JPCERT コーディネーションセンター

Weekly Report 2013-05-09号

JPCERT-WR-2013-1801
JPCERT/CC
2013-05-09

<<< JPCERT/CC WEEKLY REPORT 2013-05-09 >>>

■04/28(日)〜05/04(土) のセキュリティ関連情報

目 次

【1】Microsoft Internet Explorer 8 に脆弱性

【2】IBM Notes のメールクライアントに Java および Javascript が実行される脆弱性

【3】HP Service Manager に複数の脆弱性

【4】複数の HP プリンタに脆弱性

【5】McAfee ePolicy Orchestrator に複数の脆弱性

【今週のひとくちメモ】Microsoft EMET v4.0 Beta テスト中

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2013/wr131801.txt
https://www.jpcert.or.jp/wr/2013/wr131801.xml

【1】Microsoft Internet Explorer 8 に脆弱性

情報源

CERT/CC Vulnerability Note VU#237655
Microsoft Internet Explorer 8 CGenericElement object use-after-free vulnerability
http://www.kb.cert.org/vuls/id/237655

概要

Microsoft Internet Explorer 8 には脆弱性があります。結果として、遠隔の
第三者が細工した Web ページを閲覧させることで、任意のコードを実行する可
能性があります。

対象となる製品は以下の通りです。

- Internet Explorer 8

2013年5月8日現在、この問題に対する対策は提供されていません。回避策など
の詳細については、Microsoft が提供する情報を参照して下さい。

関連文書 (日本語)

マイクロソフト セキュリティ アドバイザリ (2847140)
Internet Explorer の脆弱性により、リモートでコードが実行される
http://technet.microsoft.com/ja-jp/security/advisory/2847140

情報処理推進機構(IPA)
Internet Explorer 8 の脆弱性対策について(KB2847140)(CVE-2013-1347)
http://www.ipa.go.jp/security/ciadr/vul/20130507-ms.html

Japan Vulnerability Notes JVNVU#97576465
Internet Explorer 8 に任意のコードが実行される脆弱性
https://jvn.jp/cert/JVNVU97576465/index.html

【2】IBM Notes のメールクライアントに Java および Javascript が実行される脆弱性

情報源

CERT/CC Vulnerability Note VU#912420
IBM Notes runs arbitrary JAVA and Javascript in emails
http://www.kb.cert.org/vuls/id/912420

概要

IBM Notes はデフォルト設定で HTML メールに記載された Java および
Javascript を実行します。結果として、細工された HTML メールを IBM
Notes 上で閲覧することで、任意のコードが実行される可能性があります。

対象となるバージョンは以下の通りです。

- IBM Notes 8.0.x
- IBM Notes 8.5.x
- IBM Notes 9.0

IBM は、本脆弱性の影響を軽減するための設定に関する情報を公開しています。
また、Interim Fix 1 for 8.5.3 Fix Pack 4 および 9.0 Interim Fix 1 をリ
リース予定です。詳細については、IBM が提供する情報を参照して下さい。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#98097798
IBM Notes のメールクライアントに Java および Javascript が実行される問題
https://jvn.jp/cert/JVNVU98097798/index.html

関連文書 (英語)

IBM Security Bulletin
IBM Notes accepts Java applet and JavaScript tags inside HTML emails (CVE-2013-0127, CVE-2013-0538)
https://www-304.ibm.com/support/docview.wss?uid=swg21633819

【3】HP Service Manager に複数の脆弱性

情報源

JC3 Bulletin
V-146: HP Service Manager Bugs Permit Cross-Site Scripting and Information Disclosure Attacks
http://energy.gov/cio/articles/v-146-hp-service-manager-bugs-permit-cross-site-scripting-and-information-disclosure

概要

HP Service Manager には複数の脆弱性があります。結果として、遠隔の第三者
が情報を取得する可能性があります。

対象となるバージョンは以下の通りです。

- Service Manager v9.31 Web Tier

この問題は、HP が提供する修正済みのバージョンに HP Service Manager を更
新することで解決します。詳細については、HP が提供する情報を参照して下さ
い。

関連文書 (英語)

HP SUPPORT COMMUNICATION - SECURITY BULLETIN
HPSBMU02872 SSRT101185 rev.1 - HP Service Manager, Remote Disclosure of Information, Cross Site Scripting(XSS)
http://h20565.www2.hp.com/portal/site/hpsc/template.PAGE/public/kb/docDisplay/?docId=emr_na-c03748875-1&ac.admitted=1367445798644.876444892.492883150

【4】複数の HP プリンタに脆弱性

情報源

JC3 Bulletin
V-144: HP Printers Let Remote Users Access Files on the Printer
http://energy.gov/cio/articles/v-144-hp-printers-let-remote-users-access-files-printer

概要

複数の HP プリンタには脆弱性があります。結果として、遠隔の第三者が、プ
リンタ上のファイルにアクセスする可能性があります。対象となる製品は多岐
にわたります。

この問題は、当該製品のファームウェアを HP が提供する修正済みのバージョ
ンに更新することで解決します。詳細については、HP が提供する情報を参照し
て下さい。

関連文書 (英語)

HP SUPPORT COMMUNICATION - SECURITY BULLETIN
HPSBPI02869 SSRT100936 rev.1 - HP LaserJet MFP Printers, HP Color LaserJet MFP Printers, Certain HP LaserJet Printers, Remote Unauthorized Access to Files
http://h20565.www2.hp.com/portal/site/hpsc/template.PAGE/public/kb/docDisplay/?docId=emr_na-c03744742-1&ac.admitted=1367234373300.876444892.492883150

【5】McAfee ePolicy Orchestrator に複数の脆弱性

情報源

CERT/CC Vulnerability Note VU#209131
McAfee ePolicy Orchestrator 4.6.4 and earlier pre-authenticated SQL injection and directory path traversal vulnerabilities
http://www.kb.cert.org/vuls/id/209131

概要

McAfee ePolicy Orchestrator には、複数の脆弱性があります。結果として、
遠隔の第三者が、システム権限で任意のコードを実行するなどの可能性があり
ます。

対象となるバージョンは以下の通りです。

- McAfee ePolicy Orchestrator 4.5 RTW から 4.5.6 まで
- McAfee ePolicy Orchestrator 4.6 RTW から 4.6.5 まで

この問題は、McAfee が提供する修正済みのバージョンに当該製品を更新するこ
とで解決します。詳細については、McAfee が提供する情報を参照して下さい。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#94853684
McAfee ePolicy Orchestrator に複数の脆弱性
https://jvn.jp/cert/JVNVU94853684/index.html

関連文書 (英語)

McAfee Security Bulletin
ePO update fixes two vulnerabilities reported by Verizon
https://kc.mcafee.com/corporate/index?page=content&id=SB10042

■今週のひとくちメモ

○Microsoft EMET v4.0 Beta テスト中

Microsoft は、Windows 上で動作するアプリケーションの脆弱性の影響を緩和
するためのツール (Enhanced Mitigation Experience Toolkit: 以下 EMET) を
公開しています。EMET の最新版は現在 v3.0 であり、v4.0 の公開に向けてベー
タ版が公開されています。

EMET v4.0 では、保護機能が強化され、いくつかのアプリケーションに対する
設定があらかじめ用意されています。

正式版 v4.0 は 5月14日に公開予定です。

参考文献 (日本語)

日本のセキュリティチーム
EMET v4 ベータ版のご案内
http://blogs.technet.com/b/jpsecurity/archive/2013/04/22/3568172.aspx

参考文献 (英語)

Microsoft
Enhanced Mitigation Experience Toolkit v4 Beta
http://www.microsoft.com/en-us/download/details.aspx?id=38761

■JPCERT/CC からのお願い

  • 本レポートに関するお問い合わせは editor@jpcert.or.jp 宛 にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
    https://www.jpcert.or.jp/wr/
  • 本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
    https://www.jpcert.or.jp/announce.html
  • JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
    https://www.jpcert.or.jp/form/

Topへ

Topへ
最新情報(RSSメーリングリストTwitter