JPCERT コーディネーションセンター

Weekly Report 2014-01-22号

JPCERT-WR-2014-0301
JPCERT/CC
2014-01-22

<<< JPCERT/CC WEEKLY REPORT 2014-01-22 >>>

■01/12(日)〜01/18(土) のセキュリティ関連情報

目 次

【1】複数の Microsoft 製品に脆弱性

【2】複数の Adobe 製品に脆弱性

【3】2014年1月 Oracle Critical Patch Update について

【4】BIND 9 にサービス運用妨害 (DoS) の脆弱性

【5】複数の VMWare 製品に脆弱性

【6】Cisco Secure Access Control System に複数の脆弱性

【今週のひとくちメモ】マイクロソフト MD5 ハッシュの利用制限プログラム配信について

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2014/wr140301.txt
https://www.jpcert.or.jp/wr/2014/wr140301.xml

【1】複数の Microsoft 製品に脆弱性

情報源

US-CERT Current Activity
Microsoft Releases January 2014 Security Bulletin
https://www.us-cert.gov/ncas/current-activity/2014/01/14/Microsoft-Releases-January-2014-Security-Bulletin

概要

Microsoft 製品には、複数の脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能
性があります。

対象となる製品は以下の通りです。

- Microsoft Windows
- Microsoft Office
- Microsoft サーバー ソフトウェア
- Microsoft Dynamics AX

この問題は、Microsoft Update 等を用いて、更新プログラムを適用することで
解決します。詳細については、Microsoft が提供する情報を参照して下さい。

関連文書 (日本語)

Microsoft
2014 年 1 月のセキュリティ情報
https://technet.microsoft.com/ja-jp/security/bulletin/ms14-jan

JPCERT/CC Alert 2014-01-15
2014年1月 Microsoft セキュリティ情報に関する注意喚起
https://www.jpcert.or.jp/at/2014/at140005.html

【2】複数の Adobe 製品に脆弱性

情報源

US-CERT Current Activity
Adobe Releases Security Updates for Adobe Reader and Acrobat
https://www.us-cert.gov/ncas/current-activity/2014/01/14/Adobe-Releases-Security-Updates-Adobe-Reader-and-Acrobat

US-CERT Current Activity
Adobe Releases Security Updates for Adobe Flash Player
https://www.us-cert.gov/ncas/current-activity/2014/01/14/Adobe-Releases-Security-Updates-Adobe-Flash-Player

概要

Adobe の複数の製品には脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品は以下の通りです。

- Adobe Reader
- Adobe Acrobat
- Adobe Flash Player
- Adobe AIR

この問題は、Adobe が提供する修正済みのバージョンに該当する製品を更新す
ることで解決します。詳細については、Adobe が提供する情報を参照して下さ
い。

関連文書 (日本語)

Adobeセキュリティ情報
Adobe ReaderおよびAcrobat用セキュリティアップデート公開
http://helpx.adobe.com/jp/security/products/acrobat/apsb14-01.html

Adobeセキュリティ情報
Flash Player用のセキュリティアップデート公開
http://helpx.adobe.com/jp/security/products/flash-player/apsb14-02.html

JPCERT/CC Alert 2014-01-15
Adobe Reader 及び Acrobat の脆弱性 (APSB14-01) に関する注意喚起
https://www.jpcert.or.jp/at/2014/at140003.html

JPCERT/CC Alert 2014-01-15
Adobe Flash Player の脆弱性 (APSB14-02) に関する注意喚起
https://www.jpcert.or.jp/at/2014/at140004.html

【3】2014年1月 Oracle Critical Patch Update について

情報源

US-CERT Current Activity
Oracle Releases January 2014 Security Advisory
https://www.us-cert.gov/ncas/current-activity/2014/01/14/Oracle-Releases-January-2014-Security-Advisory

概要

Oracle から複数の製品およびコンポーネントに含まれる脆弱性に対応した
Oracle Critical Patch Update Advisory が公開されました。

詳細については、Oracle が提供する情報を参照して下さい。

関連文書 (日本語)

Oracle Technology Network
Critical Patch UpdatesとSecurity Alerts
http://www.oracle.com/technetwork/jp/topics/alerts-082677-ja.html

JPCERT/CC Alert 2014-01-15
2014年1月 Oracle Java SE のクリティカルパッチアップデートに関する注意喚起
https://www.jpcert.or.jp/at/2014/at140002.html

【4】BIND 9 にサービス運用妨害 (DoS) の脆弱性

情報源

JPRS
■(緊急)BIND 9.xの脆弱性(DNSサービスの停止)について(2014年1月14日公開)
http://jprs.jp/tech/security/2014-01-14-bind9-vuln-nsec3-handling.html

概要

ISC BIND 9 には、DNS クエリの処理に脆弱性があります。結果として、遠隔
の第三者が、サービス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは以下の通りです。

  - BIND 9.6-ESV から 9.6-ESV-R10-P1
  - BIND 9.8.0 から 9.8.6-P1
  - BIND 9.9.0 から 9.9.4-P1

この問題は、ISC が提供する修正済みのバージョンに ISC BIND 9 を更新する
ことで解決します。詳細については、ISC が提供する情報を参照して下さい。

関連文書 (英語)

ISC Knowledge Base
CVE-2014-0591: A Crafted Query Against an NSEC3-signed Zone Can Crash BIND
https://kb.isc.org/article/AA-01078

ISC Knowledge Base
CVE-2014-0591: FAQ and Supplemental Information
https://kb.isc.org/article/AA-01085

【5】複数の VMWare 製品に脆弱性

情報源

VMWare VMSA-2014-0001
VMware Workstation, Player, Fusion, ESXi, ESX and vCloud Director address several security issues
http://www.vmware.com/security/advisories/VMSA-2014-0001.html

概要

複数の VMWare 製品には脆弱性があります。結果として、第三者がサービス運
用妨害 (DoS) 攻撃を行うなどの可能性があります。

対象となる製品は以下の通りです。

- VMware Workstation
- VMware Player
- VMware Fusion
- VMware ESXi
- VMware ESX
- vCloud Director

この問題は、該当する製品を VMware が提供する修正済みのバージョンに更新
することで解決します。詳細については、VMware が提供する情報を参照して
下さい。

【6】Cisco Secure Access Control System に複数の脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Advisory for Cisco Secure Access Control System
https://www.us-cert.gov/ncas/current-activity/2014/01/15/Cisco-Releases-Security-Advisory-Cisco-Secure-Access-Control-System

概要

Cisco Secure Access Control System には複数の脆弱性があります。結果とし
て、遠隔の第三者が、管理者権限で任意の操作を実行するなどの可能性があり
ます。

この問題は、Cisco が提供する修正済みのバージョンに該当する製品を更新す
ることで解決します。詳細については、Cisco が提供する情報を参照して下さ
い。

関連文書 (日本語)

Cisco
Multiple Vulnerabilities in Cisco Secure Access Control System - Cisco Systems
http://www.cisco.com/cisco/web/support/JP/112/1121/1121707_cisco-sa-20140115-csacs-j.html

■今週のひとくちメモ

○マイクロソフト MD5 ハッシュの利用制限プログラム配信について

マイクロソフトは、2013年8月から MD5 ハッシュの利用制限のセキュリティ更
新プログラムを公開しています。2014年2月12日からは、本セキュリティ更新
プログラムを Microsoft Update を通じて配信する予定です。

本セキュリティ更新プログラムを適用すると、MD5 ハッシュを利用している証
明書が利用できなくなります。使用している環境で問題が発生しないか、前もっ
て確認しておくことをおすすめします。

参考文献 (日本語)

マイクロソフト セキュリティ アドバイザリ (2862973)
マイクロソフト ルート証明書プログラムでの MD5 ハッシュ アルゴリズム廃止用の更新プログラム
http://technet.microsoft.com/ja-jp/security/advisory/2862973

Microsoft TechNet blog 日本のセキュリティチーム
セキュリティ アドバイザリ 2862973 ~ ルート証明書プログラムにおける MD5ハッシュの利用制限
http://blogs.technet.com/b/jpsecurity/archive/2013/08/14/3590346.aspx

JPCERT/CC WEEKLY REPORT ひとくちメモ 2013-8-28
マイクロソフトが MD5 ハッシュの利用制限プログラムを公開
https://www.jpcert.or.jp/tips/2013/wr133401.html

■JPCERT/CC からのお願い

  • 本レポートに関するお問い合わせは editor@jpcert.or.jp 宛 にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
    https://www.jpcert.or.jp/wr/
  • 本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
    https://www.jpcert.or.jp/announce.html
  • JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
    https://www.jpcert.or.jp/form/

Topへ

Topへ
最新情報(RSSメーリングリストTwitter