-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2008-1501 JPCERT/CC 2008-04-16 <<< JPCERT/CC REPORT 2008-04-16 >>> ―――――――――――――――――――――――――――――――――――――― ■04/06(日)〜04/12(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】2008年4月 Microsoft セキュリティ情報 (緊急5件含) について 【2】Adobe Flash Player に複数の脆弱性 【3】Lotus Notes のファイル閲覧機能に脆弱性 【4】Xine に複数のバッファオーバーフローの脆弱性 【5】APWG 主催: ネット犯罪対策運用サミットのお知らせ 【今週のひとくちメモ】J2SE 1.4.2 サポート終了 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 http://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 http://www.jpcert.or.jp/wr/2008/wr081501.html http://www.jpcert.or.jp/wr/2008/wr081501.xml ============================================================================ 【1】2008年4月 Microsoft セキュリティ情報 (緊急5件含) について 情報源 US-CERT Technical Cyber Security Alert TA08-099A Microsoft Updates for Multiple Vulnerabilities http://www.us-cert.gov/cas/techalerts/TA08-099A.html US-CERT Cyber Security Alert SA08-099A Microsoft Updates for Multiple Vulnerabilities http://www.us-cert.gov/cas/alerts/SA08-099A.html US-CERT Vulnerability Notes Database Search Results [ms08-apr] (全2件・2008年4月15日現在) http://www.kb.cert.org/vuls/byid?searchview&query=ms08-apr CIAC Bulletin S-251 Vulnerability in DNS Client http://www.ciac.org/ciac/bulletins/s-251.shtml CIAC Bulletin S-252 Vulnerabilities in Microsoft Visio http://www.ciac.org/ciac/bulletins/s-252.shtml CIAC Bulletin S-253 Vulnerability in Microsoft Project http://www.ciac.org/ciac/bulletins/s-253.shtml CIAC Bulletin S-254 Vulnerabilities in GDI http://www.ciac.org/ciac/bulletins/s-254.shtml CIAC Bulletin S-255 Vulnerability in VBScript and JScript Scripting Engines http://www.ciac.org/ciac/bulletins/s-255.shtml CIAC Bulletin S-256 Security Update of ActiveX Kill Bits http://www.ciac.org/ciac/bulletins/s-256.shtml CIAC Bulletin S-257 Cumulative Security Update for Internet Explorer http://www.ciac.org/ciac/bulletins/s-257.shtml CIAC Bulletin S-258 Vulnerability in Windows Kernel http://www.ciac.org/ciac/bulletins/s-258.shtml CIAC Bulletin S-259 alsaplayer Vulnerability http://www.ciac.org/ciac/bulletins/s-259.shtml 概要 Microsoft Windows、Internet Explorer、Microsoft Office 各製品に は、複数の脆弱性があります。結果として、遠隔の第三者が任意のコー ドを実行したり、管理者権限を取得したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があります。 詳細については、Microsoft が提供する情報を参照してください。 この問題は、Microsoft Update、Office Update などを用いて、セキュ リティ更新プログラムを適用することで解決します。 関連文書 (日本語) 2008 年 4 月のセキュリティ情報 http://www.microsoft.com/japan/technet/security/bulletin/ms08-apr.mspx マイクロソフト セキュリティ情報 MS08-018 - 緊急 Microsoft Project の脆弱性により、リモートでコードが実行される (950183) http://www.microsoft.com/japan/technet/security/bulletin/ms08-018.mspx マイクロソフト セキュリティ情報 MS08-019 - 重要 Microsoft Visio の脆弱性により、リモートでコードが実行される (949032) http://www.microsoft.com/japan/technet/security/bulletin/ms08-019.mspx マイクロソフト セキュリティ情報 MS08-020 - 重要 DNS クライアントの脆弱性により、なりすましが行われる (945553) http://www.microsoft.com/japan/technet/security/bulletin/ms08-020.mspx マイクロソフト セキュリティ情報 MS08-021 - 緊急 GDI の脆弱性により、リモートでコードが実行される (948590) http://www.microsoft.com/japan/technet/security/bulletin/ms08-021.mspx マイクロソフト セキュリティ情報 MS08-022 - 緊急 VBScript および JScript スクリプト エンジンの脆弱性により、リモートでコードが実行される (944338) http://www.microsoft.com/japan/technet/security/bulletin/ms08-022.mspx マイクロソフト セキュリティ情報 MS08-023 - 緊急 ActiveX Kill Bit 用のセキュリティ更新プログラム (948881) http://www.microsoft.com/japan/technet/security/bulletin/ms08-023.mspx マイクロソフト セキュリティ情報 MS08-024 - 緊急 Internet Explorer 用の累積的なセキュリティ更新プログラム (947864) http://www.microsoft.com/japan/technet/security/bulletin/ms08-024.mspx マイクロソフト セキュリティ情報 MS08-025 - 重要 Windows カーネルの脆弱性により、特権が昇格される (941693) http://www.microsoft.com/japan/technet/security/bulletin/ms08-025.mspx Japan Vulnerability Notes JVNTA08-099A Microsoft 製品における複数の脆弱性に対するアップデート http://jvn.jp/cert/JVNTA08-099A/index.html Japan Vulnerability Notes JVNVU#155563 Microsoft Office Project において任意のコードが実行可能な脆弱性 http://jvn.jp/cert/JVNVU%23155563/index.html Japan Vulnerability Notes JVNVU#632963 Microsoft Windows GDI におけるバッファオーバーフローの脆弱性 http://jvn.jp/cert/JVNVU%23632963/index.html JPCERT/CC Alert 2008-04-09 2008年4月 Microsoft セキュリティ情報 (緊急 5件含) に関する注意喚起 http://www.jpcert.or.jp/at/2008/at080006.txt @police マイクロソフト社のセキュリティ修正プログラムについて(MS08-018,019,020,021,022,023,024,025) http://www.cyberpolice.go.jp/important/2008/20080409_110852.html 【2】Adobe Flash Player に複数の脆弱性 情報源 US-CERT Technical Cyber Security Alert TA08-100A Adobe Flash Updates for Multiple Vulnerabilities http://www.us-cert.gov/cas/techalerts/TA08-100A.html US-CERT Cyber Security Alert SA08-100A Adobe Updates for Multiple Vulnerabilities http://www.us-cert.gov/cas/alerts/SA08-100A.html 概要 Adobe Flash Player には、複数の脆弱性があります。結果として、遠 隔の第三者が細工した SWF ファイルにアクセスさせることで、任意の コードを実行したり、ユーザのブラウザ上で任意のスクリプトを実行し たりする可能性があります。 対象となるバージョンは以下の通りです。 - Adobe Flash Player 9.0.115.0 およびそれ以前 - Adobe Flash Player 8.0.39.0 およびそれ以前 この問題は、Adobe が提供する修正済みのバージョンに Flash Player を更新することで解決します。なお、複数のウェブブラウザを使用して いる環境においては、各ウェブブラウザごとに Flash Player を更新す る必要があります。詳細については、Adobe が提供する情報を参照して ください。 関連文書 (日本語) Japan Vulnerability Notes JVNTA08-100A Adobe Flash Player における複数の脆弱性に対するアップデート http://jvn.jp/cert/JVNTA08-100A/index.html @police Flash Player の脆弱性について http://www.cyberpolice.go.jp/important/2008/20080409_111257.html 関連文書 (英語) Adobe Security bulletin APSB08-11 Flash Player update available to address security vulnerabilities http://www.adobe.com/support/security/bulletins/apsb08-11.html 【3】Lotus Notes のファイル閲覧機能に脆弱性 情報源 IBM Technote Potential security vulnerabilities in Lotus Notes file viewers for Applix Presents, Folio Flat File, HTML speed reader, KeyView and MIME http://www-1.ibm.com/support/docview.wss?uid=swg21298453 概要 Lotus Notes には、複数のバッファオーバーフローの脆弱性があります。 結果として、遠隔の第三者が細工したメール添付ファイルを Lotus Notes 上で閲覧させる (ダブルクリックして"表示"を選択させる) こと で、任意のコードを実行する可能性があります。 対象となる製品は以下の通りです。 - IBM Lotus Notes Version 8.X - IBM Lotus Notes Version 7.X - IBM Lotus Notes Version 6.X - IBM Lotus Notes Version 5.X なお、本脆弱性は Lotus Notes が使用している Autonomy 社の Keyview という製品の脆弱性に起因しています。同様に Autonomy 社の Keyview を使用している製品 (例えば Symantec Mail Security など) にも影響します。 Lotus Notes Version 6.x から 8.x までをお使いの場合、IBM のサポー ト窓口から Notes クライアントのパッチを入手してください。Lotus Notes Version 5.x をお使いの場合、パッチが提供されませんので、 IBM の Web サイトの "How to disable viewers within Notes:" のセ クションを参照の上、ビューア機能を無効にしてください。 関連文書 (英語) Symantec Security Advisory Symantec Mail Security Autonomy KeyView Module Vulnerability http://securityresponse.symantec.com/avcenter/security/Content/2008.04.08e.html 【4】Xine に複数のバッファオーバーフローの脆弱性 情報源 CIAC Bulletin S-261 libxine Security Vulnerabilities http://www.ciac.org/ciac/bulletins/s-261.shtml 概要 メディアプレーヤライブラリ Xine には、複数のバッファオーバーフロー の脆弱性があります。結果として、遠隔の第三者が細工したメディアコ ンテンツを表示させることで、任意のコードを実行したり、サービス運 用妨害 (DoS) 攻撃を行ったりする可能性があります。 関連文書 (日本語) Debian セキュリティ勧告 DSA-1536-1 libxine -- 複数の脆弱性 http://www.debian.org/security/2008/dsa-1536.ja.html 【5】APWG 主催: ネット犯罪対策運用サミットのお知らせ 情報源 APWG APWG's CeCOS II Tokyo: Cyber eCrime Operation Summit (ネット犯罪対策運用サミット) http://www.apwg.org/events/2008_operationsSummit_jp.html 概要 来る 2008年5月26、27日に APWG (Anti Phishing Working Group) 主催 のネット犯罪対策運用サミット(CeCOS II: The second annual Counter-eCrime Operations Summit) が開催されます。 APWG はフィッシングやオンライン詐欺の対策を目的とした国際的組織 です。米国を中心に 3000 を超える世界中の CSIRT、金融機関、法執行 機関、セキュリティベンダーや学術研究機関がメンバーとして名を連ね ています。JPCERT/CC はリサーチパートナーとして APWG の活動に参画 しています。 APWG は通常、年に 2回定例の会合をおこなっており、今回はその会合 が初めて日本で開催されます。国内外の専門家がフィッシングなどの問 題について発表をおこない、その模様は全て同時通訳されます。 申し込み方法: 下記 Web サイトの専用フォームにて受付 5月9日までの申し込みには早期割引が適用されます。 関連文書 (日本語) CeCOS II 東京 :第2回 ネット犯罪対策運用サミット http://shop.ns-research.jp/3/8/11208.html ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○J2SE 1.4.2 サポート終了 2008年4月7日、Sun は J2SE 1.4.2 のサポートを 2008年10月30日に終 了すると発表しました。これまで 2008年夏頃の予定と発表していたサ ポート終了日を確定し、サポート期限の方針を変更しています。 J2SE 1.4.2 を使用したサービス提供者や開発者は、サポート終了日ま でに移行完了するように移行計画を立てることを推奨します。 なお、J2SE 5.0 についても 2008年4月からサポート終了期間に入って おり、2009年10月30日にサポート終了の予定です。 参考文献 (日本語) JPCERT/CC REPORT 2007-10-24 【今週のひとくちメモ】J2SE 1.4.2 のサポート終了 http://www.jpcert.or.jp/wr/2007/wr074101.html#Memo 参考文献 (英語) Sun Developer Network Java SE & Java SE for Business Support Road Map http://java.sun.com/products/archive/eol.policy.html ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 http://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 http://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 http://www.jpcert.or.jp/form/ 以上。 __________ 2008 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQCVAwUBSAVU9Ix1ay4slNTtAQiLogQAhmWVbcRHD0SfIgS/g4Rv28rdZD/KktDd h7mFoFHxVX2ZtOaEtMPS4SRx/GDJghVk8nxbOoSwcFcbKlCsR4N/YPbW9ClootTN AvDmJd37Zrlk9mg7tLEt4EzLgbFRXF11g8ejesFBtzJuZP/z0D/sDAmVOAFrVC3K ldvOkxl7HY8= =jtuy -----END PGP SIGNATURE-----