcert.or.jp 宛 にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
    https://www.jpcert.or.jp/wr/
  • 本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
    https://www.jpcert.or.jp/announce.html
  • JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
    https://www.jpcert.or.jp/form/

Topへ

Topへ
最新情報(RSSメーリングリストTwitter