-----BEGIN PGP SIGNED MESSAGE----- JPCERT-WR-2007-3401 JPCERT/CC 2007-09-05 <<< JPCERT/CC REPORT 2007-09-05 >>> ―――――――――――――――――――――――――――――――――――――― ■08/26(日)〜09/01(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】MSN メッセンジャーおよび Windows Live メッセンジャーにヒープオーバーフローの脆弱性 【2】Yahoo! メッセンジャーにヒープオーバーフローの脆弱性 【3】Cisco 製品に SQL インジェクションおよびクロスサイトスクリプティングの脆弱性 【4】BIND 8 の乱数生成に脆弱性 【5】ドメイン管理者への不審なメール送付について 【6】Oracle JInitiator の ActiveX コントロールにスタックバッファオーバーフローの脆弱性 【7】HP OpenView Performance Manager に脆弱性 【8】rsync に脆弱性 【9】Asterisk に複数の脆弱性 【10】policyd にバッファオーバーフローの脆弱性 【11】Quiksoft EasyMail の ActiveX コントロールに複数のスタックバッファオーバーフローの脆弱性 【12】Tuigwaa にクロスサイトスクリプティングの脆弱性 【13】Mayaa にクロスサイトスクリプティングの脆弱性 【14】ショッピングバスケットプロにディレクトリトラバーサルの脆弱性 【今週のひとくちメモ】インターネットセキュリティの歴史 第8回 「不正アクセス行為の禁止等に関する法律の施行」 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 http://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 http://www.jpcert.or.jp/wr/2007/wr073401.html http://www.jpcert.or.jp/wr/2007/wr073401.xml ============================================================================ 【1】MSN メッセンジャーおよび Windows Live メッセンジャーにヒープオーバーフローの脆弱性 情報源 US-CERT Vulnerability Note VU#166521 MSN Messenger and Windows Live Messenger webcam stream heap overflow http://www.kb.cert.org/vuls/id/166521 CIAC Bulletin R-332 MSN Messenger and Windows Live Messenger Webcam Vulnerability http://www.ciac.org/ciac/bulletins/r-332.shtml 概要 MSN メッセンジャーおよび Windows Live メッセンジャーの webcam ス トリームの処理には、ヒープオーバーフローの脆弱性があります。結果 として、遠隔の第三者が細工した webcam ストリームをユーザに受け入 れさせることで、ユーザの権限で任意のコードを実行する可能性があり ます。なお、本件に関しては攻撃方法に関する情報が公開されています。 対象となるバージョンは以下の通りです。 - MSN メッセンジャー 7.x およびそれ以前 - Windows Live メッセンジャー 8.1 より前のバージョン この問題は、マイクロソフトが提供する修正済みの Windows Live メッ センジャー 8.1 に該当する製品を更新することで解決します。 なお、Windows Live メッセンジャーは、Windows 2000 には対応してい ません。Windows 2000 において MSN メッセンジャーを使用する場合に は、送信元に関わらず webcam の招待を受け入れないよう注意してくだ さい。 関連文書 (日本語) マイクロソフト Windows Live メッセンジャー / MSN メッセンジャー　ダウンロードセンター http://messenger.live.jp/download/ マイクロソフト ダウンロード センター Windows Live Messenger 8.1 http://www.microsoft.com/downloads/details.aspx?FamilyID=d78f2ff1-79ea-4066-8ba0-ddbed94864fc&DisplayLang=ja Japan Vulnerability Notes JVNVU#166521 MSN メッセンジャーおよび Windows Live メッセンジャーの webcam ストリームの処理にヒープオーバーフローの脆弱性 http://jvn.jp/cert/JVNVU%23166521/index.html 【2】Yahoo! メッセンジャーにヒープオーバーフローの脆弱性 情報源 US-CERT Vulnerability Note VU#515968 Yahoo! Messenger webcam stream heap overflow http://www.kb.cert.org/vuls/id/515968 概要 Windows 版 Yahoo! メッセンジャーの webcam ストリームの処理には、 ヒープオーバーフローの脆弱性があります。結果として、遠隔の第三者 が細工した webcam ストリームをユーザに受け入れさせることで、ユー ザの権限で任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃 を行ったりする可能性があります。なお、本件に関しては攻撃方法に関 する情報が公開されています。 対象となるバージョンは以下の通りです。 - 2007年8月22日以前にダウンロードした Windows 版の Yahoo! メッセ ンジャー この問題は、Yahoo! が提供する修正済みのバージョンに Yahoo! メッセ ンジャーを更新することで解決します。 関連文書 (日本語) Yahoo!メッセンジャー - お知らせ アップデートのお知らせ http://messenger.yahoo.co.jp/notice/security.html?date=20070822 Japan Vulnerability Notes JVNVU#515968 Yahoo! メッセンジャーの webcam stream の処理にヒープオーバーフローの脆弱性 http://jvn.jp/cert/JVNVU%23515968/index.html 関連文書 (英語) Security Update - Yahoo! Messenger Security Updates Yahoo! Webcam http://messenger.yahoo.com/security_update.php?id=082107 【3】Cisco 製品に SQL インジェクションおよびクロスサイトスクリプティングの脆弱性 情報源 CIAC Bulletin R-336 XSS and SQL Injection in Cisco CallManager/Unified Communications Manager Logon Page Vulnerabilities http://www.ciac.org/ciac/bulletins/r-336.shtml 概要 Cisco の CallManager および Unified Communications Manager のロ グオンページには、SQL インジェクションおよびクロスサイトスクリプ ティングの脆弱性があります。結果として、遠隔の第三者が機密情報を 取得したり、細工した HTML 文書をユーザに閲覧させることで、ユーザ のブラウザ上で任意のスクリプトを実行したりする可能性があります。 対象となるバージョンは以下の通りです。 - CallManager および Unified Communications Manager の以下のバージョン - 3.3(5)sr2b 以前 - 4.1(3)sr5 以前 - 4.2(3)sr2 以前 - 4.3(1)sr1 以前 この問題は、Cisco が提供する修正済みのバージョンに該当する製品を 更新することで解決します。詳細については Cisco が提供する情報を参 照してください。 関連文書 (英語) Cisco Security Advisories 96082 XSS and SQL Injection in Cisco CallManager/Unified Communications Manager Logon Page http://www.cisco.com/en/US/products/products_security_advisory09186a00808ae327.shtml 【4】BIND 8 の乱数生成に脆弱性 情報源 US-CERT Vulnerability Note VU#927905 BIND version 8 generates cryptographically weak DNS query identifiers http://www.kb.cert.org/vuls/id/927905 CIAC Bulletin R-333 BIND Version 8 Vulnerable http://www.ciac.org/ciac/bulletins/r-333.shtml 概要 BIND 8 の乱数生成には脆弱性があります。結果として、遠隔の第三者が DNS キャッシュを汚染する可能性があります。 対象となるバージョンは以下の通りです。 - BIND 8.4.7 およびそれ以前 BIND 8 のサポートは 2007年8月で終了しており、ISC では BIND 9 の 最新版へ更新することを強く推奨しています。なお、BIND 9 への更新 がすぐにできない場合は、ISC から提供されている BIND8.4.7-p1.patch を適用してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#927905 BIND8 の乱数生成に脆弱性 http://jvn.jp/cert/JVNVU%23927905/index.html JPCERT/CC REPORT 2007-08-22 【今週のひとくちメモ】BIND 8 のサポート終了 http://www.jpcert.or.jp/wr/2007/wr073201.html#Memo 関連文書 (英語) Internet Systems Consortium Solution to CERT Advisories CVE-2007-2930 and VU#927905 http://www.isc.org/index.pl?/sw/bind/bind8-eol.php 【5】ドメイン管理者への不審なメール送付について 概要 WHOIS データベースにて公開されているドメイン名の管理者に対して、 ドメイン名の更新料支払いを促すメールが送付されていることが確認さ れています。なお、送付されるメールの送信者は、ドメイン名のレジス トラやリセラーとは関係のない組織となっています。JPCERT/CC では、 この問題についての報告を複数受領しています。 現在、確認されているメールの内容は以下のとおりです。 - 差出人: no-reply@domainrenewal-online.com - 件名: 所有しているドメイン名 また、メール本文には、メールアドレスやクレジットカード番号などの 個人情報の入力を求める Web サイトへの URL が記載されています。 上記のメールを受け取った際には、メールからリンクされている Web サイトで情報を入力しないようにしてください。また、上記以外の更新 料支払いを促すメールを受け取った際には、レジストラやリセラーに確 認するなど慎重な対応をお願いします。 関連文書 (日本語) ムームードメイン - インフォメーション 2007/07/24　ドメインの更新を促す英文メールについて http://muumuu-domain.com/?mode=info#1914 ドメイン 取るならお名前.com 【お知らせ】フィッシングサイトへ誘導するフィッシングメールにご注意ください http://www.onamae.com/news/domain/070828.html 【6】Oracle JInitiator の ActiveX コントロールにスタックバッファオーバーフローの脆弱性 情報源 US-CERT Vulnerability Note VU#474433 Oracle JInitiator ActiveX control stack buffer overflows http://www.kb.cert.org/vuls/id/474433 CIAC Bulletin R-334 Oracle JInitiator Vulnerabilities http://www.ciac.org/ciac/bulletins/r-334.shtml 概要 Oracle JInitiator の ActiveX コントロールには、複数のスタックバッ ファオーバーフローの脆弱性があります。結果として、遠隔の第三者が 細工した HTML 文書をユーザに閲覧させることで、ユーザの権限で任意 のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Oracle JInitiator 1.1.8.16 およびそれ以前 なお、JInitiator 1.3.1.x はこの脆弱性の影響を受けません。 2007年9月4日現在、この問題に対する修正プログラムは提供されており ません。なお、JInitiator 1.3.1.x を導入しても古いバージョンは削 除されないため、今回の問題は解決されないことに注意してください。 Internet Explorer での回避策として、Kill Bit を設定する、インター ネットゾーンで ActiveX コントロールを無効にするなどの方法がありま す。詳細については、下記関連文書を参照してください。 関連文書 (日本語) マイクロソフト サポートオンライン Internet Explorer で ActiveX コントロールの動作を停止する方法 http://support.microsoft.com/kb/240797/ja 【7】HP OpenView Performance Manager に脆弱性 情報源 CIAC Bulletin R-337 HP OpenView Performance Manager (OVPM) Vulnerability http://www.ciac.org/ciac/bulletins/r-337.shtml 概要 HP OpenView Performance Manager (OVPM) には脆弱性があります。結果 として、遠隔の第三者が任意のコードを実行する可能性があります。 対象となるプラットフォームおよびバージョンは以下の通りです。 - 以下のプラットフォームで動作する HP OpenView Performance Manager (OVPM) 5.x および 6.x - HP-UX PA-RISC および IPF B.11.11、B.11.23 - Solaris 7, 8, 9 - Windows 2000、Windows Server 2003 および Windows XP この問題は、HP が提供する修正済みのバージョンに HP OpenView Performance Manager を更新することで解決します。 関連文書 (英語) SUPPORT COMMUNICATION - SECURITY BULLETIN c01109171 (登録が必要です) HPSBMA02236 SSRT061260 rev.1 - HP OpenView Performance Manager (OVPM) Running Shared Trace Service on HP-UX, Solaris, and Windows, Remote Arbitrary Code Execution http://www2.itrc.hp.com/service/cki/docDisplay.do?docId=emr_na-c01109171 【8】rsync に脆弱性 情報源 CIAC Bulletin R-335 rsync Vulnerability http://www.ciac.org/ciac/bulletins/r-335.shtml 概要 rsync には脆弱性があります。結果として、遠隔の第三者が細工したディ レクトリ名を rsync に処理させることで、ユーザの権限で任意のコー ドを実行する可能性があります。 対象となるバージョンは以下の通りです。 - rsync 2.6.9 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに rsync を更新することで解決します。詳細については、 ベンダや配布元が提供する情報を参照してください。 関連文書 (英語) rsync Welcome to the rsync web pages http://rsync.samba.org/ Debian Security Advisory DSA-1360-1 rsync -- buffer overflow http://www.debian.org/security/2007/dsa-1360 【9】Asterisk に複数の脆弱性 情報源 CIAC Bulletin R-330 Asterisk Security Vulnerabilities http://www.ciac.org/ciac/bulletins/r-330.shtml 概要 ソフトウェア PBX の Asterisk には複数の脆弱性があります。結果とし て、遠隔の第三者が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったり、機密情報を取得したりする可能性があります。 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに Asterisk を更新することで解決します。詳細については、 ベンダや配布元が提供する情報を参照してください。 関連文書 (英語) Asterisk :: The Open Source Telephony Platform announcements http://www.asterisk.org/ Debian Security Advisory DSA-1358-1 asterisk -- several vulnerabilities http://www.debian.org/security/2007/dsa-1358 【10】policyd にバッファオーバーフローの脆弱性 情報源 CIAC Bulletin R-338 postfix-policy Vulnerability http://www.ciac.org/ciac/bulletins/r-338.shtml 概要 Postfix 用のスパム対策プラグイン policyd には、バッファオーバーフ ローの脆弱性があります。結果として、遠隔の第三者が任意のコードを 実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があり ます。 対象となるバージョンは以下の通りです。 - policyd 1.81 より前のバージョン この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに policyd を更新することで解決します。詳細については、 ベンダや配布元が提供する情報を参照してください。 関連文書 (英語) policyd File Release Notes and Changelog Release Name: v1.81 https://sourceforge.net/project/shownotes.php?release_id=522366&group_id=133598 Debian Security Advisory DSA-1361-1 postfix-policyd -- buffer overflow http://www.debian.org/security/2007/dsa-1361 【11】Quiksoft EasyMail の ActiveX コントロールに複数のスタックバッファオーバーフローの脆弱性 情報源 US-CERT Vulnerability Note VU#281977 Quiksoft EasyMail SMTP ActiveX control stack buffer overflow vulnerabilities http://www.kb.cert.org/vuls/id/281977 CIAC Bulletin R-339 Quiksoft EasyMail SMTP ActiveX Vulnerabilities http://www.ciac.org/ciac/bulletins/r-339.shtml 概要 Quiksoft EasyMail の ActiveX コントロールには、複数のスタックバッ ファオーバーフローの脆弱性があります。結果として、遠隔の第三者が 細工した HTML 文書をユーザに閲覧させることで、ユーザの権限で任意 のコードを実行する可能性があります。なお、本件に関しては攻撃方法 に関する情報が公開されています。 2007年9月4日現在、この問題に対する修正プログラムは提供されており ません。 詳細については、Quiksoft が提供する情報を参照してくださ い。 Internet Explorer での回避策として、Kill Bit を設定する、インター ネットゾーンで ActiveX コントロールを無効にするなどの方法がありま す。詳細については、下記関連文書を参照してください。 関連文書 (日本語) マイクロソフト サポートオンライン Internet Explorer で ActiveX コントロールの動作を停止する方法 http://support.microsoft.com/kb/240797/ja 関連文書 (英語) Quiksoft EasyMail Objects http://www.quiksoftcorp.com/objects/ Quiksoft Who uses our EasyMail Products? http://www.quiksoftcorp.com/clients/whouses.asp 【12】Tuigwaa にクロスサイトスクリプティングの脆弱性 情報源 Japan Vulnerability Notes JVN#82276964 Tuigwaa におけるクロスサイトスクリプティングの脆弱性 http://jvn.jp/jp/JVN%2382276964/index.html 概要 Tuigwaa プロジェクトが提供する Web アプリケーション開発支援ソフト ウェア Tuigwaa には、クロスサイトスクリプティングの脆弱性がありま す。結果として、遠隔の第三者がユーザのブラウザ上で任意のスクリプト を実行する可能性があります。 対象となるバージョンは以下の通りです。 - Tuigwaa 1.0 から 1.0.4 この問題は、Tuigwaa プロジェクトが提供する修正済みのバージョン 1.0.5 に Tuigwaa を更新することで解決します。 関連文書 (日本語) Tuigwaa WebUDA Tuigwaa - Welcome http://tuigwaa.sandbox.seasar.org/index.html 独立行政法人 情報処理推進機構 セキュリティセンター JVN#82276964 「Tuigwaa」におけるクロスサイト・スクリプティングの脆弱性 http://www.ipa.go.jp/security/vuln/documents/2007/JVN_82276964.html 【13】Mayaa にクロスサイトスクリプティングの脆弱性 情報源 Japan Vulnerability Notes JVN#38199598 Mayaa におけるクロスサイトスクリプティングの脆弱性 http://jvn.jp/jp/JVN%2338199598/index.html 概要 Seasar プロジェクトが提供する Java 用テンプレートエンジン Mayaa には、クロスサイトスクリプティングの脆弱性があります。結果として、 遠隔の第三者がユーザのブラウザ上で任意のスクリプトを実行する可能性 があります。 対象となるバージョンは以下の通りです。 - Mayaa 1.1.11 およびそれ以前 この問題は、Seasar プロジェクトが提供する修正済みのバージョン 1.1.12 またはそれ以降に Mayaa を更新し、設定を変更することで解決 します。詳細については、Seasar プロジェクトが提供する情報を参照 してください。 関連文書 (日本語) Seasar Mayaa 1.1.11 以前にクロスサイトスクリプティングの脆弱性 http://mayaa.seasar.org/news/vulnerability20070816.html 独立行政法人 情報処理推進機構 セキュリティセンター JVN#38199598 「Mayaa」におけるクロスサイト・スクリプティング脆弱性 http://www.ipa.go.jp/security/vuln/documents/2007/JVN_38199598.html 【14】ショッピングバスケットプロにディレクトリトラバーサルの脆弱性 情報源 Japan Vulnerability Notes JVN#20452446 ショッピングバスケットプロにおけるディレクトリトラバーサルの脆弱性 http://jvn.jp/jp/JVN%2320452446/index.html 概要 CGI RESCUE が提供するショッピングカート用のソフトウェアのショッピ ングバスケットプロには、ディレクトリトラバーサルの脆弱性がありま す。結果として、遠隔の第三者がショッピングバスケットプロの設置さ れているサーバ内のファイル名、ディレクトリ名の一覧を取得する可能 性があります。 対象となるバージョンは以下の通りです。 - ショッピングバスケットプロ v7.51 およびそれ以前 この問題は、CGI RESCUE が提供する修正済みのバージョン 7.52 にショッ ピングバスケットプロを更新することで解決します。 関連文書 (日本語) CGI RESCUE 新着案内板 ショッピングバスケットプロｖ７ 脆弱性を修正 (v7.52) http://www.rescue.ne.jp/whatsnew/blog.cgi/permalink/20070823212803 独立行政法人 情報処理推進機構 セキュリティセンター JVN#20452446 「ショッピングバスケットプロ」におけるディレクトリ・トラバーサルの脆弱性 http://www.ipa.go.jp/security/vuln/documents/2007/JVN_20452446.html ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○インターネットセキュリティの歴史 第8回 「不正アクセス行為の禁止等に関する法律の施行」 2000年2月13日、「不正アクセス行為の禁止等に関する法律」が施行さ れました。この法律の施行により、ID・パスワードの不正使用など直接 的な被害を伴わない不正アクセスを禁止・処罰することが可能になりま した。 この法律は「不正アクセス行為等の禁止・処罰」と「防護側の対策」と いう 2点から構成されています。不正アクセス行為は「電気通信回線 (ネットワーク)を通じて行われる行為」に限定されていますが、この法 律では、パスワード等を第三者に提供するなど不正アクセス行為を助長 する行為をも含めて禁止しています。 また、第7条にもとづき、毎年不正アクセス行為の発生状況などの情報 が公表されるようになりました。2006年の情報については、以下の参考 文献を参照してください。 参考文献 (日本語) 警察庁 サイバー犯罪対策 不正アクセス行為は処罰されます ! http://www.npa.go.jp/cyber/legislation/gaiyou/main.htm 警察庁 サイバー犯罪対策 不正アクセス行為の禁止等に関する法律の概要 http://www.npa.go.jp/cyber/legislation/gaiyou/gaiyou.htm 経済産業省 不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況について http://www.meti.go.jp/press/20070222002/20070222002.html ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 http://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL をご参照ください。 http://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL をご参照ください。 http://www.jpcert.or.jp/form/ 以上。 __________ 2007 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQCVAwUBRt4DnYx1ay4slNTtAQHTiQP8DKIpM9b8Gt9IM5xs5IN4oO6NqCIoTDE+ J/2ZuKPieiVm0OO7b4GIX2aVHsjH9gfTHz+APDWK6n6wQfkksoC1eNLABv4/TblM 1d7TpS9ngNnhyVWm7LSsbWktsU1xL2Ion7hi8J4LfFQF6xb9ru19x8YBOOQvPqgv oOKpDegnNf8= =6OFl -----END PGP SIGNATURE-----