-----BEGIN PGP SIGNED MESSAGE----- JPCERT-WR-2007-2701 JPCERT/CC 2007-07-19 <<< JPCERT/CC REPORT 2007-07-19 >>> ―――――――――――――――――――――――――――――――――――――― ■07/08(日)〜07/14(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】2007年7月 Microsoft セキュリティ情報 (緊急3件含) について 【2】Adobe Flash Player に複数の脆弱性 【3】Apple QuickTime に複数の脆弱性 【4】FirefoxURL プロトコルハンドラの処理に脆弱性 【5】SAP 製品に複数の脆弱性 【6】Symantec Backup Exec for Windows Server にヒープオーバーフローの脆弱性 【7】KDDI 製ダウンロード CGI サンプルプログラムにディレクトリトラバーサルの脆弱性 【今週のひとくちメモ】送信ドメイン認証 その2 (SPF: Sender Policy Framework) ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 http://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 http://www.jpcert.or.jp/wr/2007/wr072701.html http://www.jpcert.or.jp/wr/2007/wr072701.xml ============================================================================ 【1】2007年7月 Microsoft セキュリティ情報 (緊急3件含) について 情報源 US-CERT Technical Cyber Security Alert TA07-191A Microsoft Updates for Multiple Vulnerabilities http://www.us-cert.gov/cas/techalerts/TA07-191A.html US-CERT Cyber Security Alert SA07-191A Microsoft Updates for Multiple Vulnerabilities http://www.us-cert.gov/cas/alerts/SA07-191A.html US-CERT Vulnerability Notes Database Search Results [ms07-jul] (全3件・2007年7月18日現在) http://www.kb.cert.org/vuls/byid?searchview&query=ms07-jul CIAC Bulletin R-294 Vulnerability in Windows Active Directory (926122) http://www.ciac.org/ciac/bulletins/r-294.shtml CIAC Bulletin R-295 Vulnerabilities in .NET Framework (931212) http://www.ciac.org/ciac/bulletins/r-295.shtml CIAC Bulletin R-296 Vulnerability in Microsoft Internet Information Services (939373) http://www.ciac.org/ciac/bulletins/r-296.shtml CIAC Bulletin R-297 Vulnerabilities in Microsoft Excel (936542) http://www.ciac.org/ciac/bulletins/r-297.shtml CIAC Bulletin R-298 Vulnerability in Windows Vista Firewall (935807) http://www.ciac.org/ciac/bulletins/r-298.shtml CIAC Bulletin R-299 Vulnerability in Microsoft Office Publisher 2007 (936548) http://www.ciac.org/ciac/bulletins/r-299.shtml 概要 Microsoft 製品には、複数の脆弱性があります。結果として、遠隔の第 三者が任意のコードを実行する可能性があります。 詳細については、Microsoft が提供する情報を参照してください。なお、 本件の対象製品には Microsoft Office 2004 for Mac が含まれていま す。 この問題は、Microsoft Update、Windows Update、Office Update など を用いて、セキュリティ更新プログラムを適用することで解決します。 関連文書 (日本語) 2007 年 7 月のセキュリティ情報 http://www.microsoft.com/japan/technet/security/bulletin/ms07-jul.mspx マイクロソフト セキュリティ情報 MS07-036 - 緊急 Microsoft Excel の脆弱性により、リモートでコードが実行される (936542) http://www.microsoft.com/japan/technet/security/Bulletin/MS07-036.mspx マイクロソフト セキュリティ情報 MS07-037 - 重要 Microsoft Office Publisher 2007 の脆弱性により、リモートでコードが実行される (936548) http://www.microsoft.com/japan/technet/security/Bulletin/MS07-037.mspx マイクロソフト セキュリティ情報 MS07-038 - 警告 Windows Vista ファイアウォールの脆弱性により、情報漏えいが起こる (935807) http://www.microsoft.com/japan/technet/security/Bulletin/MS07-038.mspx マイクロソフト セキュリティ情報 MS07-039 - 緊急 Windows Active Directory の脆弱性により、リモートでコードが実行される (926122) http://www.microsoft.com/japan/technet/security/Bulletin/MS07-039.mspx マイクロソフト セキュリティ情報 MS07-040 - 緊急 .NET Framework の脆弱性により、リモートでコードが実行される (931212) http://www.microsoft.com/japan/technet/security/Bulletin/MS07-040.mspx マイクロソフト セキュリティ情報 MS07-041 - 重要 Microsoft インターネット インフォメーション サービスの脆弱性により、リモートでコードが実行される (939373) http://www.microsoft.com/japan/technet/security/Bulletin/MS07-041.mspx Japan Vulnerability Notes JVNTA07-191A Microsoft 製品における複数の脆弱性 http://jvn.jp/cert/JVNTA07-191A/index.html JPCERT/CC Alert 2007-07-11 2007年7月 Microsoft セキュリティ情報 (緊急 3件含) に関する注意喚起 http://www.jpcert.or.jp/at/2007/at070017.txt @police マイクロソフト社のセキュリティ修正プログラムについて(MS07-036,037,038,039,040,041) http://www.cyberpolice.go.jp/important/2007/20070713_200312.html 【2】Adobe Flash Player に複数の脆弱性 情報源 US-CERT Technical Cyber Security Alert TA07-192A Adobe Flash Player Updates for Multiple Vulnerabilities http://www.us-cert.gov/cas/techalerts/TA07-192A.html US-CERT Cyber Security Alert SA07-192A Adobe Flash Player Updates for Multiple Vulnerabilities http://www.us-cert.gov/cas/alerts/SA07-192A.html US-CERT Vulnerability Note VU#730785 Adobe Flash Player fails to properly sanitize input http://www.kb.cert.org/vuls/id/730785 US-CERT Vulnerability Note VU#110297 Flash Player information disclosure vulnerability http://www.kb.cert.org/vuls/id/110297 US-CERT Vulnerability Note VU#138457 Adobe Flash Player fails to properly validate HTTP Referers http://www.kb.cert.org/vuls/id/138457 CIAC Bulletin R-300 Flash Player Vulnerability http://www.ciac.org/ciac/bulletins/r-300.shtml 概要 Abobe Flash Player には複数の脆弱性があります。結果として、遠隔 の第三者が細工した Flash ファイルをユーザに開かせることで、その ユーザの権限で任意のコマンドを実行したり、情報を取得したり、サー ビス運用妨害 (DoS) 攻撃を行ったりする可能性があります。 対象となる製品およびバージョンは以下の通りです。 - Flash Player 9.0.45.0 およびそれ以前 - Flash Basic - Flash CS3 Professional - Flash Professional 8 - Flex 2.0 - Linux および Solaris 用の Flash Player 7.070.0 この問題は、Adobe が提供する修正済みのバージョンに、該当する製品 を更新することで解決します。詳細については Adobe が提供する情報 を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNTA07-192A Adobe Flash Player に複数の脆弱性 http://jvn.jp/cert/JVNTA07-192A/index.html Japan Vulnerability Notes JVN#72595280 Flash Player において任意の Referer ヘッダが送信可能な脆弱性 http://jvn.jp/jp/JVN%2372595280/index.html @police Flash Player の脆弱性について http://www.cyberpolice.go.jp/important/2007/20070713_195607.html 独立行政法人 情報処理推進機構 セキュリティセンター JVN#72595280 「Flash Player」において任意の Referer ヘッダが送信可能な脆弱性 http://www.ipa.go.jp/security/vuln/documents/2007/JVN_72595280.html 関連文書 (英語) Adobe Security bulletin APSB07-12 Flash Player update available to address security vulnerabilities http://www.adobe.com/support/security/bulletins/apsb07-12.html 【3】Apple QuickTime に複数の脆弱性 情報源 US-CERT Technical Cyber Security Alert TA07-193A Apple Releases Security Updates for QuickTime http://www.us-cert.gov/cas/techalerts/TA07-193A.html US-CERT Cyber Security Alert SA07-193A Apple Releases Security Updates for QuickTime http://www.us-cert.gov/cas/alerts/SA07-193A.html US-CERT Vulnerability Note VU#582681 Apple QuickTime fails to properly handle malformed movie files http://www.kb.cert.org/vuls/id/582681 概要 Apple QuickTime には複数の脆弱性があります。結果として、遠隔の第 三者が細工した Java アプレットまたはメディアファイルをユーザに開 かせることで、任意のコマンドを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があります。 対象となる製品は以下の通りです。 - QuickTime for Windows PC - QuickTime for Mac OS X なお、iTunes など QuickTime を使用するソフトウェアも影響を受けま す。詳細については、Apple が提供する情報を参照してください。 この問題は、Apple が提供する修正済みのバージョン 7.2 に、 QuickTime を更新することで解決します。 関連文書 (日本語) アップル - サポート - ダウンロード QuickTime 7.2 for Mac http://www.apple.com/jp/ftp-info/reference/quicktime72formac.html アップル - サポート - ダウンロード QuickTime 7.2 for Windows http://www.apple.com/jp/ftp-info/reference/quicktime72forwindows.html Japan Vulnerability Notes JVNTA07-193A Apple QuickTime に複数の脆弱性 http://jvn.jp/cert/JVNTA07-193A/index.html 関連文書 (英語) About the security content of QuickTime 7.2 http://docs.info.apple.com/article.html?artnum=305947 【4】FirefoxURL プロトコルハンドラの処理に脆弱性 情報源 US-CERT Vulnerability Note VU#358017 Mozilla Firefox URL protocol handling vulnerability http://www.kb.cert.org/vuls/id/358017 概要 Mozilla Firefox をインストールした Windows において行なわれる FirefoxURL プロトコルハンドラの処理には脆弱性があります。結果と して、遠隔の第三者が細工した HTML 文書を Internet Explorer を使 用して開かせることで、ユーザの権限で任意のコードを実行する可能性 があります。なお、本件に関しては攻撃方法に関する情報が公開されて います。 対象となるプラットフォームは以下の通りです。 - Mozilla Firefox がインストールされた Microsoft Windows この問題は、Mozilla が提供する修正済みのバージョン 2.0.0.5 に Firefox を更新することで解決します。詳細については Mozilla が提 供する情報を参照してください。 関連文書 (日本語) Mozilla Japan Firefox 2.0.0.5 リリースノート http://www.mozilla-japan.org/products/firefox/2.0.0.5/releasenotes/ 関連文書 (英語) Mozilla Foundation Security Advisories Fixed in Firefox 2.0.0.5 http://www.mozilla.org/projects/security/known-vulnerabilities.html#firefox2.0.0.5 Mozilla Security Blog Security Issue in URL Protocol Handling on Windows http://blog.mozilla.com/security/2007/07/10/security-issue-in-url-protocol-handling-on-windows/ mozillaZine Security Exploit Uses Internet Explorer to Attack Mozilla Firefox http://www.mozillazine.org/talkback.html?article=22198 【5】SAP 製品に複数の脆弱性 情報源 US-CERT Vulnerability Note VU#305657 SAP Message Server heap buffer overflow http://www.kb.cert.org/vuls/id/305657 US-CERT Vulnerability Note VU#679041 SAP DB Web Server buffer overflow vulnerability http://www.kb.cert.org/vuls/id/679041 概要 SAP 製品には複数の脆弱性があります。結果として、遠隔の第三者が任 意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりす る可能性があります。 対象となる製品は以下の通りです。 - SAP Message Server - SAP DB Web Server この問題は、SAP が提供する修正済みのバージョンに、該当する製品を 更新することで解決します。詳細については SAP の提供する情報を参 照してください。 関連文書 (英語) Next Generation Security Software Ltd Critical Risk Vulnerability in SAP Message Server (Heap Overflow) http://www.ngssoftware.com/advisories/critical-risk-vulnerability-in-sap-message-server-heap-overflow/ Next Generation Security Software Ltd Critical Risk Vulnerability in SAP DB Web Server (Stack Overflow) http://www.ngssoftware.com/advisories/critical-risk-vulnerability-in-sap-db-web-server-stack-overflow/ 【6】Symantec Backup Exec for Windows Server にヒープオーバーフローの脆弱性 情報源 US-CERT Vulnerability Note VU#213697 Symantec Backup Exec contains heap overflow in RPC interface http://www.kb.cert.org/vuls/id/213697 概要 Symantec Backup Exec for Windows Server の RPC インタフェースに は、ヒープオーバーフローの脆弱性があります。結果として、遠隔の第 三者が細工したパケットをサーバに送信することで任意のコードの実行 したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性がありま す。 対象となるバージョンは以下の通りです。 - Backup Exec for Windows Servers 10.0、10d、11d この問題は、Symantec が提供するアップデートを適用することで解決 します。詳細については、Symantec が提供する情報を参照してくださ い。 関連文書 (日本語) Symantec Security Response SYM07-015 Symantec Backup Exec for Windows Server ： RPC インタフェースにヒープオーバーフローによるサービス拒否の脆弱性 http://www.symantec.com/region/jp/avcenter/security/content/2007.07.11a.html 【7】KDDI 製ダウンロード CGI サンプルプログラムにディレクトリトラバーサルの脆弱性 情報源 Japan Vulnerability Notes JVN#33593387 KDDI 製ダウンロード CGI サンプルプログラムにおけるディレクトリトラバーサルの脆弱性 http://jvn.jp/jp/JVN%2333593387/index.html 概要 KDDI EZFactory に掲載されているダウンロード CGI サンプルプログラ ムには、ディレクトリトラバーサルの脆弱性があります。結果として、 遠隔の第三者が、ダウンロード CGI サンプルプログラムが設置されて いるサーバ内のファイルを認証なしで閲覧する可能性があります。 この問題は、KDDI が提供する「ダウンロード CGI セキュリティ対策版」 に、ダウンロード CGI サンプルプログラムを更新することで解決しま す。詳細については、KDDI が提供する情報を参照してください。 関連文書 (日本語) KDDI EZFactory サンプルプログラムのセキュリティに関する重要なお知らせ http://www.au.kddi.com/ezfactory/tec/dlcgi/info.html 独立行政法人 情報処理推進機構 セキュリティセンター JVN#33593387 KDDI 製「ダウンロード CGI サンプルプログラム」におけるディレクトリ・トラバーサルの脆弱性 http://www.ipa.go.jp/security/vuln/documents/2007/JVN_33593387.html ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○送信ドメイン認証 その2 (SPF: Sender Policy Framework) SPF は IP アドレスにもとづく送信ドメイン認証の技術のひとつであり、 現在最も普及が進んでいます。 SPF では、メール送信側が送信サーバの情報を宣言します。一方、メー ル受信側は SMTP の MAIL FROM (envelope From) または HELO/EHLO コ マンドから送信ドメインを特定し、そのドメインで宣言されたサーバか らの通信かどうかを判定して認証を行います。 送信サーバの情報は DNS を使用して公開します。以下は一例です。 example.com. IN TXT "v=spf1 ip4:192.168.0.0/26 ~all" この例では、example.com ドメインは 192.168.0.0/26 の IP アドレス 範囲のサーバからメールを送信し、それ以外全ての IP アドレスからは メールを送信しない という宣言をしています。(「~all」の「~」は SoftFail を意味します。) 送信サーバの宣言に漏れがあると、正しく認証されるべきメールが認証 されなくなる可能性があります。このため、組織のメール配送経路を正 確に把握し、組織内でメール送信についてのポリシーを徹底することが 重要です。 参考文献 (日本語) WIDE antispam WG ドメイン認証の普及率に対する測定結果 http://member.wide.ad.jp/wg/antispam/stats/index.html.ja 財団法人インターネット協会 有害情報対策ポータルサイト RFC翻訳 RFC4408 http://www.iajapan.org/anti_spam/portal/Tech/RFC/RFC4408_01.html JPCERT/CC REPORT 2007-07-11 【今週のひとくちメモ】送信ドメイン認証 その1 http://www.jpcert.or.jp/wr/2007/wr072601.html#Memo 参考文献 (英語) IETF RFC4408 Sender Policy Framework (SPF) for Authorizing Use of Domains in E-Mail, Version 1 http://www.ietf.org/rfc/rfc4408.txt ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 http://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL をご参照ください。 http://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL をご参照ください。 http://www.jpcert.or.jp/form/ 以上。 __________ 2007 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQCVAwUBRp64QIx1ay4slNTtAQHreAP9GNOvxdCc+Rk1QhEWTwF59+LbRMDWFQvW p42hqoml0PqkxFTcpMotY6PWJq9m5i0Hod6KPneovjSMPB8ALClxOxZN+Rt1ZaFF zB7QR2KrePKPDyn5PMZSBAIx0CeqJlMEHRwiZ5Vkb7qeFuDqsrJU3CAhvuz9e8jC AQZWowjXr/c= =Ylxa -----END PGP SIGNATURE-----