Home > 情報提供 > Weekly Report > 2008 > Weekly Report 2008-05-28号

Weekly Report 2008-05-28号

JPCERT-WR-2008-2001

JPCERT/CC

2008-05-28

<<< JPCERT/CC WEEKLY REPORT 2008-05-28 >>>

■05/18(日)〜05/24(土) のセキュリティ関連情報

目　次

【1】「Debian および Ubuntu の OpenSSL パッケージに予測可能な乱数が生成される脆弱性」に関する追加情報

【2】GnuTLS に複数の脆弱性

【3】HP-UX の Apache および PHP を含むパッケージに脆弱性

【4】libxslt に脆弱性

【5】FireFTP にディレクトリトラバーサルの脆弱性

【6】PhotoStockPlus ActiveX コントロールにバッファオーバーフローの脆弱性

【今週のひとくちメモ】Web ブラウザ tips: Opera/Safari 編

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2008/wr082001.txt
https://www.jpcert.or.jp/wr/2008/wr082001.xml

【1】「Debian および Ubuntu の OpenSSL パッケージに予測可能な乱数が生成される脆弱性」に関する追加情報

情報源

Debian JP Project - 最近の話題
OpenSSL パッケージの脆弱性と脆弱なパッケージを含まない他の環境への影響について（Q&A)
http://www.debian.or.jp/blog/openssl_problem_qanda.html

概要

JPCERT/CC REPORT 2008-05-21 号【2】で紹介した「Debian および 
Ubuntu の OpenSSL パッケージに予測可能な乱数が生成される脆弱性」
に関する追加情報です。

Debian JP Project は、この問題に関して、OpenSSL パッケージの脆弱
性と他の環境への影響についての情報を公開しています。詳細について
は、Debian JP Project が提供する情報を参照してください。

【2】GnuTLS に複数の脆弱性

情報源

CIAC Bulletin S-296
GnuTLS Security Update
http://www.ciac.org/ciac/bulletins/s-296.shtml

概要

GnuTLS には、複数の脆弱性があります。結果として、遠隔の第三者が
細工したメッセージを処理させることで任意のコードを実行したり、サー
ビス運用妨害 (DoS) 攻撃を行ったりする可能性があります。

対象となるバージョンは以下の通りです。

- GnuTLS 2.2.5 より前のバージョン

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに GnuTLS パッケージを更新することで解決します。

【3】HP-UX の Apache および PHP を含むパッケージに脆弱性

情報源

CIAC Bulletin S-295
HP-UX Running Apache With PHP
http://www.ciac.org/ciac/bulletins/s-295.shtml

概要

HP-UX の Apache および PHP を含むパッケージには、脆弱性がありま
す。結果として、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行っ
たり、権限を昇格したりする可能性があります。

対象となるプラットフォームおよびバージョンは以下の通りです。

- HP-UX B.11.11、B.11.23、B11.31 の Apache 2.18 で動作する 
  PHP 5.2.4 またはそれ以前

この問題は、HP が提供する修正済みのバージョンにパッケージを更新
することで解決します。

【4】libxslt に脆弱性

情報源

CIAC Bulletin S-297
libxslt Security Update
http://www.ciac.org/ciac/bulletins/s-297.shtml

概要

libxslt には、XSL の処理に起因する脆弱性があります。結果として、
遠隔の第三者が細工したファイルを処理させることで任意のコードを実
行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があり
ます。

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに libxslt パッケージを更新することで解決します。詳細
については、OS のベンダや配布元が提供する情報を参照してください。

【5】FireFTP にディレクトリトラバーサルの脆弱性

情報源

US-CERT Vulnerability Note VU#906907
FireFTP filename directory traversal sequence vulnerability
http://www.kb.cert.org/vuls/id/906907

概要

Mozilla Firefox 向けの拡張機能である FireFTP には、ディレクトリ
トラバーサルの脆弱性があります。結果として、遠隔の第三者が 
Firefox 実行中の PC の任意の場所に、ユーザの権限でファイルを書き
込む可能性があります。

対象となるバージョンは以下の通りです。

- FireFTP 0.97.1 およびそれ以前

この問題は、配布元が提供する修正済みのバージョンに FireFTP を更
新することで解決します。

【6】PhotoStockPlus ActiveX コントロールにバッファオーバーフローの脆弱性

情報源

US-CERT Vulnerability Note VU#406937
PhotoStockPlus Uploader Tool ActiveX stack buffer overflows
http://www.kb.cert.org/vuls/id/406937

概要

PhotoStockPlus ActiveX コントロールには、バッファオーバーフロー
の脆弱性があります。結果として、遠隔の第三者が細工した HTML 文書
を閲覧させることで、そのユーザの権限で任意のコードを実行する可能
性があります。

2008年5月27日現在、この問題に対する修正プログラムは確認されてお
りません。

Internet Explorer での回避策として、Kill Bit を設定する、インター
ネットゾーンで ActiveX コントロールを無効にするなどの方法があり
ます。詳細については、下記関連文書を参照してください。

■今週のひとくちメモ

○Web ブラウザ tips: Opera/Safari 編

安全が確認できていない Web サイトを閲覧する際には Javascript 機
能を無効にすることが推奨されます。

Windows 版 Opera の場合、「ツール」→「クイック設定」と辿ったメ
ニューに「Javascript を有効にする」チェックがあり、デフォルトで 
ON になっています。この項目を選択することで Javascript 機能の 
ON/OFF を行なうことができます。

Windows 版 Safari の場合、「編集」→「設定」→「セキュリティ」と
辿ったメニューに「Javascript を有効にする」チェックがあり、デフォ
ルトで ON になっています。

Safari において、より簡単に Javascript 機能の ON/OFF をするため
には、メニューバーに[開発]メニューを表示させると便利です。「編集」
→「設定」→「詳細」と辿ったメニューで「メニューバーに[開発]メ
ニューを表示」にチェックを入れることにより「開発」メニューを表示
させることができます。「開発」メニューのなかに「Javascript を無
効にする」という項目があり、この項目を選択することで Javascript 
機能の ON/OFF を行なうことができます。

参考文献 (英語)

CERT/CC Tech Tips
Securing Your Web Browser
http://www.cert.org/tech_tips/securing_browser/

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ