JPCERT-WR-2009-0701

JPCERT/CC

2009-02-18

<<< JPCERT/CC WEEKLY REPORT 2009-02-18 >>>

■02/08(日)〜02/14(土) のセキュリティ関連情報

目　次

【1】2009年2月 Microsoft セキュリティ情報について

【2】Apple の複数の製品に脆弱性

【3】Becky! Internet Mail にバッファオーバーフローの脆弱性

【4】HP の複数のプリンタに脆弱性

【5】HP OpenView Network Node Manager に脆弱性

【6】GE Fanuc の iFIX に複数の脆弱性

【7】FAST ESP にクロスサイトスクリプティングの脆弱性

【8】「C/C++ セキュアコーディングハーフデイキャンプ part2 ＜File I/O part1,part2,part3＞」参加者募集のお知らせ

【今週のひとくちメモ】インターネットセキュリティの歴史第27回「サイバー犯罪条約」

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2009/wr090701.txt
https://www.jpcert.or.jp/wr/2009/wr090701.xml

【1】2009年2月 Microsoft セキュリティ情報について

情報源

US-CERT Technical Cyber Security Alert TA09-041A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA09-041A.html

US-CERT Cyber Security Alert SA09-041A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/alerts/SA09-041A.html

DOE-CIRC Technical Bulletin T-059
Vulnerabilities in Microsoft Exchange Could Allow Remote Code Execution
http://www.doecirc.energy.gov/ciac/bulletins/t-059.shtml

DOE-CIRC Technical Bulletin T-060
Cumulative Security Update for Internet Explorer 7
http://www.doecirc.energy.gov/ciac/bulletins/t-060.shtml

概要

Microsoft Windows、Internet Explorer、Exchange Server、SQL
Server、Office および関連コンポーネントには、複数の脆弱性があり
ます。結果として、遠隔の第三者が任意のコードを実行したり、権限を
昇格したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があ
ります。

詳細については、Microsoft が提供する情報を参照してください。

この問題は、Microsoft Update などを用いて、セキュリティ更新プロ
グラムを適用することで解決します。なお、JPCERT/CC REPORT
2009-01-07【1】「Microsoft SQL Server に脆弱性」で紹介した問題に
対する修正も含まれます。

【2】Apple の複数の製品に脆弱性

情報源

US-CERT Current Activity Archive
Apple Releases Security Updates
http://www.us-cert.gov/current/archive/2009/02/13/archive.html#apple_releases_security_updates2

概要

Mac OS X、Mac OS X Server、Java for Mac OS X、Safari for Windows 
には、複数の脆弱性があります。結果として、遠隔の第三者が任意のコー
ドを実行したり、権限を昇格したり、ユーザのブラウザ上で任意のスク
リプトを実行したりする可能性があります。

対象となる製品およびバージョンは以下の通りです。

- Mac OS X 10.4.11
- Mac OS X Server 10.4.11
- Mac OS X 10.5.6
- Mac OS X Server 10.5.6
- Java for Mac OS X 10.4, Release 7
- Java for Mac OS X 10.5 Update 2
- Safari 3.2.2 for Windows より前のバージョン

この問題は、Apple が提供する修正済みのバージョンに、該当する製品
を更新することで解決します。詳細については Apple が提供する情報
を参照してください。

【3】Becky! Internet Mail にバッファオーバーフローの脆弱性

情報源

Japan Vulnerability Notes JVN#29641290
Becky! Internet Mail におけるバッファオーバーフローの脆弱性
http://jvn.jp/jp/JVN29641290/index.html

概要

Becky! Internet Mail には、メール閲覧時の開封確認処理にバッファ
オーバーフローの脆弱性があります。結果として、遠隔の第三者が細工
したメールを送信し、受信者に開封確認を送付させることで任意のコー
ドを実行する可能性があります。

対象となるバージョンは以下の通りです。

- Becky! Internet Mail Ver.2.48.02 およびそれ以前

この問題は、配布元が提供する修正済みのバージョンに Becky!
Internet Mail を更新することで解決します。

【4】HP の複数のプリンタに脆弱性

情報源

US-CERT Current Activity Archive
HP Releases Security Bulletin to Address a Vulnerability in Multiple Printers
http://www.us-cert.gov/current/archive/2009/02/12/archive.html#hp_releases_firmware_updates_for

DOE-CIRC Technical Bulletin T-057
Certain HP LaserJet Printers, HP Color LaserJet Printers, and HP Digital Senders, Remote Unauthorized Access to Files
http://www.doecirc.energy.gov/ciac/bulletins/t-057.shtml

概要

HP LaserJet、HP Color LaserJet および HP Digital Senders には、
脆弱性があります。結果として、遠隔の第三者がファイルにアクセスす
る可能性があります。

対象となる製品およびバージョンは以下の通りです。

- バージョン 20080819 SPCL112A より前のファームウェアを搭載した
  以下の製品
 - HP LaserJet 2410
 - HP LaserJet 2420
 - HP LaserJet 2430
- バージョン 20080819 SPCL015A より前のファームウェアを搭載した
  以下の製品
 - HP LaserJet 4250
 - HP LaserJet 4350
- バージョン 20080819 SPCL110A より前のファームウェアを搭載した
  以下の製品
 - HP LaserJet 9040
 - HP LaserJet 9050
- バージョン 09.120.9 より前のファームウェアを搭載した以下の製品
 - HP LaserJet 4345mfp
 - HP 9200C Digital Sender
- バージョン 46.200.9 より前のファームウェアを搭載した以下の製品
 - HP Color LaserJet 4730mfp
- バージョン 08.110.9 より前のファームウェアを搭載した以下の製品
 - HP LaserJet 9040mfp
 - HP LaserJet 9050mfp
 - HP Color LaserJet 9500mfp

この問題は、HP が提供する修正済みのバージョンに、該当する製品の
ファームウェアを更新することで解決します。詳細については HP が提
供する情報を参照してください。

【5】HP OpenView Network Node Manager に脆弱性

情報源

US-CERT Current Activity Archive
HP Releases Security Bulletin for HP OpenView Network Node Manager
http://www.us-cert.gov/current/archive/2009/02/12/archive.html#hp_releases_security_bulletin_for

概要

HP OpenView Network Node Manager (OV NNM) には、脆弱性があります。
結果として、遠隔の第三者が任意のコードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- HP-UX、Linux、Solaris および Windows 上で動作する以下のバージョ
  ン
 - HP OpenView Network Node Manager v7.01、v7.51、v7.53

この問題は、HP が提供するパッチを HP OpenView Network Node
Manager に適用することで解決します。詳細については、HP が提供す
る情報を参照してください。

【6】GE Fanuc の iFIX に複数の脆弱性

情報源

US-CERT Vulnerability Note VU#310355
GE Fanuc Proficy HMI/SCADA iFIX uses insecure authentication techniques
http://www.kb.cert.org/vuls/id/310355

概要

GE Fanuc の iFIX には、複数の脆弱性があります。結果として、遠隔
の第三者が認証情報を含んだファイルにアクセスしたり、ネットワーク
トラフィックを傍受したりするなどの可能性があります。

対象となるバージョンは以下の通りです。

- HMI/SCADA - iFIX 5.0 およびそれ以前

2009年2月17日現在、この問題に対する解決策は提供されていません。
詳細については、GE Fanuc が提供する情報を参照してください。

【7】FAST ESP にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#45184501
FAST ESP におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN45184501/index.html

概要

Microsoft の検索プラットフォーム FAST ESP の管理画面には、クロス
サイトスクリプティングの脆弱性があります。結果として、遠隔の第三
者がユーザのブラウザ上で任意のスクリプトを実行する可能性がありま
す。

対象となるバージョンは以下の通りです。

- FAST ESP 5.1.5 およびそれ以前

この問題は、ベンダが提供する修正済みのバージョンに FAST ESP を更
新することで解決します。

【8】「C/C++ セキュアコーディングハーフデイキャンプ part2 ＜File I/O part1,part2,part3＞」参加者募集のお知らせ

情報源

JPCERT/CC
C/C++ セキュアコーディングハーフデイキャンプのご案内
https://www.jpcert.or.jp/event/half-day_Camp-seminar.html

概要

JPCERT コーディネーションセンターは、C/C++ 言語で脆弱性を作り込
まない安全なプログラムをコーディングする具体的なテクニックとノウ
ハウを学んでいただくためのセミナー「C/C++ セキュアコーディング 
ハーフデイキャンプ」を 1月、2月、3月の三回にわたり開催しています。
参加費は無料です。

ご好評につき多数のご応募をいただき、第2回セミナーの空席も残りわ
ずかとなりました。参加ご希望の方は、お早めにお申し込み下さい。

日時:   part2 ＜File I/O part1,part2,part3＞
        2009年2月26日 (木) 13:00〜18:00 (受付 12:30〜)
会場:   株式会社インターネットイニシアティブ　大会議室1
        東京都千代田区神田神保町1-105 神保町三井ビルディング 17階
受講料: 無料
定員:   80名

■今週のひとくちメモ

○インターネットセキュリティの歴史第27回「サイバー犯罪条約」

「サイバー犯罪に関する条約 (略称: サイバー犯罪条約)」は、サイバー
犯罪から社会を保護することを目的として、コンピュータ・システムに
対する違法なアクセス等一定の行為の犯罪化、コンピュータ・データの
迅速な保全等に係る刑事手続の整備、犯罪人引渡し等に関する国際協力
等につき規定するものです。

2001年11月8日に欧州評議会で採択され、2004年7月1日に発効しました。
現在、23の国が条約加盟国となっており、さらに23の国が同条約に署名
し、加盟手続き中となっています。

日本は、欧州評議会メンバー国ではありませんが、本条約の制定作業に
参加したことから、メンバー国と同様に本条約に署名することを許され、
2001年11月23日に署名を行いました。

その後、本条約については、2004年4月21日に国会承認されましたが、
この条約への対応のための国内法として 2005年10月4日に国会に提出さ
れた「犯罪の国際化及び組織化並びに情報処理の高度化に対処するため
の刑法等の一部を改正する法律案」が未だ継続審議中の扱いとされてい
ることから、今だ加盟には至っていません。

参考文献 (日本語)

外務省
サイバー犯罪に関する条約
http://www.mofa.go.jp/mofaj/gaiko/treaty/treaty159_4.html

経済産業省
サイバー刑事法研究会報告書「欧州評議会サイバー犯罪条約と我が国の対応について」の公表
http://www.meti.go.jp/kohosys/press/0002626/0/020418cyber.htm

法務省
犯罪の国際化及び組織化並びに情報処理の高度化に対処するための刑法等の一部を改正する法律(案)
http://www.moj.go.jp/HOUAN/KEIHO5/refer02.html

日本弁護士連合会
サイバー犯罪条約とその国内法化に関するＱ＆Ａ
http://www.nichibenren.or.jp/ja/committee/list/kokusai_keiji/kokusai_keiji_a.html

参考文献 (英語)

Council Europe
Convention on Cybercrime
http://conventions.coe.int/Treaty/Commun/ChercheSig.asp?NT=185&CM=7&DF=2/17/2009&CL=ENG

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2009-02-18号

<<< JPCERT/CC WEEKLY REPORT 2009-02-18 >>>

■02/08(日)〜02/14(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

○インターネットセキュリティの歴史 第27回「サイバー犯罪条約」

参考文献 (日本語)

参考文献 (英語)

■JPCERT/CC からのお願い

目　次

○インターネットセキュリティの歴史第27回「サイバー犯罪条約」