-----BEGIN PGP SIGNED MESSAGE----- JPCERT-WR-2006-0601 JPCERT/CC 2006-02-15 <<< JPCERT/CC REPORT 2006-02-15 >>> これは JPCERT/CC が 2/5(日) から 2/11(土) の間に得たセキュリティ関連情 報のうち、重要と思われるものを抜粋してまとめたレポートです。 [1] Microsoft Internet Explorer 5.x の WMF ファイル処理の脆弱性 CIAC Bulletin Q-115 Microsoft IE5 WMF Security Advisory http://www.ciac.org/ciac/bulletins/q-115.shtml Microsoft Internet Explorer (以降 MSIE) 5.x には、WMF ファイルの処理に 脆弱性があります。結果として、遠隔から第三者が WMF ファイルを経由して ログオンしているユーザの権限を取得する可能性があります。 この問題は、Microsoft が提供する MSIE 6 Service Pack 1 などの問題の存 在しないバージョンに更新することで解決します。 関連文書 (日本語) マイクロソフト セキュリティ アドバイザリ (913333) Internet Explorer の脆弱性によりリモートでコードが実行される可能性がある http://www.microsoft.com/japan/technet/security/advisory/913333.mspx [2] Sun Java Web Start に権限昇格を許す脆弱性 CIAC Bulletin Q-117 Java Web Start Vulnerability http://www.ciac.org/ciac/bulletins/q-117.shtml Sun Java Web Start には、アプリケーションに対して本来制限された権限の 昇格を許してしまう脆弱性があります。結果として、遠隔から第三者がアプリ ケーションを経由して、管理者権限などを取得する可能性があります。対象と なるソフトウェアおよびバージョンの詳細については下記関連文書を参照して ください。 この問題は、Sun が提供する修正済みのバージョンに、対象となるソフトウェ アを更新することで解決します。 関連文書 (英語) Sun Alert Notification 102170 Security Vulnerability With Java Web Start http://sunsolve.sun.com/search/document.do?assetkey=1-26-102170-1 [3] JRE に信用できないアプレットの権限昇格を許す脆弱性 CIAC Bulletin Q-118 JRE Untrusted Applet Privilege Elevation http://www.ciac.org/ciac/bulletins/q-118.shtml Sun Java Runtime Environment (JRE) には、アプレットに対して本来制限さ れた権限の昇格を許してしまう脆弱性があります。結果として、遠隔から第三 者がアプレットを経由して、管理者権限などを取得する可能性があります。対 象となるソフトウェアおよびバージョンの詳細については下記関連文書を参照 してください。 この問題は、Sun が提供する修正済みのバージョンに、対象となるソフトウェ アを更新することで解決します。 関連文書 (英語) Sun Alert Notification 102171 Security Vulnerabilities in the Java Runtime Environment may Allow an Untrusted Applet to Elevate its Privileges http://sunsolve.sun.com/search/document.do?assetkey=1-26-102171-1 [4] Firefox および Mozilla Suite の脆弱性に関する追加情報 US-CERT Technical Cyber Security Alert TA06-038A Multiple Vulnerabilities in Mozilla Products http://www.us-cert.gov/cas/techalerts/TA06-038A.html US-CERT Cyber Security Alert SA06-038A Multiple Vulnerabilities in Mozilla Products http://www.us-cert.gov/cas/alerts/SA06-038A.html US-CERT Vulnerability Note VU#592425 Mozilla-based products fail to validate user input to the attribute name in "XULDocument.persist" http://www.kb.cert.org/vuls/id/592425 US-CERT Vulnerability Note VU#759273 Mozilla QueryInterface memory corruption vulnerability http://www.kb.cert.org/vuls/id/759273 JPCERT/CC REPORT 2006-02-08号の [1] でも紹介した、Firefox および Mozilla Suite の脆弱性に関する追加情報です。 関連文書 (日本語) JPCERT/CC REPORT 2006-02-08号 [1] http://www.jpcert.or.jp/wr/2006/wr060501.txt JP Vendor Status Notes JVNTA06-038A Mozilla 製品群に複数の脆弱性 http://jvn.jp/cert/JVNTA06-038A/ [5] JVN (JP Vendor Status Notes) アンケート実施中 JVN (JP Vendor Status Notes) は JPCERT/CC と IPA (独立行政法人情報処理 推進機構) が共同運営する、日本国内の製品開発者の脆弱性対応状況を公開す るサイトです。より分かり易く充実した情報提供を行うため、皆様からご意見・ ご要望をいただき、コンテンツの改善を図りたいと考えております。つきまし ては、アンケートを 2月20日(月) まで実施しておりますので、ご協力をお願 いいたします。 アンケートURL: http://jvn.jp/nav/enq.html (アンケート協力: 株式会社イプシ・マーケティング研究所) [今週の一口メモ] * 無線 LAN へのうっかり接続に注意 パソコン (特に無線 LAN 機能を内蔵したもの) を使用している際に、無線 LAN 機能を有効にしたままにしていたために意図しない接続を許してしまうこ とがあります。結果として、気付かないうちに、攻撃の標的にされたり、第三 者に対する攻撃の踏み台にされたりしてしまう可能性があります。無線 LAN を使用しない場合は常に当該機能を無効にしておくことを強くお勧めします。 [JPCERT/CC からのお願い] 本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 http://www.jpcert.or.jp/wr/ 本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL をご参照ください。 http://www.jpcert.or.jp/announce.html JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL をご参照ください。 http://www.jpcert.or.jp/form/ 以上。 __________ 2006 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- Version: 2.6.3ia Charset: noconv iQCVAwUBQ/KEHox1ay4slNTtAQFWfgQArXPUvBfrW7H6CVI94gyWLeUYpcmNRkPu PLWQ6o3ioWCEUVOSntNAhZ0TZXYH/CT/Yci8d0fng7+KlE1QmPgqqR7zxPW2D/Tf /mVf4FIeLq0S3NU4Nq+HJSexBCVRuv/7K7vjuRUXE64adB0O9FOasHRFMnduVDYI 1Ylx+OUw6SE= =+y44 -----END PGP SIGNATURE-----