SQL インジェクションによる Web サイト改ざんについて

JPCERT-WR-2008-1101 2008-03-19 2008-03-09 2008-03-15

SQL インジェクションによる Web サイト改ざんについて JPCERT/CC Alert 2008-03-14 SQL インジェクションによる Web サイト改ざんに関する注意喚起 http://www.jpcert.or.jp/at/2008/at080005.txt

Web サイトに対する SQL インジェクション攻撃が行われ、国内外の多くの Web サイトが改ざんされる被害が発生しています。ユーザが改ざんされた Web サイトを閲覧することで、ユーザのコンピュータ上にマルウェアがインストールされる危険性があります。 1) 攻撃者は、Web アプリケーションの脆弱性を使用して、データベース上のデータにスクリプトタグを埋め込みます。これによりユーザが閲覧するコンテンツが改ざんされます。 2) 攻撃を受けたサイトを訪れたユーザのコンピュータ上で不正なスクリプトが実行され、マルウェアがインストールされる可能性があります。この問題の詳細については、情報源を参照してください。

注意喚起　【LAC|ラック】日本をターゲットとしたSQLインジェクションによるホームページ改ざん行為と、同行為により改ざんされたページへのアクセスによるマルウェア感染について http://www.lac.co.jp/news/press20080312.html US-CERT Current Activity Compromised Websites Redirect Users to Malicious Websites http://www.us-cert.gov/current/archive/2008/03/13/archive.html#website_compromises_facilitating_exploitation_of

2008年3月 Microsoft セキュリティ情報 (緊急 4件含) について US-CERT Technical Cyber Security Alert TA08-071A Microsoft Updates for Multiple Vulnerabilities http://www.us-cert.gov/cas/techalerts/TA08-071A.html US-CERT Cyber Security Alert SA08-071A Microsoft Updates for Multiple Vulnerabilities http://www.us-cert.gov/cas/alerts/SA08-071A.html US-CERT Vulnerability Notes Database Search Results [ms08-mar] (全2件・2008年3月18日現在) http://www.kb.cert.org/vuls/byid?searchview&query=ms08-mar CIAC Bulletin S-224 Vulnerabilities in Microsoft Office Web Components (MS08-017) http://www.ciac.org/ciac/bulletins/s-224.shtml CIAC Bulletin S-225 Vulnerabilities in Microsoft Office (MS08-016) http://www.ciac.org/ciac/bulletins/s-225.shtml CIAC Bulletin S-226 Vulnerability in Microsoft Outlook (MS08-015) http://www.ciac.org/ciac/bulletins/s-226.shtml CIAC Bulletin S-227 Vulnerabilities in Microsoft Excel (MS08-014) http://www.ciac.org/ciac/bulletins/s-227.shtml

Microsoft Office、Microsoft Outlook、Microsoft Excel 等各製品には、複数の脆弱性があります。結果として、遠隔の第三者が任意のコードを実行したり、権限を昇格したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があります。なお、Microsoft Office for Mac にも影響があります。詳細については、Microsoft が提供する情報を参照してください。この問題は、Microsoft Update、Office Update などを用いて、セキュリティ更新プログラムを適用することで解決します。

2008 年 3 月のセキュリティ情報 http://www.microsoft.com/japan/technet/security/bulletin/ms08-mar.mspx マイクロソフトセキュリティ情報 MS08-014 - 緊急 Microsoft Excel の脆弱性により、リモートでコードが実行される (949029) http://www.microsoft.com/japan/technet/security/bulletin/ms08-014.mspx マイクロソフトセキュリティ情報 MS08-015 - 緊急 Microsoft Outlook の脆弱性により、リモートでコードが実行される (949031) http://www.microsoft.com/japan/technet/security/bulletin/ms08-015.mspx マイクロソフトセキュリティ情報 MS08-016 - 緊急 Microsoft Office の脆弱性により、リモートでコードが実行される (949030) http://www.microsoft.com/japan/technet/security/bulletin/ms08-016.mspx マイクロソフトセキュリティ情報 MS08-017 - 緊急 Microsoft Office Web コンポーネントの脆弱性により、リモートでコードが実行される (933103) http://www.microsoft.com/japan/technet/security/bulletin/ms08-017.mspx Japan Vulnerability Notes JVNTA08-071A Microsoft 製品における複数の脆弱性に対するアップデート http://jvn.jp/cert/JVNTA08-071A/index.html JPCERT/CC Alert 2008-03-12 2008年3月 Microsoft セキュリティ情報 (緊急 4件含) に関する注意喚起 http://www.jpcert.or.jp/at/2008/at080004.txt @police マイクロソフト社のセキュリティ修正プログラムについて(MS08-014,015,016,017) http://www.cyberpolice.go.jp/important/2008/20080312_113237.html

Google デスクトップにクロスサイトスクリプティングの脆弱性 Japan Vulnerability Notes JVN#79114735 Google デスクトップにおけるクロスサイトスクリプティングの脆弱性 http://jvn.jp/jp/JVN%2379114735/index.html

Google デスクトップには、クロスサイトスクリプティングの脆弱性があります。結果として、遠隔の第三者がユーザのブラウザ上で任意のスクリプトを実行する可能性があります。対象となるバージョンは以下の通りです。 - Google デスクトップ 5.1.706.29690 (2007年7月4日リリース) より前のバージョンこの問題は、Google が提供する修正済みのバージョンに Google デスクトップを更新することで解決します。

Google ヘルプ Google デスクトップの最新の更新情報 http://desktop.google.com/support/bin/answer.py?answer=58591&ctx=sibling

RealPlayer の複数の ActiveX コントロールに脆弱性 US-CERT Vulnerability Note VU#831457 RealNetworks RealPlayer ActiveX controls property heap memory corruption http://www.kb.cert.org/vuls/id/831457

RealNetworks のマルチメディアプレーヤー RealPlayer の複数の ActiveX コントロールには、プロパティの処理に起因する脆弱性があります。結果として、遠隔の第三者が細工した HTML 文書をユーザに開かせることで、ユーザの権限で任意のコードを実行する可能性があります。対象となるバージョンは以下の通りです。 - Windows 版の RealPlayer version 11.0.1 2008年3月18日現在、この問題に対する修正プログラムは確認されておりません。回避策としては、kill bit を設定する、インターネットゾーンにおけるActive X コントロールの実行を無効にするなどの方法があります。

RealNetworks カスタマーサポート RealNetworks のセキュリティアップデートのページにようこそ http://service.real.com/realplayer/security/ja/ マイクロソフトサポートオンライン Internet Explorer で ActiveX コントロールの動作を停止する方法 http://support.microsoft.com/kb/240797/ja

Namazu にクロスサイトスクリプティングの脆弱性 Namazu 日本語全文検索システム Namazu 2.0.18 リリース http://www.namazu.org/pipermail/namazu-users-ja/2008-March/001051.html

全文検索システム Namazu には、クロスサイトスクリプティングの脆弱性があります。結果として、遠隔の第三者がユーザのブラウザ上で任意のスクリプトを実行する可能性があります。対象となるバージョンは以下の通りです。 - Namazu 2.0.17 以前のバージョンこの問題は、Namazu Project が提供する修正済みのバージョン 2.0.18 に Namazu を更新することで解決します。

全文検索システム Namazu http://www.namazu.org/

Adobe Form Designer および Advanced Form Client の複数の ActiveX コントロールにバッファオーバーフローの脆弱性 US-CERT Vulnerability Note VU#362849 Adobe Form Designer and Advanced Form Client ActiveX controls contain multiple buffer overflows http://www.kb.cert.org/vuls/id/362849

Adobe Form Designer および Advanced Form Client の複数の ActiveX コントロールには、バッファオーバーフローの脆弱性があります。結果として、遠隔の第三者が細工した HTML 文書をユーザに開かせることで、ユーザの権限で任意のコードを実行する可能性があります。対象となるバージョンは以下の通りです。 - Adobe Form Client 5.0 - Adobe Form Designer 5.0 この問題は、Adobe が提供する修正済みのバージョンに該当する製品を更新することで解決します。詳細については Adobe が提供する情報を参照してください。

Adobe Security bulletin Update available to resolve critical vulnerabilities in Adobe Form Designer 5.0 and Adobe Form Client 5.0 Components http://www.adobe.com/support/security/bulletins/apsb08-09.html

ユーザアカウントとメールアドレスの整理年度がまもなく終わろうとしています。システム管理者の方は、新年度の人事異動などに備えて、アカウントやメールアドレスをリスト化するなどの準備を行っておくことをおすすめします。同時にアカウントの権限についても、この機会に棚卸しを行い、不要な権限が付与されていないか確認しましょう。また、無効なメールアドレスが whois データベースや自組織のウェブサイトで外部に公開されていないか確認し、必要に応じてそれらの情報を更新することをおすすめします。 JPCERT/CC REPORT 2007-03-22号 [今週の一口メモ] ユーザアカウントとパスワードの整理 http://www.jpcert.or.jp/wr/2007/wr071101.html#Memo JPCERT/CC REPORT 2006-03-29号 [今週の一口メモ] whois データベースの更新 http://www.jpcert.or.jp/wr/2006/wr061201.txt