JPCERT-WR-2008-1901 2008-05-21 2008-05-11 2008-05-17

US-CERT Technical Cyber Security Alert TA08-134A http://www.us-cert.gov/cas/techalerts/TA08-134A.html US-CERT Cyber Security Alert SA08-134A http://www.us-cert.gov/cas/alerts/SA08-134A.html US-CERT Vulnerability Notes Database http://www.kb.cert.org/vuls/byid?searchview&query=ms08-may CIAC Bulletin S-288 http://www.ciac.org/ciac/bulletins/s-288.shtml CIAC Bulletin S-289 http://www.ciac.org/ciac/bulletins/s-289.shtml CIAC Bulletin S-290 http://www.ciac.org/ciac/bulletins/s-290.shtml

Microsoft Windows、Microsoft Office、Microsoft Jet Database Engine 各製品には、複数の脆弱性があります。結果として、遠隔の第 三者が任意のコードを実行したり、管理者権限を取得したり、サービス 運用妨害 (DoS) 攻撃を行ったりする可能性があります。 詳細については、Microsoft が提供する情報を参照してください。 この問題は、Microsoft Update、Office Update などを用いて、セキュ リティ更新プログラムを適用することで解決します。 なお、Windows XP SP2 ユーザが Microsoft Update 実行時に適用方法 を「高速」と選択すると、優先度の高い更新プログラムとして Windows XP SP3 のみが表示されます。Windows XP SP3 を適用せずにセキュリティ 更新プログラムを適用する場合は、Microsoft Update 実行時の適用方 法として「カスタム」を選択してください。

2008 年 5 月のセキュリティ情報 http://www.microsoft.com/japan/technet/security/bulletin/ms08-may.mspx マイクロソフト セキュリティ情報 MS08-026 - 緊急 http://www.microsoft.com/japan/technet/security/bulletin/ms08-026.mspx マイクロソフト セキュリティ情報 MS08-027 - 緊急 http://www.microsoft.com/japan/technet/security/bulletin/ms08-027.mspx マイクロソフト セキュリティ情報 MS08-028 - 緊急 http://www.microsoft.com/japan/technet/security/bulletin/ms08-028.mspx マイクロソフト セキュリティ情報 MS08-029 - 警告 http://www.microsoft.com/japan/technet/security/bulletin/ms08-029.mspx Japan Vulnerability Notes JVNTA08-134A http://jvn.jp/cert/JVNTA08-134A/index.html JPCERT/CC Alert 2008-05-14 http://www.jpcert.or.jp/at/2008/at080007.txt 独立行政法人 情報処理推進機構 セキュリティセンター http://www.ipa.go.jp/security/ciadr/vul/20080514-ms08-028.html @police http://www.cyberpolice.go.jp/important/2008/20080514_110201.html

US-CERT Technical Cyber Security Alert TA08-137A http://www.us-cert.gov/cas/techalerts/TA08-137A.html US-CERT Vulnerability Note VU#925211 http://www.kb.cert.org/vuls/id/925211 CIAC Bulletin S-293 http://www.ciac.org/ciac/bulletins/s-293.shtml

Debian GNU/Linux およびその派生オペレーティングシステムに含まれ る OpenSSL パッケージには予測可能な乱数が生成される脆弱性があり ます。結果として、遠隔の第三者が暗号化された通信を復号する可能性 や、証明書を使った公開鍵認証を回避する可能性があります。 対象となるプラットフォームおよびバージョンは以下の通りです。 - Debian 4.0 (etch) - Ubuntu 7.04 - Ubuntu 7.10 - Ubuntu 8.04 LTS その他 Debian 派生のオペレーティングシステムも影響を受ける可能性 があります。 この問題は、使用している OS のベンダが提供する修正済みのバージョ ンに OpenSSL パッケージを更新することで解決します。また、既に作 成済みの脆弱な鍵や証明書が、サーバに登録されている可能性もありま す。サーバ管理者は、OS が Debian 系でなくともユーザが登録してい る鍵が脆弱なものでないことを確認することを強く推奨します。Debian Project からは dowkd.pl や ssh-vulnkey などの脆弱な鍵を探すツー ルがリリースされています。 詳細については、ベンダが提供する情報を参照してください。

Debian セキュリティ勧告 DSA-1571-1 http://www.debian.org/security/2008/dsa-1571.ja.html Debian セキュリティ勧告 DSA-1576-1 http://www.debian.org/security/2008/dsa-1576.ja.html Debian JP Project http://www.debian.or.jp/blog/openssl_package_and_its_vulnerability.html Japan Vulnerability Notes JVNVU#925211 http://jvn.jp/cert/JVNVU925211/index.html Japan Vulnerability Notes JVNTA08-137A http://jvn.jp/cert/JVNTA08-137A/index.html JPCERT/CC Alert 2008-05-16 http://www.jpcert.or.jp/at/2008/at080008.txt Ubuntu Security Notice USN-612-1 http://www.ubuntu.com/usn/usn-612-1 Ubuntu Security Notice USN-612-2 http://www.ubuntu.com/usn/usn-612-2 Ubuntu Security Notice USN-612-3 http://www.ubuntu.com/usn/usn-612-3 Ubuntu Security Notice USN-612-4 http://www.ubuntu.com/usn/usn-612-4 Ubuntu Security Notice USN-612-5 http://www.ubuntu.com/usn/usn-612-5 Ubuntu Security Notice USN-612-6 http://www.ubuntu.com/usn/usn-612-6

CIAC Bulletin S-292 http://www.ciac.org/ciac/bulletins/s-292.shtml

Xen には、複数の脆弱性があります。結果として、ゲストドメインのユー ザがドメイン外で任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があります。 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに Xen を更新することで解決します。詳細については、OS のベンダや配布元の提供する情報を参照してください。

XenSource http://xen.xensource.com/ Red Hat Security Advisory RHSA-2008:0194-20 https://rhn.redhat.com/errata/RHSA-2008-0194.html

CIAC Bulletin S-291 http://www.ciac.org/ciac/bulletins/s-291.shtml

Windows Terminal Services のクライアント機能を提供する rdesktop には、複数の脆弱性があります。結果として、遠隔の第三者がログイン ユーザの権限で任意のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - rdesktop 1.5.0 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに rdesktop を更新することで解決します。

Debian セキュリティ勧告 DSA-1573-1 http://www.debian.org/security/2008/dsa-1573.ja.html rdesktop project http://www.rdesktop.org/#status

CIAC Bulletin S-294 http://www.ciac.org/ciac/bulletins/s-294.shtml

Ogg オーディオ圧縮形式ライブラリである libvorbis には、複数の脆 弱性があります。結果として、遠隔の第三者が細工した Ogg ファイル を処理させることで、libvorbis を使用するアプリケーションをクラッ シュさせたり、任意のコードを実行したりする可能性があります。 対象となるバージョンは以下の通りです。 - libvorbis 1.2.0 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに libvorbis を更新することで解決します。

xiph.org http://xiph.org/vorbis/ Red Hat Security Advisory RHSA-2008:0270-5 https://rhn.redhat.com/errata/RHSA-2008-0270.html Red Hat Security Advisory RHSA-2008:0271-3 https://rhn.redhat.com/errata/RHSA-2008-0271.html

JPCERT/CC http://www.jpcert.or.jp/event/twilight-seminar.html

2008年6月4日より、東京神田錦町 廣瀬ビルにおいて、有限責任中間法 人 JPCERT コーディネーションセンター、経済産業省主催の C/C++ セ キュアコーディング トワイライトセミナーを開催します。 日時： 第1回 ＜整数＞ 2008年6月4日 (水) 16:00〜18:10 (受付 15:30〜) 会場： 廣瀬ビル2階　会議室 東京都千代田区神田錦町 3-17 廣瀬ビル2階 受講料：無料 定員： 30名/1回のセミナー 申込方法は、seminar-secure@jpcert.or.jp に、必要事項をご記入の上 メールをご送信ください。お申し込みが定員に達し次第、受付は締め切 られますので、お早めにお申し込みください。 ※セミナーは全7回を予定、各回の内容については情報源の「開催スケ ジュール」をご参照ください。なお、スケジュール等は予告なく変更す る場合があります。Web で最新情報をご確認ください。 プログラム、参加申込等、詳細は上記情報源の Web ページをご参照く ださい。

2003年1月24日、Microsoft SQL Server 2000 の既知の脆弱性 (2002年7 月公開) を使って感染を広めるワーム Slammer が発生しました。 Slammer は感染スピードが速く、最初の 10分間で感染の可能性のあるコ ンピュータの 90% が感染したと言われています。 対象が Microsoft SQL Server と MSDE であったことから、感染した台 数そのものは　Nimda などに比べて少なかったものの、CPU とネットワー ク帯域の限界まで大量にパケットを送出するという性質から、ネットワー ク機器が過負荷で停止するなどの被害が発生しました。韓国では Slammer の影響で国内のインターネット接続が一時不能な状態に陥りま した。 独立行政法人 情報処理推進機構 セキュリティセンター http://www.ipa.go.jp/security/ciadr/vul/20030126ms-sql-worm.html 経済産業省 報道発表 http://www.meti.go.jp/kohosys/press/0003634/ JPCERT/CC Alert 2003-01-27 http://www.jpcert.or.jp/at/2003/at030001.txt Microsoft TechNet セキュリティ http://www.microsoft.com/japan/technet/security/alerts/slammer.mspx CERT/CC http://www.cert.org/advisories/CA-2003-04.html CAIDA : research : security : sapphire http://www.caida.org/research/security/sapphire/