JPCERT コーディネーションセンター

安全・安心なIT社会のための、国内・国際連携を支援する

お問い合わせ 採用情報 サイトマップ English

Home > 情報提供 > Weekly Report > 2008 > Weekly Report 2008-07-16号

最終更新: 2008-07-16

Weekly Report 2008-07-16号


JPCERT-WR-2008-2701
JPCERT/CC
2008-07-16

<<< JPCERT/CC WEEKLY REPORT 2008-07-16 >>>

■07/06(日)〜07/12(土) のセキュリティ関連情報

目 次

【1】2008年7月 Microsoft セキュリティ情報について

【2】複数の DNS 実装にキャッシュポイズニングの脆弱性

【3】Java Runtime Environment (JRE) に複数の脆弱性

【4】Microsoft Office Snapshot Viewer ActiveX コントロールに脆弱性

【5】PCRE にバッファオーバーフローの脆弱性

【6】Redmine にクロスサイトスクリプティングの脆弱性

【今週のひとくちメモ】J2SE 5.0 サポート終了移行期間について

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2008/wr082701.txt
https://www.jpcert.or.jp/wr/2008/wr082701.xml

【1】2008年7月 Microsoft セキュリティ情報について

情報源

US-CERT Technical Cyber Security Alert TA08-190A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA08-190A.html

US-CERT Cyber Security Alert SA08-190A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/alerts/SA08-190A.html

US-CERT Vulnerability Notes Database
Search Results [ms08-jul] (全2件・2008年7月15日現在)
http://www.kb.cert.org/vuls/byid?searchview&query=ms08-jul

CIAC Bulletin S-332
Vulnerabilities in DNS
http://www.ciac.org/ciac/bulletins/s-332.shtml

CIAC Bulletin S-333
Vulnerability in Windows Explorer
http://www.ciac.org/ciac/bulletins/s-333.shtml

CIAC Bulletin S-334
Vulnerabilities in Microsoft SQL Server
http://www.ciac.org/ciac/bulletins/s-334.shtml

概要

Microsoft Windows、Microsoft Windows Server、Microsoft SQL
Server、Microsoft Outlook Web Access 各製品には、複数の脆弱性が
あります。結果として、遠隔の第三者が任意のコードを実行したり、管
理者権限を取得したり、サービス運用妨害 (DoS) 攻撃を行ったりする
可能性があります。

詳細については、Microsoft が提供する情報を参照してください。

この問題は、Microsoft Update などを用いて、セキュリティ更新プロ
グラムを適用することで解決します。

関連文書 (日本語)

2008 年 7 月のセキュリティ情報
http://www.microsoft.com/japan/technet/security/bulletin/ms08-jul.mspx

マイクロソフト セキュリティ情報 MS08-037 - 重要
DNS の脆弱性により、なりすましが行われる (953230)
http://www.microsoft.com/japan/technet/security/bulletin/ms08-037.mspx

マイクロソフト セキュリティ情報 MS08-038 - 重要
Windows エクスプローラの脆弱性により、リモートでコードが実行される (950582)
http://www.microsoft.com/japan/technet/security/bulletin/ms08-038.mspx

マイクロソフト セキュリティ情報 MS08-039 - 重要
Exchange Server の Outlook Web Access の脆弱性により、特権の昇格が起こる (953747)
http://www.microsoft.com/japan/technet/security/bulletin/ms08-039.mspx

マイクロソフト セキュリティ情報 MS08-040 - 重要
Microsoft SQL Server の脆弱性により、特権が昇格される (941203)
http://www.microsoft.com/japan/technet/security/bulletin/ms08-040.mspx

Japan Vulnerability Notes JVNTA08-190A
Microsoft 製品における複数の脆弱性に対するアップデート
http://jvn.jp/cert/JVNTA08-190A/index.html

@police
マイクロソフト社のセキュリティ修正プログラムについて(MS08-037,038,039,040)
http://www.cyberpolice.go.jp/important/2008/20080709_110840.html

【2】複数の DNS 実装にキャッシュポイズニングの脆弱性

情報源

US-CERT Technical Cyber Security Alert TA08-190B
Multiple DNS implementations vulnerable to cache poisoning
http://www.us-cert.gov/cas/techalerts/TA08-190B.html

US-CERT Vulnerability Note VU#800113
Multiple DNS implementations vulnerable to cache poisoning
http://www.kb.cert.org/vuls/id/800113

CIAC Bulletin S-332
Vulnerabilities in DNS
http://www.ciac.org/ciac/bulletins/s-332.shtml

概要

DNS プロトコルと複数の DNS サーバ製品にはキャッシュポイズニング
攻撃を許す脆弱性があります。結果として、遠隔の第三者が DNS キャッ
シュサーバを偽の DNS 情報で汚染する可能性があります。

影響を受ける主要な製品は以下の通りです。

- ISC BIND の全てのバージョン (BIND 8 を含む) 
- Microsoft DNS サーバ
- 複数の Cisco 製品
- 複数の Juniper 製品 (Netscreen 社製品を含む)

詳細については、各配布元やベンダが提供する情報を参照してください。

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに、該当する製品を更新することで影響を緩和することがで
きます。なお、DNS サーバにクエリを投げる側のノードに対しても修正
プログラムが提供されていないか確認してください。

Debian GNU/Linux など一部の Linux システムのパッケージに含まれて
いる設定ファイルでは、DNS クエリのソースポートを固定する設定が行
われている可能性があります。この場合、BIND をバージョンアップす
るとともに DNS クエリのソースポートを固定しないように設定ファイ
ルを更新する必要があります。変更方法については各ベンダからの情報
を参照して下さい。

関連文書 (日本語)

マイクロソフト セキュリティ情報 MS08-037 - 重要
DNS の脆弱性により、なりすましが行われる (953230)
http://www.microsoft.com/japan/technet/security/bulletin/MS08-037.mspx

Debian セキュリティ勧告 DSA-1603-1
bind9 -- DNS キャッシュポイゾニング攻撃
http://www.debian.org/security/2008/dsa-1603.ja.html

Debian セキュリティ勧告 DSA-1604-1
bind -- DNS キャッシュポイゾニング攻撃
http://www.debian.org/security/2008/dsa-1604.ja.html

Debian セキュリティ勧告 DSA-1605-1
glibc -- DNS キャッシュポイゾニング攻撃
http://www.debian.org/security/2008/dsa-1605.ja.html

Japan Vulnerability Notes JVNTA08-190B
複数の DNS 実装にキャッシュポイズニングの脆弱性
http://jvn.jp/cert/JVNTA08-190B/index.html

Japan Vulnerability Notes JVNVU#800113
複数の DNS 実装にキャッシュポイズニングの脆弱性
http://jvn.jp/cert/JVNVU800113/index.html

JPCERT/CC Alert 2008-07-09
複数の DNS サーバ製品におけるキャッシュポイズニングの脆弱性
http://www.jpcert.or.jp/at/2008/at080013.txt

関連文書 (英語)

ISC - CERT VU#800113 DNS Cache Poisoning Issue
http://www.isc.org/index.pl?/sw/bind/forgery-resilience.php

Red Hat Security Advisory RHSA-2008:0533-3
Important: bind security update
https://rhn.redhat.com/errata/RHSA-2008-0533.html

Cisco Security Advisory cisco-sa-20080708-dns
Multiple Cisco Products Vulnerable to DNS Cache Poisoning Attacks
http://www.cisco.com/en/US/products/products_security_advisory09186a00809c2168.shtml

【3】Java Runtime Environment (JRE) に複数の脆弱性

情報源

US-CERT Technical Cyber Security Alert TA08-193A
Sun Java Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA08-193A.html

US-CERT Cyber Security Alert SA08-193A
Sun Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/alerts/SA08-193A.html

概要

Java Runtime Environment (JRE) には、複数の脆弱性があります。結
果として、遠隔の第三者が任意のコードを実行したり、権限を昇格した
り、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可能性があり
ます。

対象となる製品およびバージョンは以下の通りです。

- JDK/JRE 6 Update 6 およびそれ以前
- JDK/JRE 5.0 Update 15 およびそれ以前
- SDK/JRE 1.4.2_17 およびそれ以前
- SDK/JRE 1.3.1_22 およびそれ以前

この問題は、Sun が提供する修正済みのバージョンに、該当する製品を
更新することで解決します。

関連文書 (日本語)

Japan Vulnerability Notes JVNTA08-193A
Java における複数の脆弱性に対するアップデート
http://jvn.jp/cert/JVNTA08-193A/index.html

関連文書 (英語)

Sun Alert Notification 238628
Security Vulnerabilities in the Java Runtime Environment related to the processing of XML Data
http://sunsolve.sun.com/search/document.do?assetkey=1-66-238628-1

Sun Alert Notification 238666
A Security Vulnerability with the processing of fonts in the Java Runtime Environment may allow Elevation of Privileges
http://sunsolve.sun.com/search/document.do?assetkey=1-66-238666-1

Sun Alert Notification 238687
Security Vulnerabilities in the Java Runtime Environment Scripting Language Support
http://sunsolve.sun.com/search/document.do?assetkey=1-66-238687-1

Sun Alert Notification 238905
Multiple Security Vulnerabilities in Java Web Start may allow Privileges to be Elevated
http://sunsolve.sun.com/search/document.do?assetkey=1-66-238905-1

Sun Alert Notification 238965
Security Vulnerability in Java Management Extensions (JMX)
http://sunsolve.sun.com/search/document.do?assetkey=1-66-238965-1

Sun Alert Notification 238966
Security Vulnerability in JDK/JRE Secure Static Versioning
http://sunsolve.sun.com/search/document.do?assetkey=1-66-238966-1

Sun Alert Notification 238967
Security Vulnerability in the Java Runtime Environment Virtual Machine may allow an untrusted Application or Applet to Elevate Privileges
http://sunsolve.sun.com/search/document.do?assetkey=1-66-238967-1

Sun Alert Notification 238968
Security Vulnerabilities in the Java Runtime Environment may allow Same Origin Policy to be Bypassed
http://sunsolve.sun.com/search/document.do?assetkey=1-66-238968-1

【4】Microsoft Office Snapshot Viewer ActiveX コントロールに脆弱性

情報源

US-CERT Technical Cyber Security Alert TA08-189A
Microsoft Office Snapshot Viewer ActiveX Vulnerability
http://www.us-cert.gov/cas/techalerts/TA08-189A.html

US-CERT Vulnerability Note VU#837785
Microsoft Office Snapshot Viewer ActiveX control race condition
http://www.kb.cert.org/vuls/id/837785

CIAC Bulletin S-337
Vulnerability in the ActiveX Control for the Snapshot Viewer for Microsoft Access
http://www.ciac.org/ciac/bulletins/s-337.shtml

概要

Microsoft Office Snapshot Viewer ActiveX コントロールには脆弱性
があります。結果として、遠隔の第三者が細工した HTML 文書を閲覧さ
せることで、そのユーザの権限で任意のコードを実行する可能性があり
ます。

なお、本脆弱性に対する攻撃活動が行われていると報告されています。

対象となる製品は以下の通りです。

- Microsoft Office Access 2000
- Microsoft Office Access XP
- Microsoft Office Access 2003
- Microsoft Office Snapshot Viewer

2008年7月15日現在、この問題に対するセキュリティ更新プログラムは
確認されていません。

回避策としては、kill bit を設定する、インターネットゾーンにおけ
る Active X コントロールの実行を無効にするなどの方法があります。

関連文書 (日本語)

マイクロソフト セキュリティ アドバイザリ (955179)
Microsoft Access Snapshot Viewer の ActiveX コントロールの脆弱性により、リモートでコードが実行される
http://www.microsoft.com/japan/technet/security/advisory/955179.mspx

マイクロソフト サポートオンライン
Internet Explorer で ActiveX コントロールの動作を停止する方法
http://support.microsoft.com/kb/240797/ja

Japan Vulnerability Notes JVNTA08-189A
Microsoft Office Snapshot Viewer ActiveX コントロールに脆弱性
http://jvn.jp/cert/JVNTA08-189A/index.html

【5】PCRE にバッファオーバーフローの脆弱性

情報源

CIAC Bulletin S-336
PCRE3 Vulnerability
http://www.ciac.org/ciac/bulletins/s-336.shtml

概要

Perl 互換の正規表現ライブラリ PCRE には、バッファオーバーフロー
の脆弱性があります。結果として、遠隔の第三者が細工した正規表現を
処理させることでサービス運用妨害 (DoS) 攻撃を行ったり、任意のコー
ドを実行したりする可能性があります。

対象となるバージョンは以下の通りです。

- PCRE 7.7

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに PCRE ライブラリを更新することで解決します。

関連文書 (日本語)

Debian セキュリティ勧告 DSA-1602-1
pcre3 -- バッファオーバフロー
http://www.debian.org/security/2008/dsa-1602.ja.html

関連文書 (英語)

pcre.org
PCRE - Perl Compatible Regular Expressions
http://www.pcre.org/

【6】Redmine にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#00945448
Redmine におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN00945448/index.html

概要

オープンソースのプロジェクト管理ソフトウェア Redmine には、クロ
スサイトスクリプティングの脆弱性があります。結果として、遠隔の第
三者がユーザのブラウザ上で任意のスクリプトを実行する可能性があり
ます。 

対象となるバージョンは以下の通りです。

- Redmine 0.7.2 およびそれ以前

この問題は、配布元が提供する修正済みのバージョンに Redmine を更
新することで解決します。

関連文書 (英語)

Redmine
Redmine 0.7.3 released
http://www.redmine.org/news/show/17

Redmine
Changelog - v0.7.3 (2008-07-06)
http://www.redmine.org/wiki/redmine/Changelog

■今週のひとくちメモ

○J2SE 5.0 サポート終了移行期間について

Sun は J2SE 5.0 のサポートを 2009年10月30日までと発表しており、
2008年4月8日から 2009年10月30日の期間をサポート終了移行期間 (End
of Life transition period) としています。

J2SE 5.0 を使用したサービス提供者や開発者は、サポート終了日まで
に移行完了するように移行計画を立てることを推奨します。

また、現在の最新バージョンである Java SE 6 についてもおおまかな
サポート終了移行期間がすでに提示されています。将来の Java SE 6 
からの移行についても可能なかぎり考慮しておくことをお勧めします。

参考文献 (日本語)

JPCERT/CC REPORT 2008-04-16
【今週のひとくちメモ】J2SE 1.4.2 サポート終了
http://www.jpcert.or.jp/wr/2008/wr081501.html#Memo

Sun Products and Technologies Technical Topics
Java SE 6 の互換性
http://java.sun.com/javase/ja/6/webnotes/compatibility.html

参考文献 (英語)

Sun Developer Network
Java SE & Java SE for Business Support Road Map
http://java.sun.com/products/archive/eol.policy.html

■JPCERT/CC からのお願い

  • 本レポートに関するお問い合わせは editor@jpcert.or.jp 宛 にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
    https://www.jpcert.or.jp/wr/
  • 本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
    https://www.jpcert.or.jp/announce.html
  • JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
    https://www.jpcert.or.jp/form/

Topへ

CSIRTマテリアル
パスワードリスト攻撃による不正ログイン防止
CSIRTマテリアル
Follow jpcert on Twitter
blog_banner_english