JPCERT-WR-2008-2701 2008-07-16 2008-07-06 2008-07-12

US-CERT Technical Cyber Security Alert TA08-190A http://www.us-cert.gov/cas/techalerts/TA08-190A.html US-CERT Cyber Security Alert SA08-190A http://www.us-cert.gov/cas/alerts/SA08-190A.html US-CERT Vulnerability Notes Database http://www.kb.cert.org/vuls/byid?searchview&query=ms08-jul CIAC Bulletin S-332 http://www.ciac.org/ciac/bulletins/s-332.shtml CIAC Bulletin S-333 http://www.ciac.org/ciac/bulletins/s-333.shtml CIAC Bulletin S-334 http://www.ciac.org/ciac/bulletins/s-334.shtml

Microsoft Windows、Microsoft Windows Server、Microsoft SQL Server、Microsoft Outlook Web Access 各製品には、複数の脆弱性が あります。結果として、遠隔の第三者が任意のコードを実行したり、管 理者権限を取得したり、サービス運用妨害 (DoS) 攻撃を行ったりする 可能性があります。 詳細については、Microsoft が提供する情報を参照してください。 この問題は、Microsoft Update などを用いて、セキュリティ更新プロ グラムを適用することで解決します。

2008 年 7 月のセキュリティ情報 http://www.microsoft.com/japan/technet/security/bulletin/ms08-jul.mspx マイクロソフト セキュリティ情報 MS08-037 - 重要 http://www.microsoft.com/japan/technet/security/bulletin/ms08-037.mspx マイクロソフト セキュリティ情報 MS08-038 - 重要 http://www.microsoft.com/japan/technet/security/bulletin/ms08-038.mspx マイクロソフト セキュリティ情報 MS08-039 - 重要 http://www.microsoft.com/japan/technet/security/bulletin/ms08-039.mspx マイクロソフト セキュリティ情報 MS08-040 - 重要 http://www.microsoft.com/japan/technet/security/bulletin/ms08-040.mspx Japan Vulnerability Notes JVNTA08-190A http://jvn.jp/cert/JVNTA08-190A/index.html @police http://www.cyberpolice.go.jp/important/2008/20080709_110840.html

US-CERT Technical Cyber Security Alert TA08-190B http://www.us-cert.gov/cas/techalerts/TA08-190B.html US-CERT Vulnerability Note VU#800113 http://www.kb.cert.org/vuls/id/800113 CIAC Bulletin S-332 http://www.ciac.org/ciac/bulletins/s-332.shtml

DNS プロトコルと複数の DNS サーバ製品にはキャッシュポイズニング 攻撃を許す脆弱性があります。結果として、遠隔の第三者が DNS キャッ シュサーバを偽の DNS 情報で汚染する可能性があります。 影響を受ける主要な製品は以下の通りです。 - ISC BIND の全てのバージョン (BIND 8 を含む) - Microsoft DNS サーバ - 複数の Cisco 製品 - 複数の Juniper 製品 (Netscreen 社製品を含む) 詳細については、各配布元やベンダが提供する情報を参照してください。 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに、該当する製品を更新することで影響を緩和することがで きます。なお、DNS サーバにクエリを投げる側のノードに対しても修正 プログラムが提供されていないか確認してください。 Debian GNU/Linux など一部の Linux システムのパッケージに含まれて いる設定ファイルでは、DNS クエリのソースポートを固定する設定が行 われている可能性があります。この場合、BIND をバージョンアップす るとともに DNS クエリのソースポートを固定しないように設定ファイ ルを更新する必要があります。変更方法については各ベンダからの情報 を参照して下さい。

マイクロソフト セキュリティ情報 MS08-037 - 重要 http://www.microsoft.com/japan/technet/security/bulletin/MS08-037.mspx Debian セキュリティ勧告 DSA-1603-1 http://www.debian.org/security/2008/dsa-1603.ja.html Debian セキュリティ勧告 DSA-1604-1 http://www.debian.org/security/2008/dsa-1604.ja.html Debian セキュリティ勧告 DSA-1605-1 http://www.debian.org/security/2008/dsa-1605.ja.html Japan Vulnerability Notes JVNTA08-190B http://jvn.jp/cert/JVNTA08-190B/index.html Japan Vulnerability Notes JVNVU#800113 http://jvn.jp/cert/JVNVU800113/index.html JPCERT/CC Alert 2008-07-09 http://www.jpcert.or.jp/at/2008/at080013.txt ISC - CERT VU#800113 DNS Cache Poisoning Issue http://www.isc.org/index.pl?/sw/bind/forgery-resilience.php Red Hat Security Advisory RHSA-2008:0533-3 https://rhn.redhat.com/errata/RHSA-2008-0533.html Cisco Security Advisory cisco-sa-20080708-dns http://www.cisco.com/en/US/products/products_security_advisory09186a00809c2168.shtml

US-CERT Technical Cyber Security Alert TA08-193A http://www.us-cert.gov/cas/techalerts/TA08-193A.html US-CERT Cyber Security Alert SA08-193A http://www.us-cert.gov/cas/alerts/SA08-193A.html

Java Runtime Environment (JRE) には、複数の脆弱性があります。結 果として、遠隔の第三者が任意のコードを実行したり、権限を昇格した り、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可能性があり ます。 対象となる製品およびバージョンは以下の通りです。 - JDK/JRE 6 Update 6 およびそれ以前 - JDK/JRE 5.0 Update 15 およびそれ以前 - SDK/JRE 1.4.2_17 およびそれ以前 - SDK/JRE 1.3.1_22 およびそれ以前 この問題は、Sun が提供する修正済みのバージョンに、該当する製品を 更新することで解決します。

Japan Vulnerability Notes JVNTA08-193A http://jvn.jp/cert/JVNTA08-193A/index.html Sun Alert Notification 238628 http://sunsolve.sun.com/search/document.do?assetkey=1-66-238628-1 Sun Alert Notification 238666 http://sunsolve.sun.com/search/document.do?assetkey=1-66-238666-1 Sun Alert Notification 238687 http://sunsolve.sun.com/search/document.do?assetkey=1-66-238687-1 Sun Alert Notification 238905 http://sunsolve.sun.com/search/document.do?assetkey=1-66-238905-1 Sun Alert Notification 238965 http://sunsolve.sun.com/search/document.do?assetkey=1-66-238965-1 Sun Alert Notification 238966 http://sunsolve.sun.com/search/document.do?assetkey=1-66-238966-1 Sun Alert Notification 238967 http://sunsolve.sun.com/search/document.do?assetkey=1-66-238967-1 Sun Alert Notification 238968 http://sunsolve.sun.com/search/document.do?assetkey=1-66-238968-1

US-CERT Technical Cyber Security Alert TA08-189A http://www.us-cert.gov/cas/techalerts/TA08-189A.html US-CERT Vulnerability Note VU#837785 http://www.kb.cert.org/vuls/id/837785 CIAC Bulletin S-337 http://www.ciac.org/ciac/bulletins/s-337.shtml

Microsoft Office Snapshot Viewer ActiveX コントロールには脆弱性 があります。結果として、遠隔の第三者が細工した HTML 文書を閲覧さ せることで、そのユーザの権限で任意のコードを実行する可能性があり ます。 なお、本脆弱性に対する攻撃活動が行われていると報告されています。 対象となる製品は以下の通りです。 - Microsoft Office Access 2000 - Microsoft Office Access XP - Microsoft Office Access 2003 - Microsoft Office Snapshot Viewer 2008年7月15日現在、この問題に対するセキュリティ更新プログラムは 確認されていません。 回避策としては、kill bit を設定する、インターネットゾーンにおけ る Active X コントロールの実行を無効にするなどの方法があります。

マイクロソフト セキュリティ アドバイザリ (955179) http://www.microsoft.com/japan/technet/security/advisory/955179.mspx マイクロソフト サポートオンライン http://support.microsoft.com/kb/240797/ja Japan Vulnerability Notes JVNTA08-189A http://jvn.jp/cert/JVNTA08-189A/index.html

CIAC Bulletin S-336 http://www.ciac.org/ciac/bulletins/s-336.shtml

Perl 互換の正規表現ライブラリ PCRE には、バッファオーバーフロー の脆弱性があります。結果として、遠隔の第三者が細工した正規表現を 処理させることでサービス運用妨害 (DoS) 攻撃を行ったり、任意のコー ドを実行したりする可能性があります。 対象となるバージョンは以下の通りです。 - PCRE 7.7 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに PCRE ライブラリを更新することで解決します。

Debian セキュリティ勧告 DSA-1602-1 http://www.debian.org/security/2008/dsa-1602.ja.html pcre.org http://www.pcre.org/

Japan Vulnerability Notes JVN#00945448 http://jvn.jp/jp/JVN00945448/index.html

オープンソースのプロジェクト管理ソフトウェア Redmine には、クロ スサイトスクリプティングの脆弱性があります。結果として、遠隔の第 三者がユーザのブラウザ上で任意のスクリプトを実行する可能性があり ます。 対象となるバージョンは以下の通りです。 - Redmine 0.7.2 およびそれ以前 この問題は、配布元が提供する修正済みのバージョンに Redmine を更 新することで解決します。

Redmine http://www.redmine.org/news/show/17 Redmine http://www.redmine.org/wiki/redmine/Changelog

Sun は J2SE 5.0 のサポートを 2009年10月30日までと発表しており、 2008年4月8日から 2009年10月30日の期間をサポート終了移行期間 (End of Life transition period) としています。 J2SE 5.0 を使用したサービス提供者や開発者は、サポート終了日まで に移行完了するように移行計画を立てることを推奨します。 また、現在の最新バージョンである Java SE 6 についてもおおまかな サポート終了移行期間がすでに提示されています。将来の Java SE 6 からの移行についても可能なかぎり考慮しておくことをお勧めします。 JPCERT/CC REPORT 2008-04-16 http://www.jpcert.or.jp/wr/2008/wr081501.html#Memo Sun Products and Technologies Technical Topics http://java.sun.com/javase/ja/6/webnotes/compatibility.html Sun Developer Network http://java.sun.com/products/archive/eol.policy.html