<<< JPCERT/CC WEEKLY REPORT 2010-04-14 >>>

■04/04(日)〜04/10(土) のセキュリティ関連情報

目　次

【1】VMware 製品群に複数の脆弱性

【2】Cisco Router and Security Device Manager にクロスサイトスクリプティングの脆弱性

【3】IntelliCom NetBiter デバイスにおけるデフォルトパスワードの問題

【4】MODx に複数の脆弱性

【今週のひとくちメモ】JPNIC と JPRS による whois サービス

【1】VMware 製品群に複数の脆弱性

情報源

US-CERT Current Activity Archive
VMware Releases Security Advisory VMSA-2010-0007
http://www.us-cert.gov/current/archive/2010/04/09/archive.html#vmware_releases_security_advisory_vmsa4

DOE-CIRC Technical Bulletin T-345
VMware Hosted Products VMSA-2010-0007 Multiple Remote Vulnerabilities
http://www.doecirc.energy.gov/bulletins/t-345.shtml

概要

VMware 製品群には、複数の脆弱性があります。結果として、遠隔の第
三者が任意のコードを実行したり、権限を昇格したり、サービス運用妨
害 (DoS) 攻撃を行ったりする可能性があります。

この問題は、VMware が提供する修正済みのバージョンに、該当する製
品を更新することで解決します。2010年4月13日現在、一部の問題につ
いては修正版が提供されていません。詳細については、VMware が提供
する情報を参照してください。

関連文書 (英語)

VMware Security Announcements
VMSA-2010-0007 VMware hosted products, vCenter Server and ESX patches resolve multiple security issues
http://lists.vmware.com/pipermail/security-announce/2010/000090.html

【2】Cisco Router and Security Device Manager にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#14313132
Cisco Router and Security Device Manager におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN14313132/index.html

概要

Cisco Router and Security Device Manager (SDM) には、クロスサイ
トスクリプティングの脆弱性があります。結果として、遠隔の第三者が
ユーザのブラウザ上で任意のスクリプトを実行する可能性があります。

この問題は、Cisco が提供する修正済みのバージョンに Cisco Router 
and Security Device Manager (SDM) を更新することで解決します。
詳細については、Cisco が提供する情報を参照してください。

関連文書 (日本語)

Cisco
Cisco Router and Security Device Manager（SDM）
http://www.ciscosystems.org/web/JP/product/hs/routers/crsdm/prodlit/crsdm_ds.html

関連文書 (英語)

Cisco Systems Bug Tool Kit (登録が必要です)
http://tools.cisco.com/Support/BugToolKit/search/getBugDetails.do?method=fetchBugDetails&bugId=CSCtb38467

【3】IntelliCom NetBiter デバイスにおけるデフォルトパスワードの問題

情報源

US-CERT Vulnerability Note VU#902793
IntelliCom NetBiter devices have default HICP passwords
http://www.kb.cert.org/vuls/id/902793

概要

IntelliCom が提供する NetBiter デバイスに設定されている出荷時の
パスワードは、遠隔の第三者に使用される可能性があります。

結果として、出荷時のパスワードから変更していない状態で NetBiter 
デバイスの運用を行っている場合、パスワードを入手した遠隔の第三者
が、ネットワークの設定を変更したり、パスワードを変更して HICP サー
ビスへのアクセスを妨害したりする可能性があります。

また、HICP は、パスワードを平文で通信するため、通信を傍受してい
る第三者によって、パスワードを盗聴される可能性があります。 

対策として、工場出荷時のパスワードを変更すること、および制御シス
テムネットワークへのアクセスを制限してください。 

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#902793
IntelliCom NetBiter デバイスにおけるデフォルトパスワードの問題
https://jvn.jp/cert/JVNVU902793/index.html

関連文書 (英語)

IntelliCom Security Bulletin - ISFR-4404-0008- Information
Default passwords in NetBiter firmware images
http://support.intellicom.se/getfile.cfm?FID=151&FPID=113

【4】MODx に複数の脆弱性

情報源

Japan Vulnerability Notes JVN#19774883
MODx における SQL インジェクションの脆弱性
https://jvn.jp/jp/JVN19774883/index.html

Japan Vulnerability Notes JVN#46669729
MODx におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN46669729/index.html

概要

The MODx CMS Project のコンテンツ管理システム MODx には、複数の
脆弱性があります。結果として、遠隔の第三者が当該製品で管理してい
る情報を閲覧したり、変更したり、ユーザのブラウザ上で任意のスクリ
プトを実行したりする可能性があります。

- MODx Evolution 1.0.3 より前のバージョン

この問題は、配布元が提供する修正済みのバージョンに MODx を更新す
ることで解決します。

関連文書 (日本語)

独立行政法人 情報処理推進機構 セキュリティセンター
「MODx」におけるセキュリティ上の弱点(脆弱性)の注意喚起
http://www.ipa.go.jp/about/press/20100408.html

関連文書 (英語)

The MODx CMS project
Security updates in MODx Evolution 1.0.3. You really should upgrade
http://modxcms.com/forums/index.php/topic,47759.msg280304.html#msg280304

The MODx CMS project
Evo 1.0.3 released ... No foolin'!
http://modxcms.com/forums/index.php?PHPSESSID=b86112ed2f8920652a4fdf3bb6053889&/topic,47756.0.html

■今週のひとくちメモ

○JPNIC と JPRS による whois サービス

インターネットに接続するネットワークやドメイン名の管理者の連絡先
を調べる手段として、各種レジストリ組織やレジストラ事業者によって、
whois サービスが提供されています。

日本では、IP アドレスや AS 番号などに関する情報は JPNIC が、JP 
ドメイン名に関する情報は JPRS が管理しており、それぞれが whois 
サービスを提供しています。

元々は JPNIC が IP アドレスや JP ドメイン名を管理しており、whois 
サービスも JPNIC whois (whois.nic.ad.jp) を使うことで両方の情報
を取得できました。2002年に JP ドメイン名の管理業務が JPRS に移行
し、2005年には whois サービスも分離されました。経過措置として、
JPNIC と JPRS が whois.jp を協同運用し、IP アドレスに関する情報
と JP ドメイン名に関する情報の両方を検索できるサービスを提供して
きました。

2010年6月末をもってこの経過措置を終了することが発表されました。
また、whois.jp の JP ドメイン名に関する whois サービスも、JPRS
whois への移行が予定されています。

今後は、IP アドレスに関する情報については JPNIC whois
(whois.nic.ad.jp) を、JP ドメイン名に関する情報については JPRS
whois (whois.jprs.jp) を使いましょう。

参考文献 (日本語)

社団法人日本ネットワークインフォメーションセンター (JPNIC)
whois.jpサービスのJPNIC／JPRS共同運営およびJPNIC WHOIS転送の終了について
http://www.nic.ad.jp/ja/topics/2010/20100401-01.html

株式会社日本レジストリサービス (JPRS)
whois.jpサービスのJPNIC／JPRS共同運営およびJPNIC WHOIS転送の終了について
http://jprs.jp/info/notice/20100401-whoisjp.html

■JPCERT/CC からのお願い