JPCERT コーディネーションセンター

安全・安心なIT社会のための、国内・国際連携を支援する

お問い合わせ 採用情報 サイトマップ English

Home > 情報提供 > Weekly Report > 2007 > Weekly Report 2007-06-20号

最終更新: 2007-06-20

Weekly Report 2007-06-20号


JPCERT-WR-2007-2301
JPCERT/CC
2007-06-20

<<< JPCERT/CC WEEKLY REPORT 2007-06-20 >>>

■06/10(日)〜06/16(土) のセキュリティ関連情報

目 次

【1】2007年6月 Microsoft セキュリティ情報 (緊急4件含) について

【2】IPv6 Type 0 ルーティングヘッダの仕様に脆弱性

【3】Yahoo!メッセンジャーに複数の脆弱性

【4】libexif に整数オーバーフローの脆弱性

【5】Apache Tomcat に複数のクロスサイトスクリプティングの脆弱性

【6】OpenOffice.org にヒープオーバーフローの脆弱性

【7】dotProject にクロスサイトスクリプティングの脆弱性

【8】「組織内 CSIRT 構築支援マテリアル」公開について

【9】「グッド・プラクティス・ガイド プロセス・制御と SCADA セキュリティ」公開について

【今週のひとくちメモ】ソーシャルエンジニアリング

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2007/wr072301.txt
https://www.jpcert.or.jp/wr/2007/wr072301.xml

【1】2007年6月 Microsoft セキュリティ情報 (緊急4件含) について

情報源

US-CERT Technical Cyber Security Alert TA07-163A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA07-163A.html

US-CERT Cyber Security Alert SA07-163A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/alerts/SA07-163A.html

US-CERT Vulnerability Notes Database
Search Results [ms07-jun] (全5件・2007年6月19日現在)
http://www.kb.cert.org/vuls/byid?searchview&query=ms07-jun

CIAC Bulletin R-268
Vulnerability in Win 32 API (935839)
http://www.ciac.org/ciac/bulletins/r-268.shtml

CIAC Bulletin R-269
Cumulative Security Update for Outlook Express and Windows Mail (929123)
http://www.ciac.org/ciac/bulletins/r-269.shtml

CIAC Bulletin R-270
Cumulative Security Update for Internet Explorer (933566)
http://www.ciac.org/ciac/bulletins/r-270.shtml

CIAC Bulletin R-271
Vulnerability in the Windows Schannel Security Package (935840)
http://www.ciac.org/ciac/bulletins/r-271.shtml

CIAC Bulletin R-272
Vulnerabilities in Microsoft Visio (927051)
http://www.ciac.org/ciac/bulletins/r-272.shtml

CIAC Bulletin R-273
Vulnerability in Windows Vista (931213)
http://www.ciac.org/ciac/bulletins/r-273.shtml

概要

Microsoft 製品には、複数の脆弱性があります。結果として、遠隔の第
三者が任意のコードを実行するなどの可能性があります。

詳細については、Microsoft が提供する情報を参照してください。

この問題は、Microsoft Update、Windows Update、Office Update など
を用いて、セキュリティ更新プログラムを適用することで解決します。

関連文書 (日本語)

2007 年 6 月のセキュリティ情報
http://www.microsoft.com/japan/technet/security/bulletin/ms07-jun.mspx

マイクロソフト セキュリティ情報 MS07-030 - 重要
Microsoft Visio の脆弱性により、リモートでコードが実行される (927051)
http://www.microsoft.com/japan/technet/security/bulletin/ms07-030.mspx

マイクロソフト セキュリティ情報 MS07-031 - 緊急
Microsoft Windows Schannel のセキュリティ パッケージの脆弱性により、リモートでコードが実行される (935840)
http://www.microsoft.com/japan/technet/security/bulletin/ms07-031.mspx

マイクロソフト セキュリティ情報 MS07-032 - 警告
Windows Vista の脆弱性により、情報漏えいが起こる (931213)
http://www.microsoft.com/japan/technet/security/bulletin/ms07-032.mspx

マイクロソフト セキュリティ情報 MS07-033 - 緊急
Internet Explorer 用の累積的なセキュリティ更新プログラム (933566)
http://www.microsoft.com/japan/technet/security/bulletin/ms07-033.mspx

マイクロソフト セキュリティ情報 MS07-034 - 緊急
Outlook Express および Windows メール用の累積的なセキュリティ更新プログラム (929123)
http://www.microsoft.com/japan/technet/security/bulletin/ms07-034.mspx

マイクロソフト セキュリティ情報 MS07-035 - 緊急
Win32 API の脆弱性により、コードが実行される (935839)
http://www.microsoft.com/japan/technet/security/bulletin/ms07-035.mspx

Japan Vulnerability Notes JVNTA07-163A
Microsoft 製品における複数の脆弱性
http://jvn.jp/cert/JVNTA07-163A/index.html

JPCERT/CC Alert 2007-06-13
2007年6月 Microsoft セキュリティ情報 (緊急 4件含) に関する注意喚起
http://www.jpcert.or.jp/at/2007/at070014.txt

@police
マイクロソフト社のセキュリティ修正プログラムについて(MS07-030,031,032,033,034,035)(6/13)
http://www.cyberpolice.go.jp/important/2007/20070613_064528.html

【2】IPv6 Type 0 ルーティングヘッダの仕様に脆弱性

情報源

US-CERT Vulnerability Note VU#267289
IPv6 Type 0 Route Headers allow sender to control routing
http://www.kb.cert.org/vuls/id/267289

概要

IPv6 Type 0 ルーティングヘッダの仕様には脆弱性があります。結果と
して、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行う可能性があ
ります。

2007年6月19日現在、この問題を解決するため、IETF で IPv6 Type 0 
ルーティングヘッダの仕様変更について議論されています。

この問題の回避策としては、IPv6 機能が有効なホストおよびルータで、
IPv6 Type 0 ルーティングヘッダの処理を無効に設定する方法がありま
す。詳細については、各ベンダが提供する情報を参照してください。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#267289
IPv6 Type0 ルーティングヘッダの問題
http://jvn.jp/cert/JVNVU%23267289/index.html

IIJ SEILシリーズ セキュリティ/脆弱性 情報
IPv6プロトコル仕様の脆弱性のSEILシリーズへの影響について
http://www.seil.jp/seilseries/news/snote/snote_200705_01.html

NEC製品セキュリティ情報
IPv6 Type 0 ルーティングヘッダに関する問題
http://www.nec.co.jp/psirt/secinfo/nv07-001.html

関連文書 (英語)

IETF
Deprecation of Type 0 Routing Headers in IPv6
http://www.ietf.org/internet-drafts/draft-ietf-ipv6-deprecate-rh0-00.txt

IETF
IPv6 Type 0 Routing Header Processing
http://www.ietf.org/internet-drafts/draft-savola-ipv6-rtheader-00.txt

Red Hat Security Advisory RHSA-2007:0347-2
Important: kernel security and bug fix update
http://rhn.redhat.com/errata/RHSA-2007-0347.html

Cisco Security Advisory 72372
IPv6 Routing Header Vulnerability
http://www.cisco.com/en/US/products/products_security_advisory09186a00807cb0fd.shtml

Cisco Applied Intelligence Response 81722
Identifying and Mitigating Exploitation of the IPv6 Routing Header Vulnerability
http://www.cisco.com/en/US/products/products_security_response09186a00807cb0df.html

Sun Security Community SECURIY BLOG
IPv6 Routing Header Issues
http://blogs.sun.com/security/entry/ipv6_routing_header_issues

The FreeBSD Project Security Advisory FreeBSD-SA-07:03.ipv6
IPv6 Routing Header 0 is dangerous
http://security.freebsd.org/advisories/FreeBSD-SA-07:03.ipv6.asc

OpenBSD 4.0 errata
012: SECURITY FIX: April 23, 2007
http://openbsd.org/errata40.html#012_route6

OpenBSD 3.9 errata
022: SECURITY FIX: April 23, 2007
http://openbsd.org/errata39.html#022_route6

Linux
Linux Kernel ChangeLog 2.6.20.9
http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.20.9

Linux
Linux Kernel ChangeLog 2.6.21
http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.21

【3】Yahoo!メッセンジャーに複数の脆弱性

情報源

US-CERT Vulnerability Note VU#932217
Yahoo! Webcam view utilities ActiveX control vulnerable to arbitrary code execution
http://www.kb.cert.org/vuls/id/932217

US-CERT Vulnerability Note VU#949817
Yahoo! Webcam image upload ActiveX control vulnerable to arbitrary code execution
http://www.kb.cert.org/vuls/id/949817

概要

Yahoo!メッセンジャーに含まれる複数の ActiveX コントロールには、
バッファオーバーフローの脆弱性があります。結果として、遠隔の第三
者が細工した HTML 文書をユーザに閲覧させることで任意のコードを実
行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があり
ます。

対象となるバージョンは、以下のとおりです。

- 2007年6月8日以前にダウンロードされた Windows プラットフォーム
  向けの Yahoo!メッセンジャー

この問題は、Yahoo が提供する修正済みのバージョンに Yahoo!メッセ
ンジャーを更新することで解決します。

関連文書 (日本語)

Yahoo!メッセンジャー
アップデートのお知らせ
http://messenger.yahoo.co.jp/notice/security070608.html

Japan Vulnerability Notes JVNVU#949817
Yahoo! Messenger の Yahoo! Webcam image upload ActiveX コントロールにバッファオーバーフローの脆弱性
http://jvn.jp/cert/JVNVU%23949817/index.html

Japan Vulnerability Notes JVNVU#932217
Yahoo! Messenger の Yahoo! Webcam view utilities ActiveX コントロールにバッファオーバーフローの脆弱性
http://jvn.jp/cert/JVNVU%23932217/index.html

【4】libexif に整数オーバーフローの脆弱性

情報源

Common Vulnerabiliities and Exposures
CVE-2006-4168
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4168

概要

libexif には、整数オーバーフローの脆弱性があります。結果として、
遠隔の第三者が細工した画像ファイルをユーザに開かせることで任意の
コードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- libexif 0.6.16 より前のバージョン

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに libexif を更新することで解決します。

関連文書 (英語)

The libexif C EXIF library
http://libexif.sourceforge.net/

【5】Apache Tomcat に複数のクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#07100457
Apache Tomcat におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN%2307100457/index.html

Japan Vulnerability Notes JVN#64851600
Apache Tomcat 付属のサンプルプログラムにおけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN%2364851600/index.html

概要

Apache Tomcat の Web Application Manager および付属のサンプルプ
ログラム jsp-examples には、複数のクロスサイトスクリプティングの
脆弱性があります。結果として、遠隔の第三者がユーザのブラウザ上で
任意のスクリプトを実行する可能性があります。

対象となるバージョンは以下のとおりです。

- Apache Tomcat 4.0.0 から 4.0.6
- Apache Tomcat 4.1.0 から 4.1.36
- Apache Tomcat 5.0.0 から 5.0.30
- Apache Tomcat 5.5.0 から 5.5.24
- Apache Tomcat 6.0.0 から 6.0.13 

2007年6月19日現在、この問題に対する修正プログラムは提供されてい
ません。回避策など詳細については、ベンダや配布元が提供する情報を
参照してください。

関連文書 (日本語)

独立行政法人 情報処理推進機構 セキュリティセンター
JVN#07100457 「Apache Tomcat」におけるクロスサイト・スクリプティングの脆弱性
http://www.ipa.go.jp/security/vuln/documents/2007/JVN_07100457.html

独立行政法人 情報処理推進機構 セキュリティセンター
JVN#64851600 「Apache Tomcat」付属のサンプルプログラムにおけるクロスサイト・スクリプティングの脆弱性
http://www.ipa.go.jp/security/vuln/documents/2007/JVN_64851600.html

関連文書 (英語)

Apache Tomcat
Apache Tomcat 4.x vulnerabilities
http://tomcat.apache.org/security-4.html

Apache Tomcat
Apache Tomcat 5.x vulnerabilities
http://tomcat.apache.org/security-5.html

Apache Tomcat
Apache Tomcat 6.x vulnerabilities
http://tomcat.apache.org/security-6.html

【6】OpenOffice.org にヒープオーバーフローの脆弱性

情報源

CIAC Bulletin R-275
OpenOffice.org Heap Overflow
http://www.ciac.org/ciac/bulletins/r-275.shtml

概要

OpenOffice.org には、ヒープオーバーフローの脆弱性があります。結
果として、第三者が細工した RTF 文書をユーザに開かせることで任意
のコードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- OpenOffice.org 2.2.1 より前のバージョン

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに OpenOffice.org を更新することで解決します。なお、
2007年6月19日現在、日本語版の修正済みのバージョンは公開されてい
ません。詳細については、ベンダや配布元が提供する情報を参照してく
ださい。

関連文書 (英語)

OpenOffice.org Security Bulletin
Manipulated RTF files can lead to heap overflows and arbitrary code execution
http://www.openoffice.org/security/CVE-2007-0245.html

Red Hat Security Advisory RHSA-2007:0406-5
Important: openoffice.org security update
http://rhn.redhat.com/errata/RHSA-2007-0406.html

Debian Security Advisory DSA-1307-1
openoffice.org -- heap overflow
http://www.debian.org/security/2007/dsa-1307

【7】dotProject にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#63602912
dotProject におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN%2363602912/index.html

概要

プロジェクト管理ツールである dotProject には、クロスサイトスクリ
プティングの脆弱性があります。結果として、遠隔の第三者がユーザの
ブラウザ上で任意のスクリプトを実行したり、セッション・ハイジャッ
クを行ったりする可能性があります。

対象となるバージョンは以下の通りです。

- dotProject 2.0.4 およびそれ以前のバージョン

この問題は、配布元が提供する修正済みのバージョン 2.1 RC2 に
dotProject を更新することで解決します。

関連文書 (日本語)

独立行政法人 情報処理推進機構 セキュリティセンター
JVN#63602912 「dotProject」におけるクロスサイト・スクリプティングの脆弱性
http://www.ipa.go.jp/security/vuln/documents/2007/JVN_63602912.html

関連文書 (英語)

dotProject.net
dotProject 2.1.0 rc2 Released 21st May
http://www.dotproject.net/index.php?name=News&file=article&sid=135

dotProject.net
Release Notes - 2.1.0 - rc2
http://docs.dotproject.net/index.php/Release_Notes_-_2.1.0_-_rc2

【8】「組織内 CSIRT 構築支援マテリアル」公開について

情報源

JPCERT Coordination Center
組織内 CSIRT 構築支援マテリアル
http://www.jpcert.or.jp/csirt_material/

概要

JPCERT/CC は 2007年6月14日、組織的なインシデント対応体制である
「組織内 CSIRT」の構築を支援する目的で「組織内 CSIRT 構築支援マ
テリアル」を公開しました。

このマテリアルでは、「認知」で組織内 CSIRT の必要性を把握し、
「理解」で全体的なイメージをつかみ、「実践」で実際に構築活動を行
なえるように 3つのカテゴリで構成しています。

【9】「グッド・プラクティス・ガイド プロセス・制御と SCADA セキュリティ」公開について

情報源

JPCERT Coordination Center
グッド・プラクティス・ガイド プロセス・制御と SCADA セキュリティ
http://www.jpcert.or.jp/research/index.html#scada

概要

JPCERT/CC は 2007年6月14日、制御系システムの開発・設計ならびにユー
ザーが SCADA を使用するにあたってセキュリティ要件と仕様のガイド
となり、また、制御系システム開発者がオープン系システムを取り込も
うとする場合の手引きともなる「グッド・プラクティス・ガイド プロ
セス・制御と SCADA セキュリティ」を公開しました。

■今週のひとくちメモ

○ソーシャルエンジニアリング

ソーシャルエンジニアリングとは、コンピュータに侵入するためなどに、
人の心理的・社会的な弱点や盲点を使用する手法です。

電話やメールで、企業の従業員に対して同僚や情報システム管理者など
の関係者を名乗り、ID やパスワードを詐取する「なりすまし」や、事
務所の廃棄物から情報を詐取する「ごみあさり」などが代表的です。

ソーシャルエンジニアリングは古くからある手法ですが、最近でも、特
定の企業に対して社内の関係者を装ったウイルス付きメールを送信する
などのソーシャルエンジニアリングを用いた攻撃が発生しています。引
き続き、このような攻撃には注意が必要です。

参考文献 (日本語)

JPCERT/CC Alert 2007-06-14
ID やパスワードを聞き出そうとする電話に関する注意喚起
http://www.jpcert.or.jp/at/2007/at070015.txt

総務省 社員・職員全般のための情報セキュリティ対策
ソーシャルエンジニアリングの対策
http://www.soumu.go.jp/joho_tsusin/security/business/work05.htm

独立行政法人 情報処理推進機構
国内におけるソーシャル・エンジニアリングの実態調査 (PDF)
http://www.ipa.go.jp/security/fy11/report/contents/intrusion/socialeng/socialeng.pdf

■JPCERT/CC からのお願い

  • 本レポートに関するお問い合わせは editor@jpcert.or.jp 宛 にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
    https://www.jpcert.or.jp/wr/
  • 本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
    https://www.jpcert.or.jp/announce.html
  • JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
    https://www.jpcert.or.jp/form/

Topへ