-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2007-1101 JPCERT/CC 2007-03-22 <<< JPCERT/CC REPORT 2007-03-22 >>> ―――――――――――――――――――――――――――――――――――――― ■03/11(日)〜03/17(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】OpenBSD の IPv6 パケット処理にバッファオーバーフローの脆弱性 【2】Mac OS X および Mac OS X Server に複数の脆弱性 【3】BIND9 に複数の脆弱性 【4】CCCクリーナーにゼロ除算の脆弱性 【5】Sun Java System Web Server に脆弱性 【6】デバイスエクスプローラの各種 OPC サーバにバッファオーバーフローの脆弱性 【7】Trac にクロスサイトスクリプティングの脆弱性 【8】FENCE-Pro および Systemwalker Desktop Encryption の自己復号ファイルに脆弱性 【9】RSA Conference Japan 2007 フルカンファレンス優待登録のお知らせ 【今週の一口メモ】ユーザアカウントとメールアドレスの整理 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 http://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 http://www.jpcert.or.jp/wr/2007/wr071102.html http://www.jpcert.or.jp/wr/2007/wr071102.xml ============================================================================ 【1】OpenBSD の IPv6 パケット処理にバッファオーバーフローの脆弱性 情報源 US-CERT Vulnerability Notes VU#986425 OpenBSD IPv6 kernel buffer overflow vulnerability http://www.kb.cert.org/vuls/id/986425 概要 OpenBSD の IPv6 パケット処理にはバッファオーバーフローの脆弱性が あります。結果として、遠隔の第三者が任意のコードを実行したり、シ ステムをクラッシュさせたりする可能性があります。なお、すでに攻撃 方法に関する情報が公開されています。 OpenBSD ではデフォルトのインストール状態で IPv6 パケットを処理す るようになっているため、特に IPv6 に関する設定を行なっていない場 合にもこの問題の影響を受ける可能性があります。 この問題は、配布元が提供するパッチを適用することで解決します。ま た、この問題は pf により IPv6 パケットをフィルタリングすることで 回避できます。 関連文書 (英語) OpenBSD 4.0 errata 010: SECURITY FIX: March 7, 2007 http://www.openbsd.org/errata40.html#m_dup1 OpenBSD 3.9 errata 020: SECURITY FIX: March 7, 2007 http://www.openbsd.org/errata39.html#m_dup1 【2】Mac OS X および Mac OS X Server に複数の脆弱性 情報源 US-CERT Technical Cyber Security Alert TA07-072A Apple Updates for Multiple Vulnerabilities http://www.us-cert.gov/cas/techalerts/TA07-072A.html US-CERT Cyber Security Alert SA07-072A Apple Updates for Multiple Vulnerabilities http://www.us-cert.gov/cas/alerts/SA07-072A.html US-CERT Vulnerability Notes Database Search Results [apple_2007-003] (全15件・2007年3月20日現在) http://www.kb.cert.org/vuls/byid?searchview&query=apple_2007-003 CIAC Bulletin R-176 Apple Security Update 2007-003 http://www.ciac.org/ciac/bulletins/r-176.shtml 概要 Mac OS X、Mac OS X Server およびこれらに含まれる他社のいくつかの 製品には複数の脆弱性があります。結果として、遠隔の第三者が任意の コードやコマンドを実行したり、アクセス制限の迂回、サービス運用妨 害 (DoS) 攻撃などを行ったりする可能性があります。 対象となる製品およびバージョンは以下の通りです。 - Intel および PowerPC ベースのシステムで稼動する以下の製品および バージョン - Apple Mac OS X v10.3.9、v10.4.x - Apple Mac OS X Server v10.3.9、v10.4.x この問題は、Apple が提供する Security Update 2007-003 を適用する か、Mac OS X v10.4.9 に更新することで解決します。 この修正では、Mac OS X や Mac OS X Server に含まれる以下の製品等 も対象となっています。 - Adobe Flash Player - GNU Tar - MySQL Server - OpenSSH - Sudo 関連文書 (日本語) アップル - サポート Mac OS X 10.4.9 のセキュリティコンテンツおよび Security Update 2007-003 について http://docs.info.apple.com/article.html?artnum=305214-ja JP Vendor Status Notes JVNTA07-072A Apple の Mac 製品に複数の脆弱性 http://jvn.jp/cert/JVNTA07-072A/index.html JP Vendor Status Notes TRTA07-072A Apple の Mac 製品に複数の脆弱性 http://jvn.jp/tr/TRTA07-072A/index.html 【3】BIND9 に複数の脆弱性 情報源 CIAC Bulletin R-178 Bind Security Update http://www.ciac.org/ciac/bulletins/r-178.shtml 概要 BIND9 には複数の脆弱性があります。結果として、遠隔の第三者がサー ビス運用妨害 (DoS) 攻撃を行う可能性があります。 この問題は、配布元や使用している OS のベンダが提供する修正済みの バージョンに BIND9 を更新することで解決します。詳細については、 配布元が提供する情報を参照してください。 関連文書 (英語) Internet Systems Consortium, Inc. BIND Vulnerabilities http://www.isc.org/index.pl?/sw/bind/bind-security.php Red Hat Security Advisory RHSA-2007:0057-3 Moderate: bind security update https://rhn.redhat.com/errata/RHSA-2007-0057.html FreeBSD-SA-07:02.bind Multiple Denial of Service vulnerabilities in named(8) http://security.freebsd.org/advisories/FreeBSD-SA-07:02.bind.asc Debian Security Advisory DSA-1254-1 bind9 -- insufficient input sanitising http://www.debian.org/security/2007/dsa-1254 【4】CCCクリーナーにゼロ除算の脆弱性 情報源 JP Vendor Status Notes JVN#80126589 CCCクリーナーにおける UPX 圧縮実行ファイル検索処理にゼロ除算の脆弱性 http://jvn.jp/jp/JVN%2380126589/index.html 概要 サイバークリーンセンターにて、2007年1月25日より 2007年3月12日ま での間に提供された CCCクリーナーには、UPX 圧縮実行ファイルの検索 処理においてゼロ除算の脆弱性があります。結果として、遠隔の第三者 が CCCクリーナーを異常終了させたり、システムを異常終了させたりす る可能性があります。 対象となるバージョンは以下の通りです。 - CCCパターン Ver:321 およびそれ以前の CCCクリーナー 以下のバージョンでは、この問題は修正されています。 - CCCパターン Ver:335 (またはそれ以降) の CCCクリーナー 関連文書 (日本語) 総務省・経済産業省 連携プロジェクト Cyber Clean Center サイバークリーンセンター https://www.ccc.go.jp/index.html JPCERT コーディネーションセンター (JPCERT/CC) JPCERT-PR-2007-0003 サイバークリーンセンターにおいて提供された「CCCクリーナー」の脆弱性についてのお知らせ http://www.jpcert.or.jp/pr/2007/pr070003.pdf トレンドマイクロ アラート/アドバイザリ ウイルス検索エンジンのUPXファイル検索処理時におけるゼロ除算の脆弱性 http://esupport.trendmicro.co.jp/supportjp/viewxml.do?ContentID=JP-2061483&id=JP-2061483 【5】Sun Java System Web Server に脆弱性 情報源 CIAC Bulletin R-179 Sun Java System Web Server Vulnerability http://www.ciac.org/ciac/bulletins/r-179.shtml 概要 Sun Java System Web Server には脆弱性があります。結果として、ロー カルまたは遠隔の第三者が、ある条件のもとで、無効なクライアント証 明書を使用してサーバインスタンスにアクセスする可能性があります。 対象となるバージョンは以下の通りです。 - SPARC プラットフォームで動作する以下のバージョン - Service Pack 7 未適用の Sun Java System Web Server 6.1 - パッチ 116648-19 未適用の Sun Java System Web Server 6.1 - x86 プラットフォームで動作する以下のバージョン - Service Pack 7 未適用の Sun Java System Web Server 6.1 - パッチ 116649-19 未適用の Sun Java System Web Server 6.1 - Linux プラットフォームで動作する以下のバージョン - Service Pack 7 未適用の Sun Java System Web Server 6.1 - パッチ 118202-11 未適用の Sun Java System Web Server 6.1 - AIX プラットフォームで動作する以下のバージョン - Service Pack 7 未適用の Sun Java System Web Server 6.1 - HP-UX プラットフォームで動作する以下のバージョン - Service Pack 7 未適用の Sun Java System Web Server 6.1 なお、以下は該当しません。 - Sun Java System Web Server 6.0 - Sun Java System Web Server 6.1 for Windows - Sun Java System Web Server 7.0 この問題は、Sun が提供するサービスパックまたはパッチを適用するこ とで解決します。詳細については、Sun が提供する情報を参照してくだ さい。 関連文書 (英語) Sun Alert Notification 102822 Sun Java System Web Server May Allow A User with Revoked Client Certificate to Access Server Instance Under Certain Conditions http://www.sunsolve.sun.com/search/document.do?assetkey=1-26-102822-1 【6】デバイスエクスプローラの各種 OPC サーバにバッファオーバーフローの脆弱性 情報源 JP Vendor Status Notes JVNVU#347105 デバイスエクスプローラ HIDIC OPC サーバにバッファオーバーフローの脆弱性 http://jvn.jp/cert/JVNVU%23347105/index.html JP Vendor Status Notes JVNVU#907049 デバイスエクスプローラ FA-M3 OPC サーバにバッファオーバーフローの脆弱性 http://jvn.jp/cert/JVNVU%23907049/index.html JP Vendor Status Notes JVNVU#581889 デバイスエクスプローラ SYSMAC OPC サーバにバッファオーバーフローの脆弱性 http://jvn.jp/cert/JVNVU%23581889/index.html JP Vendor Status Notes JVNVU#926551 デバイスエクスプローラ TOYOPUC OPC サーバにバッファオーバーフローの脆弱性 http://jvn.jp/cert/JVNVU%23926551/index.html JP Vendor Status Notes JVNVU#346577 デバイスエクスプローラ MODBUS OPC サーバにバッファオーバーフローの脆弱性 http://jvn.jp/cert/JVNVU%23346577/index.html JP Vendor Status Notes JVNVU#202345 デバイスエクスプローラ MELSEC OPC サーバにバッファオーバーフローの脆弱性 http://jvn.jp/cert/JVNVU%23202345/index.html 概要 シーケンサ等の計測機器との通信を行うアプリケーションであるデバイ スエクスプローラの各種 OPC サーバには、バッファオーバーフローの 脆弱性があります。結果として、遠隔の第三者が OPC サーバの実行権 限で任意のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Ver 3.11 Build6 以前 - Ver 3.12 Build1 - Ver 3.12 Build2 この問題は、株式会社たけびしが提供する最新バージョンを適用するこ とで解決します。詳細についてはベンダが提供する情報を参照してくだ さい。 関連文書 (日本語) FAWEBドットネット「OPCサーバ/セキュリティ関連のお知らせ」 <セキュリティ関連のお知らせ>デバイスエクスプローラOPCサーバの脆弱性について http://www.faweb.net/opc/1231207.html 【7】Trac にクロスサイトスクリプティングの脆弱性 情報源 JP Vendor Status Notes JVN#91706484 Trac におけるクロスサイトスクリプティングの脆弱性 http://jvn.jp/jp/JVN%2391706484/index.html 概要 プロジェクト管理ツールである Trac には、クロスサイトスクリプティ ングの脆弱性があります。結果として、遠隔の第三者がユーザのブラウ ザ上で任意のスクリプトを実行する可能性があります。 対象となるバージョンは以下の通りです。 - trac 0.10.3 およびそれ以前 - trac-0.10.3-ja-1 およびそれ以前 この問題は、配布元またはベンダが提供する修正済みのバージョンに更 新することで解決します。 関連文書 (日本語) 公開資料(Trac) セキュリティ情報 http://www.i-act.co.jp/project/products/products.html 独立行政法人 情報処理推進機構 セキュリティセンター JVN#91706484「Trac」におけるクロスサイト・スクリプティングの脆弱性 http://www.ipa.go.jp/security/vuln/documents/2006/JVN_91706484.html 関連文書 (英語) Edgewall Trac 0.10.3.1 Released http://www.edgewall.org/blog/news/trac_0_10_3_1.html 【8】FENCE-Pro および Systemwalker Desktop Encryption の自己復号ファイルに脆弱性 情報源 JP Vendor Status Notes JVN#19795972 FENCE-Pro および Systemwalker Desktop Encryption の自己復号型ファイルにおける脆弱性 http://jvn.jp/jp/JVN%2319795972/index.html 概要 暗号化ソフトウェアである FENCE-Pro および Systemwalker Desktop Encryption の自己復号ファイルとして作成したファイルには脆弱性が あります。結果として、第三者が自己復号ファイルの内容を閲覧したり、 自己復号パスワードを入手したりする可能性があります。 対象となる製品およびバージョンは以下の通りです。 - FENCE-PRO V2、V3、V4 - Systemwalker Desktop Encryption V12.0L10、V12.0L10A、 V12.0L10B、V12.0L20、V13.0.0 ソフトウェアに対して富士通が提供するセキュリティパッチを適用する ことで、以後作成される自己複号ファイルはこの問題の影響を受けませ ん。また、既に作成した自己復号ファイルについては、富士通が提供す る自己復号ファイル修正ツールを使用して修正してください。詳細は、 ベンダが提供する情報を参照してください。 関連文書 (日本語) FUJITSU FENCE-Proの自己復号ファイルの脆弱性について http://segroup.fujitsu.com/secure/products/fence/notice/alert20070316.html FUJITSU Systemwalker Desktop Encryptionの自己復号ファイルの脆弱性の問題について (2007年3月16日) http://software.fujitsu.com/jp/security/products-fujitsu/solution/systemwalker_dte_200701.html 独立行政法人 情報処理推進機構 セキュリティセンター JVN#19795972「FENCE-Pro」および「Systemwalker Desktop Encryption」の自己復号型ファイルにおける脆弱性 http://www.ipa.go.jp/security/vuln/documents/2006/JVN_19795972.html 【9】RSA Conference Japan 2007 フルカンファレンス優待登録のお知らせ 情報源 RSA CONFERENCE JAPAN 2007 http://ssl.cmptech.jp/rsacon2007fm/c/?type=asso_12 概要 4月25日(水)〜26日(木) ザ・プリンスパークタワー東京において、 RSA Conference Japan 2007 が開催されます。JPCERT/CC はセキュリティ の脅威の現状とその対策についてのパネルディスカッションと、ソフト ウェア製品が抱える脆弱性の問題とその対策についての講演を行います。     C2-4.プロが語る情報セキュリティの真実 〜脅威の現状とその対策〜 2007年04月25日 16:20〜18:15 https://rsacon2007.smartseminar.jp/public/application/add/36?lang=ja#C2 C4-5. 開発者と技術者のための先進情報 ソフトウェア製品における脆弱性対応の実情 〜問題点と対策〜 2007年04月26日 17:25〜18:15 https://rsacon2007.smartseminar.jp/public/application/add/36?lang=ja#C4 プログラムの詳細については、上記 Web ページをご参照ください。 JPCERT/CC レポート読者向けに、フルカンファレンスの優待登録が提供 されていますのでご利用ください。下記登録サイトにて登録コードをご 入力いただくと、フルカンファレンスに限り、事前登録料金より 10% OFF でご参加いただけます。なお、フルカンファレンスの事前登録は 4月16日(月)18:00 までです。 [登録サイト] http://www.cmptech.jp/rsaconference/register/index.html [JPCERT/CC レポート読者優待登録コード] km7BmHne 登録に関するお問合せ 〒107-0062 東京都港区南青山1-14-7 WIZ青山 TEL: 03-5785-0604 FAX: 03-5785-0608 mailto:rsacon07-regist@cmptech.jp お問い合わせ時間 10:00〜18:00(土・日・祝祭日を除く) ―――――――――――――――――――――――――――――――――――――― ■今週の一口メモ ―――――――――――――――――――――――――――――――――――――― ○ユーザアカウントとメールアドレスの整理 まもなく年度が変わろうとしています。この時期には人事異動等の影響 で、不要になるユーザアカウントやメールアドレスが多数発生すること が予想されます。そこで、システム管理者の方は不要になるアカウント やアドレスを予めリスト化するなどの準備をしておき、できるだけ速や かに適切な措置を取ることを推奨します。 また、無効なメールアドレスが whois データベースや自組織のウェブ サイトを通して外部に公開されていないかどうか併せて確認し、必要に 応じてそれらの情報を更新しましょう。 さらに、この機会に各ユーザおよび管理者のパスワードの一斉変更、ネッ トワーク機器の設定変更、アカウント管理ポリシーの見直しなども検討 することをお勧めします。 参考文献 (日本語) JPCERT/CC REPORT 2004-04-21号 [今週の一口メモ] ユーザアカウントとパスワードの整理 http://www.jpcert.or.jp/wr/2004/wr041601.txt JPCERT/CC REPORT 2006-03-29号 [今週の一口メモ] whois データベースの更新 http://www.jpcert.or.jp/wr/2006/wr061201.txt JPCERT/CC REPORT 2006-04-05号 [今週の一口メモ] インシデント報告を受けつけるメールアドレス http://www.jpcert.or.jp/wr/2006/wr061301.txt JPCERT/CC REPORT 2006-04-19号 [今週の一口メモ] ユーザアカウントとメールアドレスの整理 http://www.jpcert.or.jp/wr/2006/wr061501.txt JPCERT/CC REPORT 2007-02-21号 [今週の一口メモ] 予め設定されているアカウントやパスワードに注意 http://www.jpcert.or.jp/wr/2007/wr070701.html#Memo ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 http://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 http://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 http://www.jpcert.or.jp/form/ 以上。 __________ 2007 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQCVAwUBR+CBNox1ay4slNTtAQgnBQQAjeTpINOdEMwyQZ+YYywh6kgtyRp4V5nY UZRua7gcYrpJFKXfzwnNmX2dEd94WyJwQH8T2/2huS8idlFRjMlvPeOmthPP1mQE 2OvNUiyeCiKk4uUNz8oZu1gN87s4peduDyVhfBFwgTWHAbvW28fwZpbLqvD2L7tm WDaMcHJhP6U= =Mlzn -----END PGP SIGNATURE-----