<<< JPCERT/CC WEEKLY REPORT 2007-10-24 >>>

■10/14(日)〜10/20(土) のセキュリティ関連情報

目　次

【1】Mozilla 製品群に複数の脆弱性

【2】RealPlayer 製品に脆弱性

【3】Cisco 製品に複数の脆弱性

【4】2007年10月 Oracle Critical Patch Update について

【5】ISC DHCP サーバ version 2 にバッファオーバーフローの脆弱性

【6】「MIT Kerberos 5 に複数の脆弱性」に関する追加情報

【7】Internet Week 2007 のお知らせ

【8】情報ネットワーク法学会 第７回研究大会のお知らせ

【今週のひとくちメモ】J2SE 1.4.2 のサポート終了

【1】Mozilla 製品群に複数の脆弱性

情報源

CERT/CC Current Activity Archive
Mozilla Releases Security Advisories to Address Multiple Vulnerabilities
http://www.us-cert.gov/current/archive/2007/10/19/archive.html#mozilla_releases_security_advisories_to1

US-CERT Vulnerability Note VU#349217
Mozilla XUL web applications may hide the titlebar
http://www.kb.cert.org/vuls/id/349217

US-CERT Vulnerability Note VU#755513
Mozilla products vulnerable to memory corruption in the JavaScript engine
http://www.kb.cert.org/vuls/id/755513

US-CERT Vulnerability Note VU#559977
Mozilla products vulnerable to memory corruption in the browser engine
http://www.kb.cert.org/vuls/id/559977

概要

Mozilla Firefox をはじめとする Mozilla 製品群には、複数の脆弱性
があります。結果として、遠隔の第三者が細工した HTML 文書をユーザ
に閲覧させることで任意のコードを実行したり、サービス運用妨害 
(DoS) 攻撃を行ったりする可能性があります。

対象となる製品は以下の通りです。

- Firefox
- Thunderbird
- SeaMonkey

その他に Mozilla コンポーネントを用いている製品も影響を受ける可能
性があります。

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに、該当する製品を更新することで解決します。Mozilla か
らは、この問題の修正として以下のバージョンを公開しています。

- Firefox 2.0.0.8
- SeaMoneky 1.1.5

2007年10月23日現在、Thunderbird については、修正済みのバージョン
は提供されていません。詳細については、Mozilla や OS のベンダ、配
布元が提供する情報を参照してください。

関連文書 (日本語)

Mozilla Japan
Foundation セキュリティアドバイザリ: 2007 年 10 月 18 日
http://www.mozilla-japan.org/security/announce/

Mozilla Japan
Firefox 2.0.0.8 リリースノート
http://www.mozilla-japan.org/products/firefox/2.0.0.8/releasenotes/

関連文書 (英語)

Red Hat Security Advisory RHSA-2007:0979-1
Critical: firefox security update
https://rhn.redhat.com/errata/RHSA-2007-0979.html

【2】RealPlayer 製品に脆弱性

情報源

US-CERT Vulnerability Note VU#871673
RealPlayer playlist name stack buffer overflow
http://www.kb.cert.org/vuls/id/871673

概要

RealNetworks のマルチメディアプレーヤー RealPlayer に含まれる
ActiveX コントロールには、プレイリストの処理に起因するバッファオー
バフローの脆弱性があります。結果として、遠隔の第三者が細工した 
HTML 文書をユーザに開かせることで、ユーザの権限で任意のコードを
実行する可能性があります。

対象となるバージョンは以下の通りです。

- Windows 版の RealPlayer version 9 以降

この問題は、RealNetworks が提供する修正済みのバージョンに、該当
する製品を更新することで解決します。詳細については、RealNetworks 
が提供する情報を参照してください。

関連文書 (英語)

RealNetworks Customer Support
RealPlayer Security Vulnerability: October 19, 2007
http://service.real.com/realplayer/security/191007_player/en/

【3】Cisco 製品に複数の脆弱性

情報源

CERT/CC Current Activity Archive
Cisco Releases Security Advisories to Address Several Vulnerabilities
http://www.us-cert.gov/current/archive/2007/10/19/archive.html#cisco_releases_security_advisories_to2

US-CERT Vulnerability Note VU#230505
Cisco IOS LPD buffer overflow vulnerability
http://www.kb.cert.org/vuls/id/230505

CIAC Bulletin S-013
Cisco IOS Line Printer Daemon (LPD) Vulnerability
http://www.ciac.org/ciac/bulletins/s-013.shtml

CIAC Bulletin S-016
Multiple Vulnerabilities in Cisco PIX and ASA Appliances
http://www.ciac.org/ciac/bulletins/s-016.shtml

CIAC Bulletin S-017
Cisco Unified Communications Manager Denial of Service Vulnerabilities
http://www.ciac.org/ciac/bulletins/s-017.shtml

CIAC Bulletin S-018
Multiple Vulnerabilities in Firewall Services Module
http://www.ciac.org/ciac/bulletins/s-018.shtml

CIAC Bulletin S-020
Cisco Unified Communications Web-based Management Vulnerability
http://www.ciac.org/ciac/bulletins/s-020.shtml

概要

Cisco 製品には、複数の脆弱性があります。結果として、遠隔の第三者
が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行った
りするなどの可能性があります。

対象となる製品は以下の通りです。

- Cisco による EAP の実装 
- Cisco IOS LPD
- Cisco Wireless Control System 
- Cisco Firewall Services Module
- Cisco PIX
- Cisco Adaptive Security Appliance
- Cisco Unified Communications Manager 
- Cisco Unified Communications Web-based Management 

この問題は Cisco が提供する修正済みのバージョンに該当する製品を更
新することで解決します。詳細については Cisco が提供する情報を参照
してください。

関連文書 (英語)

Cisco Security Advisories 98799
Cisco Wireless Control System Conversion Utility Adds Default Password
http://www.cisco.com/en/US/products/products_security_advisory09186a00808d72db.shtml

Cisco Security Advisories 98612
Multiple Vulnerabilities in Firewall Services Module
http://www.cisco.com/en/US/products/products_security_advisory09186a00808dda61.shtml

Cisco Security Advisories 98711
Multiple Vulnerabilities in Cisco PIX and ASA Appliance
http://www.cisco.com/en/US/products/products_security_advisory09186a00808dda56.shtml

Cisco Security Advisories 98833
Cisco Unified Communications Manager Denial of Service Vulnerabilities
http://www.cisco.com/en/US/products/products_security_advisory09186a00808dda34.shtml

Cisco Security Advisories 97836
Cisco Unified Communications Web-based Management Vulnerability
http://www.cisco.com/en/US/products/products_security_advisory09186a00808dda12.shtml

Cisco Security Response 99109
Cisco IOS Line Printer Daemon (LPD) Protocol Stack Overflow
http://www.cisco.com/en/US/products/products_security_response09186a00808d72e3.html

Cisco Security Response 98727
Extensible Authentication Protocol Vulnerability
http://www.cisco.com/en/US/products/products_security_response09186a00808de8bb.html

Cisco Applied Intelligence Response 99445
Identifying and Mitigating Exploitation of the Multiple Vulnerabilities in Cisco PIX and ASA Appliances and Firewall Services Module
http://www.cisco.com/en/US/products/products_applied_intelligence_response09186a00808dda6b.html

Cisco Applied Intelligence Response 99114
Identifying and Mitigating Exploitation of the Cisco Unified Communications Manager Denial of Service Vulnerabilities
http://www.cisco.com/en/US/products/products_applied_intelligence_response09186a00808dca34.html

Cisco Applied Intelligence Response 99696
Identifying and Mitigating Exploitation of the Cisco Unified Communications Web-based Management Vulnerability
http://www.cisco.com/en/US/products/products_applied_intelligence_response09186a00808dd8ba.html

【4】2007年10月 Oracle Critical Patch Update について

情報源

US-CERT Technical Cyber Security Alert TA07-290A
Oracle Updates for Multiple Vulnerabilties
http://www.us-cert.gov/cas/techalerts/TA07-290A.html

CIAC Bulletin S-015
Oracle Critical Patch Update - October 2007
http://www.ciac.org/ciac/bulletins/s-015.shtml

概要

Oracle 製品およびそのコンポーネントには、複数の脆弱性が存在しま
す。結果として、遠隔の第三者が任意のコードを実行したり、機密情報
を取得したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があ
ります。なお、これらの影響は対象製品やコンポーネント、設定等によ
り異なります。

対象となる製品は以下の通りです。

- Oracle Database
- Oracle Application Server
- Oracle Collaboration Suite
- Oracle E-Business Suite
- Oracle Enterprise Manager Database Control
- Oracle Enterprise Manager Grid Control
- Oracle PeopleSoft Enterprise PeopleTools
- Oracle PeopleSoft Enterprise Human Capital Management

詳細については Oracle が提供する情報を参照してください。

この問題は、Oracle が提供するパッチを該当する製品に適用することで
解決します。

なお、次回の Oracle Critical Patch Update は、2008年1月にリリー
スされる予定です。

関連文書 (日本語)

Oracle internet Support Center
[CPUOct2007] Critical Patch Update - October 2007
http://support.oracle.co.jp/krown_external/oisc_showDoc.do?id=126355

Oracle Technology Network
Critical Patch Update - October 2007
http://otn.oracle.co.jp/security/071019_80/top.html

Japan Vulnerability Notes JVNTA07-290A
Oracle 製品に複数の脆弱性
http://jvn.jp/cert/JVNTA07-290A/index.html

関連文書 (英語)

Oracle Technology Network
Oracle Critical Patch Update - October 2007
http://www.oracle.com/technology/deploy/security/critical-patch-updates/cpuoct2007.html

【5】ISC DHCP サーバ version 2 にバッファオーバーフローの脆弱性

情報源

CIAC Bulletin S-019
DHCP Vulnerability
http://www.ciac.org/ciac/bulletins/s-019.shtml

概要

ISC DHCP サーバ version 2、及びその派生である DHCP サーバの実装 
(OpenBSD、Debian など) にはバッファオーバーフローの脆弱性があり
ます。結果として、遠隔の第三者が細工した DHCP リクエストを DHCP 
サーバに処理させることで、任意のコードを実行したり、サービス運用
妨害 (DoS) 攻撃を行ったりする可能性があります。

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに DHCP サーバを更新することで解決します。詳細について
は、ベンダや配布元が提供する情報を参照してください。

関連文書 (英語)

Internet Systems Consortium
DHCP Distribution Version 2
http://www.isc.org/sw/dhcp/dhcp-v2.php

OpenBSD 4.0 errata
016: SECURITY FIX: October 8, 2007
http://www.openbsd.org/errata40.html#016_dhcpd

OpenBSD 4.1 errata
010: SECURITY FIX: October 8, 2007
http://www.openbsd.org/errata41.html#010_dhcpd

OpenBSD 4.2 errata
001: SECURITY FIX: October 8, 2007
http://www.openbsd.org/errata42.html#001_dhcpd

Debian Security Advisory DSA-1388-1
dhcp -- buffer overflow
http://www.debian.org/security/2007/dsa-1388

【6】「MIT Kerberos 5 に複数の脆弱性」に関する追加情報

情報源

CIAC Bulletin S-014
librpcsecgss Vulnerability
http://www.ciac.org/ciac/bulletins/s-014.shtml

概要

JPCERT/CC REPORT 2007-09-12 号【1】で紹介した「MIT Kerberos 5 に
複数の脆弱性」に関する追加情報です。

この問題に対する当初の Debian Project の修正には不足があり、バッ
ファオーバーフローの脆弱性が解決されていません。結果として、遠隔
の第三者が kadmind の実行権限で任意のコードを実行する可能性があ
ります。

この問題は、Debian Project が提供する修正済みのバージョンに MIT
Kerberos を更新することで解決します。詳細については、Debian
Project が提供する情報を参照してください。

関連文書 (日本語)

JPCERT/CC REPORT 2007-09-12
MIT Kerberos 5 に複数の脆弱性
http://www.jpcert.or.jp/wr/2007/wr073501.html#1

関連文書 (英語)

MIT krb5 Security Advisory 2007-006
kadmind RPC lib buffer overflow, uninitialized pointer
http://web.mit.edu/kerberos/www/advisories/MITKRB5-SA-2007-006.txt

MIT The kerberos-announce Archives
updated patch: MITKRB5-SA-2007-006: kadmind RPC lib buffer overflow, uninitialized pointer
http://mailman.mit.edu/pipermail/kerberos-announce/2007q3/000087.html

Debian Security Advisory DSA-1387-1
librpcsecgss -- buffer overflow
http://www.debian.org/security/2007/dsa-1387

Red Hat Security Advisory RHSA-2007:0892-2
Important: krb5 security update
https://rhn.redhat.com/errata/RHSA-2007-0892.html

【7】Internet Week 2007 のお知らせ

情報源

Internet Week 2007
http://internetweek.jp/

概要

2007年11月19日(月) より 11月22日(木) まで、秋葉原コンベンション
ホールにおいて JPNIC 主催の Internet Week 2007 が開催されます。

JPCERT/CC は以下のプログラムで講演いたします。

- 11月21日 C4: 事業者がやってよいこと悪いことを考えよう
  16:00-17:00 (5) 違法・有害情報対策
  phishing や自殺サイトなど緊急性を要する場合のオペレーションに
  ついて語ります。

- 11月22日 C5: IP Meeting/Internet Forum 2007　
  11:10-11:50 (3) セキュリティ
  今年のホットなセキュリティ issue について述べます。

参加登録申込みについては、以下の Web ページをご参照ください。

事前申込締切は 11月9日(金) までとなっています。この期間にお申し
込みいただきますと、事前割引料金でご参加いただけます。

関連文書 (日本語)

Internet Week 2007 お申し込みに関して
http://internetweek.jp/timetable/apply.html

【8】情報ネットワーク法学会 第７回研究大会のお知らせ

情報源

情報ネットワーク法学会
http://in-law.jp/

概要

2007年11月10日(土) 財団法人にいがた産業創造機構「ＮＩＣＯプラザ」
において、情報ネットワーク法学会主催の「第7回研究大会」が開催さ
れます。

JPCERT/CC は、理事として情報ネットワーク法学会に参画しています。

申し込み方法: 11月5日(月)まで専用フォームにて受付
              6日以降は、大会当日会場で受け付けます。

詳細については、以下の Web ページをご参照ください。

関連文書 (日本語)

情報ネットワーク法学会
http://in-law.jp/

■今週のひとくちメモ

○J2SE 1.4.2 のサポート終了

J2SE 1.4.2 のサポート終了が告知されています。Sun によれば、2008
年夏に予定されている Java SE 7 の提供開始をもって J2SE 1.4.2 の
サポートは終了する予定とのことです。

J2SE 1.4.2 を使用したサービス提供者や開発者は、Java SE 6 への移
行を検討することをおすすめします。

なお、J2SE 1.3.1 は 2006年12月11日の Java SE 6 の提供開始ととも
にサポートを終了しています。

参考文献 (日本語)

Sun Developer Network
Java 2 Platform, Standard Edition (J2SE) 1.4.2
http://java.sun.com/j2se/1.4.2/ja/

Sun Developer Network
Java 2 Platform, Standard Edition v 1.3
http://java.sun.com/j2se/1.3/ja/

参考文献 (英語)

Sun Developer Network
Java Technology EOL Policy
http://java.sun.com/products/archive/eol.policy.html

■JPCERT/CC からのお願い