-----BEGIN PGP SIGNED MESSAGE----- JPCERT-WR-2004-2301 JPCERT/CC 2004-06-16 <<< JPCERT/CC REPORT 2004-06-16 >>> これは JPCERT/CC が 6/6(日) から 6/12(土) の間に得たセキュリティ関連情 報のうち、重要と思われるものを抜粋してまとめたレポートです。 [1] Internet Explorer に含まれる脆弱性 US-CERT Technical Cyber Security Alert TA04-163A Cross-Domain Redirect Vulnerability in Internet Explorer http://www.us-cert.gov/cas/techalerts/TA04-163A.html US-CERT Cyber Security Alert SA04-163A Cross-Domain Vulnerability in Internet Explorer http://www.us-cert.gov/cas/alerts/SA04-163A.html US-CERT Vulnerability Note VU#713878 Microsoft Internet Explorer does not properly validate source of redirected frame http://www.kb.cert.org/vuls/id/713878 Microsoft Internet Explorer (以降 MSIE) には、Web サーバによってリダイ レクトされたフレームのセキュリティコンテクストを適切に評価しない脆弱性 があります。結果として、遠隔から第三者が、Web ページや HTML 形式の電子 メールなどを経由して MSIE を実行しているユーザの権限を取得する可能性が あります。 この問題は、WebBrowser ActiveX コントロールや MSIE の HTML 表示機 能 (MSHTML) を使用する全てのプログラムに影響します。例えば、 Outlook や Outlook Express にも影響します。 この問題を修正するためのパッチが公開されるまでの一時的な回避策の詳細に ついては上記文書を参照してください。 なお、既にこの脆弱性を使った攻撃手法が公開されていることから、注意が必 要です。不用意に不審な Web サイトにアクセスしないように注意することを お勧めします。また、アンチウィルス製品を使用している場合は、ベンダの提 供する情報を参照し、データファイルを最新版に更新することを強くお勧めし ます。 関連文書 (日本語) JPCERT/CC Vendor Status Note JVNTA04-163A Internet Explorer に クロスドメイン・リダイレクトの脆弱性 http://jvn.doi.ics.keio.ac.jp/vn/JVNTA04-163A.html [2] CVS サーバに含まれる複数の脆弱性 CIAC Bulletin O-156 Multiple Vulnerabilities in CVS http://www.ciac.org/ciac/bulletins/o-156.shtml CVS サーバには二重にメモリを開放してしまうなどの複数の脆弱性があります。 結果として、遠隔から第三者が CVS サーバを実行しているユーザの権限を取 得する可能性があります。対象となるのは以下のバージョンです。 - バージョン 1.11.16 およびそれ以前の 1.11.x - バージョン 1.12.8 およびそれ以前の 1.12.x この問題は、CVS をバージョン 1.11.17 (もしくはそれ以降) または 1.12.9 (もしくはそれ以降) に更新することで解決します。また、使用している OS のベンダや配布元が提供している修正済みのパッケージに CVS を更新するこ とでも解決します。 なお、この問題は JPCERT/CC REPORT 2004-05-26号の [1] で紹介した CVS サー バの脆弱性とは別の問題であることに注意してください。 JPCERT/CC REPORT 2004-05-26号 [1] http://www.jpcert.or.jp/wr/2004/wr042001.txt 関連文書 (日本語) Stable CVS Version 1.11.17 Released! (security update) https://ccvs.cvshome.org/servlets/NewsItemView?newsItemID=110 CVS Feature Version 1.12.9 Released! (security update) https://ccvs.cvshome.org/servlets/NewsItemView?newsItemID=111 Red Hat セキュリティアドバイス RHSA-2004:233-07 セキュリティ問題を修正したcvsのアップデートパッケージ http://www.jp.redhat.com/support/errata/RHSA/RHSA-2004-233J.html Vine Linux errata cvs にセキュリティホール http://vinelinux.org/errata/25x/20040611-1.html Miracle Linux アップデート情報 cvs セキュリティ 2004年6月10日 バッファオーバーフロー http://www.miraclelinux.com/support/update/data/cvs.html 関連文書 (英語) Debian Security Advisory DSA-517-1 cvs -- buffer overflow http://www.debian.org/security/2004/dsa-517.en.html Debian Security Advisory DSA-519-1 cvs -- several vulnerabilities http://www.debian.org/security/2004/dsa-519.en.html OpenBSD 3.5 errata 011: SECURITY FIX: Jun 9, 2004 http://www.openbsd.org/errata.html#cvs3 [3] NETGEAR WG602 アクセスポイントに含まれる脆弱性 CIAC Bulletin O-159 NETGEAR WG602 Wireless Access Point Default Backdoor Account Vulnerability http://www.ciac.org/ciac/bulletins/o-159.shtml NETGEAR WG602 アクセスポイントには、バックドアとして使用されてしまう可 能性のある管理者アカウントが標準で存在します。結果として、遠隔から第三 者がアクセスポイントの管理者権限を取得する可能性があります。対象となる のは、WG602v1 (バージョン 1) およびそれ以前です。なお WG602v2 (バージョ ン 2) には、この問題が存在しないことが報告されています。 この問題は、NETGEAR が提供する修正済みのファームウェアに更新することで 解決します。 関連文書 (英語) WG602 Access Point Security Alert http://kbserver.netgear.com/kb_web_files/n101383.asp [4] Oracle E-Business Suite に含まれる脆弱性 CIAC Bulletin O-153 Oracle E-Business Suite SQL Injection Vulnerability http://www.ciac.org/ciac/bulletins/o-153.shtml US-CERT Technical Cyber Security Alert TA04-160A SQL Injection Vulnerabilities in Oracle E-Business Suite http://www.us-cert.gov/cas/techalerts/TA04-160A.html US-CERT Vulnerability Note VU#961579 Oracle E-Business Suite SQL Injection vulnerabilities http://www.kb.cert.org/vuls/id/961579 Oracle E-Business Suite には入力を適切にチェックしない脆弱性があります。 結果として、遠隔から第三者がデータベースにアクセスしたり、Oracle サー バを実行しているユーザの権限で任意の SQL 文を実行したりする可能性があ ります。対象となるのは以下のバージョンです。 - Oracle Applications 11.0 全リリース - Oracle E-Business Suite 11i(R11.5.1-R11.5.8) ※ Oracle E-Business Suite Release 11.5.9 およびそれ以降にはこの問題 が存在しないことが報告されています。 この問題は、Oracle が提供するパッチを適用することで解決します。 関連文書 (日本語) Oracle Technology Network セキュリティ・アラート EBSの不正なアクセスに対する脆弱性 http://support.oracle.co.jp/open/owa/external_krown2.show_text?c_document_id=85187&c_criterion= JPCERT/CC Vendor Status Note JVNTA04-160A Oracle E-Business Suite に SQL インジェクションの脆弱性 http://jvn.doi.ics.keio.ac.jp/vn/JVNTA04-160A.html [5] Kerberos 5 ライブラリに含まれるバッファオーバーフローの脆弱性 CIAC Bulletin O-155 Kerberos Buffer Overflow Vulnerability http://www.ciac.org/ciac/bulletins/o-155.shtml US-CERT Vulnerability Note VU#686862 MIT Kerberos 5 krb5_aname_to_localname() contains several heap overflows http://www.kb.cert.org/vuls/id/686862 MIT Kerberos 5 ライブラリ krb5 バージョン 1.3.3 およびそれ以前には、 krb5_aname_to_localname() 関数に複数のバッファオーバーフローの脆弱性が あります。結果として、遠隔から第三者が root 権限を取得する可能性があり ます。 この問題は、krb5 バージョン 1.3.4 (もしくはそれ以降) に更新する、また は MIT が提供するパッチを適用して krb5 ライブラリを更新することで解決 します。また krb5 ライブラリを更新した場合には、krb5 ライブラリを静的 にリンクしているアプリケーションを再コンパイルする必要があります。 関連文書 (日本語) Red Hat セキュリティアドバイス RHSA-2004:236-14 krb5のアップデート パッケージが利用可能 http://www.jp.redhat.com/support/errata/RHSA/RHSA-2004-236J.html 関連文書 (英語) MIT krb5 Security Advisory 2004-001 buffer overflows in krb5_aname_to_localname http://web.mit.edu/kerberos/advisories/MITKRB5-SA-2004-001-an_to_ln.txt [6] ftp クライアントに含まれる脆弱性に関する追加情報 CIAC Bulletin O-158 FTP Client Improperly handles Pipe Character in File Names http://www.ciac.org/ciac/bulletins/o-158.shtml JPCERT/CC REPORT 2003-02-13号の [9] でも紹介した、ftp クライアントに含 まれる脆弱性に関する追加情報です。 この脆弱性については、1997年に IBM によって報告され、その後、2003 年に 改めて Red Hat によって報告されました。詳細については、以下の関連文書 をご参照ください。 関連文書 (日本語) JPCERT/CC REPORT 2003-02-13号 [9] http://www.jpcert.or.jp/wr/2003/wr030601.txt 関連文書 (英語) US-CERT Vulnerability Note VU#258721 Various FTP clients fail to account for pipe (|) characters in default file names http://www.kb.cert.org/vuls/id/258721 CIAC Bulletin I-012 IBM AIX ftp client Vulnerability http://www.ciac.org/ciac/bulletins/i-012.shtml CIAC Bulletin N-036 Updated Kerberos Packages Fix Vulnerability in ftp Client http://www.ciac.org/ciac/bulletins/n-036.shtml [今週の一口メモ] * 電子署名 電子メールの仕組みは送信元の詐称が極めて容易であるため、自分が送信した 電子メールが本当に自分が送付したものであることを保証するために電子署名 の技術を用いることが推奨されています。 電子メールで用いられる電子署名としては、PGP や S/MIME が広く知られてい ます。 参考文献 (日本語) IIJ 研究所の PGP に関するページ http://pgp.iijlab.net/ OpenPKSD OpenPGP ドキュメント http://openpksd.org/Japanese.htm IPA/ISEC 電子メールのセキュリティ S/MIME を利用した暗号化と電子署名 http://www.ipa.go.jp/security/fy12/contents/smime/email_sec.html IPA/ISEC PKI 関連技術解説 http://www.ipa.go.jp/security/pki/ [JPCERT/CC からのお願い] 本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 http://www.jpcert.or.jp/wr/ 本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL をご参照ください。 http://www.jpcert.or.jp/announce.html JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL をご参照ください。 http://www.jpcert.or.jp/form/ 以上。 __________ 2004 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- Version: 2.6.3ia Charset: noconv iQCVAwUBQM+i2ox1ay4slNTtAQGcYAQAitcwVGzXoDSUj07wdYjEn6Q2ic/LVNM5 pwzQ107TZDWJkDZTdVYds4jOXZOkVK6k1mVaXlBllUcme3z0MwoaN2UiEjOXBxM5 1A2YfWjGAH9VYvlCwBIgHrw/YuXtC4tG9VdkfYxpjN8Xd6yogMDGnXrfW/VoB0bU mTqz0oOzX34= =05Dx -----END PGP SIGNATURE-----