JPCERT-WR-2007-2101 2007-06-06 2007-05-27 2007-06-02

US-CERT Technical Cyber Security Alert TA07-151A http://www.us-cert.gov/cas/techalerts/TA07-151A.html US-CERT Cyber Security Alert SA07-151A http://www.us-cert.gov/cas/alerts/SA07-151A.html US-CERT Vulnerability Notes Database http://www.kb.cert.org/vuls/byid?searchview&query=mozilla_20070531 CIAC Bulletin R-252 http://www.ciac.org/ciac/bulletins/r-252.shtml CIAC Bulletin R-253 http://www.ciac.org/ciac/bulletins/r-253.shtml CIAC Bulletin R-254 http://www.ciac.org/ciac/bulletins/r-254.shtml CIAC Bulletin R-255 http://www.ciac.org/ciac/bulletins/r-255.shtml

Mozilla Firefox をはじめとする Mozilla 製品群には、複数の脆弱性が あります。結果として、遠隔の第三者が任意のコードを実行したり、サー ビス運用妨害 (DoS) 攻撃を行ったりする可能性があります。 この問題は、使用している OS のベンダや配布元が提供する以下の修正 済みのバージョンに、該当する製品を更新することで解決します。 - Firefox 2.0.0.4 (またはそれ以降) - Firefox 1.5.0.12 (またはそれ以降) - Thunderbird 1.5.0.12 (またはそれ以降) - SeaMonkey 1.0.9 (またはそれ以降) - SeaMonkey 1.1.2 (またはそれ以降) なお、2007年6月5日現在、Thunderbird 2.0 系列では修正済みのバージョ ンは提供されていません。Mozilla の情報によると、修正済みのバージョ ンである Thunderbird 2.0.0.4 を準備しているとのことです。 また、Firefox 1.5 系列のサポートは 6月で終了するため、Firefox 2.0 系列へ更新することを推奨します。 詳細については、Mozilla が提供する情報を参照してください。

Mozilla Foundation セキュリティアドバイザリ 2007-12 http://www.mozilla-japan.org/security/announce/2007/mfsa2007-12.html Mozilla Foundation セキュリティアドバイザリ 2007-13 http://www.mozilla-japan.org/security/announce/2007/mfsa2007-13.html Mozilla Foundation セキュリティアドバイザリ 2007-14 http://www.mozilla-japan.org/security/announce/2007/mfsa2007-14.html Mozilla Foundation セキュリティアドバイザリ 2007-15 http://www.mozilla-japan.org/security/announce/2007/mfsa2007-15.html Mozilla Foundation セキュリティアドバイザリ 2007-16 http://www.mozilla-japan.org/security/announce/2007/mfsa2007-16.html Mozilla Foundation セキュリティアドバイザリ 2007-17 http://www.mozilla-japan.org/security/announce/2007/mfsa2007-17.html Japan Vulnerability Notes JVNTA07-151A http://jvn.jp/cert/JVNTA07-151A/index.html Red Hat Security Advisory RHSA-2007:0400-3 http://rhn.redhat.com/errata/RHSA-2007-0400.html Red Hat Security Advisory RHSA-2007:0401-2 http://rhn.redhat.com/errata/RHSA-2007-0401.html Red Hat Security Advisory RHSA-2007:0402-4 http://rhn.redhat.com/errata/RHSA-2007-0402.html

US-CERT Vulnerability Note VU#995836 http://www.kb.cert.org/vuls/id/995836 US-CERT Vulnerability Note VU#434748 http://www.kb.cert.org/vuls/id/434748 CIAC Bulletin R-251 http://www.ciac.org/ciac/bulletins/r-251.shtml

QuickTime for Java には複数の脆弱性があります。結果として、遠隔 の第三者が細工した Web ページを利用して任意のコードを実行する可 能性があります。 対象となる製品およびバージョンは以下の通りです。 - QuickTime 7.1.6 for Windows - QuickTime 7.1.6 for Mac OS X この問題は、Apple が提供する Security Update (QuickTime 7.1.6) を適用することで解決します。

アップル - サポート http://docs.info.apple.com/article.html?artnum=305531-ja アップル - サポート - ダウンロード http://www.apple.com/jp/ftp-info/reference/securityupdatequicktime716forwindows.html アップル - サポート - ダウンロード http://www.apple.com/jp/ftp-info/reference/securityupdatequicktime716formac.html

US-CERT Vulnerability Note VU#221876 http://www.kb.cert.org/vuls/id/221876 US-CERT Vulnerability Note VU#116100 http://www.kb.cert.org/vuls/id/116100 CIAC Bulletin R-247 http://www.ciac.org/ciac/bulletins/r-247.shtml

Mac OS X および Mac OS X Server には複数の脆弱性があります。結果 として、遠隔の第三者が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があります。 この問題は、JPCERT/CC REPORT 2007-03-22号【3】で紹介した「BIND9 に複数の脆弱性」と同一の脆弱性を含んでいます。 対象となる製品およびバージョンは以下の通りです。 - Intel および PowerPC ベースのシステムで稼動する以下の製品および バージョン - Apple Mac OS X v10.3.9、v10.4.9 - Apple Mac OS X Server v10.3.9、v10.4.9 この問題は、Apple が提供する Security Update 2007-005 を適用する ことで解決します。詳細については Apple が提供する情報を参照して ください。

アップル - サポート http://docs.info.apple.com/article.html?artnum=305530-ja アップル - サポート - ダウンロード http://www.apple.com/jp/ftp-info/reference/securityupdate2007005v11ppc.html アップル - サポート - ダウンロード http://www.apple.com/jp/ftp-info/reference/securityupdate2007005v11universal.html JPCERT/CC REPORT 2007-03-22 http://www.jpcert.or.jp/wr/2007/wr071101.html#3

CIAC Bulletin R-250 http://www.ciac.org/ciac/bulletins/r-250.shtml

ファイルの種別を判定する file コマンドには、整数アンダーフローの 脆弱性があります。結果として、第三者が、細工したファイルに対して file コマンドを実行させることで任意のコードを実行できる可能性が あります。 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに file コマンドを更新することで解決します。詳細につい てはベンダや配布元が提供する情報を参照してください。

US-CERT Vulnerability Note VU#606700 http://www.kb.cert.org/vuls/id/606700 Red Hat Security Advisory RHSA-2007:0391-3 https://rhn.redhat.com/errata/RHSA-2007-0391.html

US-CERT Vulnerability Note VU#746889 http://www.kb.cert.org/vuls/id/746889 CIAC Bulletin R-248 http://www.ciac.org/ciac/bulletins/r-248.shtml

Sun Java System Web Proxy Server の SOCKS モジュールには、バッファ オーバーフローの脆弱性があります。結果として、遠隔の第三者が Sun Java System Web Proxy Server を実行しているユーザの権限で任意の コードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Sun Java System Web Proxy Server 4.0.4 およびそれ以前 この問題は、Sun が提供する修正済みのバージョン 4.0.5 またはそれ 以降に Sun Java System Web Proxy Server を更新することで解決しま す。

Sun Alert Notification 102927 http://www.sunsolve.sun.com/search/document.do?assetkey=1-26-102927-1

US-CERT Vulnerability Note VU#125868 http://www.kb.cert.org/vuls/id/125868 CIAC Bulletin R-249 http://www.ciac.org/ciac/bulletins/r-249.shtml

ALWIL Software が提供するウィルス対策ソフトウェア Avast! には、 バッファオーバーフローの脆弱性があります。結果として、遠隔の第三 者が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行っ たりする可能性があります。 対象となるバージョンは以下の通りです。 - Avast! 4.7.700 より前のバージョン この問題は、ALWIL Software が提供する修正済みのバージョンに Avast! を更新することで解決します。

ALWIL Software http://www.avast.com/eng/adnm-management-client-revision-history.html

US-CERT Vulnerability Note VU#330289 http://www.kb.cert.org/vuls/id/330289 CIAC Bulletin R-256 http://www.ciac.org/ciac/bulletins/r-256.shtml

Logitech VideoCall に含まれる複数の ActiveX コントロールには、複 数のバッファオーバーフローの脆弱性があります。結果として、遠隔の 第三者が細工した HTML 文書を利用して任意のコードを実行したり、サー ビス運用妨害 (DoS) 攻撃を行ったりする可能性があります。 2007年6月5日現在、この問題に対する修正プログラムは確認されており ません。 Internet Explorer での回避策として、Kill Bit を設定する、インター ネットゾーンで ActiveX コントロールを無効にするなどの方法がありま す。詳細については、下記関連文書を参照してください。

マイクロソフト サポートオンライン http://support.microsoft.com/kb/240797

Japan Vulnerability Notes JVN#19240523 http://jvn.jp/jp/JVN%2319240523/index.html

HP が提供する HP System Management Homepage (SMH) には、クロスサ イトスクリプティングの脆弱性があります。結果として、遠隔の第三者 がユーザのブラウザ上で任意のスクリプトを実行する可能性があります。 対象となるプラットフォームおよびバージョンは以下の通りです。 - Linux および Windows 上で動作する以下のバージョン - HP System Management Homepage 2.1.2 より前のバージョン この問題は、HP が提供する修正済みのバージョンに SMH を更新するこ とで解決します。 なお、SMH の旧製品にあたる Compaq System Management Homepage に も同様の脆弱性があることが確認されています。Compaq System Management Homepage は現在提供されていないため、SMH へアップグレー ドすることが推奨されています。詳しくは HP が提供する情報を参照し てください。

独立行政法人 情報処理推進機構 セキュリティセンター http://www.ipa.go.jp/security/vuln/documents/2007/JVN_19240523.html SUPPORT COMMUNICATION - SECURITY BULLETIN c01056592 http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c01056592 US-CERT Vulnerability Note VU#292457 http://www.kb.cert.org/vuls/id/292457

生体認証の技術は他の認証方式と比較して歴史が浅く、現在も評価と改 良が続けられています。 生体認証では本人の身体的特徴や行動的特徴を利用するため、基本的に 認証情報の変更は困難です。このため、一度認証情報が漏えいすると、 その人は生涯リスクを負うことになります。他のシステムで同じ生体情 報を使用している場合、それらのシステムに影響が波及する可能性があ ります。 生体認証システムを構築運用する場合には、生体認証だけでなく、パス ワードやスマートカードなど他の認証方式と併用し(多要素認証)、認証 に利用する生体情報を適切に管理して、その管理方法をユーザに説明す ることを推奨します。 金融庁: 偽造キャッシュカード問題に関するスタディグループ http://www.fsa.go.jp/singi/singi_fccsg/gaiyou/f-20050415-singi_fccsg/02.pdf JPCERT/CC REPORT 2006-07-12 http://www.jpcert.or.jp/wr/2006/wr062601.txt JPCERT/CC REPORT 2007-05-23 http://www.jpcert.or.jp/wr/2007/wr071901.html#Memo JPCERT/CC REPORT 2007-05-30 http://www.jpcert.or.jp/wr/2007/wr072001.html#Memo