JPCERT-WR-2008-4101 2008-10-22 2008-10-12 2008-10-18

US-CERT Technical Cyber Security Alert TA08-288A http://www.us-cert.gov/cas/techalerts/TA08-288A.html US-CERT Cyber Security Alert SA08-288A http://www.us-cert.gov/cas/alerts/SA08-288A.html US-CERT Vulnerability Notes Database http://www.kb.cert.org/vuls/byid?searchview&query=ms08-oct CIAC Bulletin T-002 http://www.ciac.org/ciac/bulletins/t-002.shtml CIAC Bulletin T-003 http://www.ciac.org/ciac/bulletins/t-003.shtml CIAC Bulletin T-004 http://www.ciac.org/ciac/bulletins/t-004.shtml CIAC Bulletin T-005 http://www.ciac.org/ciac/bulletins/t-005.shtml CIAC Bulletin T-006 http://www.ciac.org/ciac/bulletins/t-006.shtml CIAC Bulletin T-007 http://www.ciac.org/ciac/bulletins/t-007.shtml CIAC Bulletin T-008 http://www.ciac.org/ciac/bulletins/t-008.shtml CIAC Bulletin T-009 http://www.ciac.org/ciac/bulletins/t-009.shtml CIAC Bulletin T-010 http://www.ciac.org/ciac/bulletins/t-010.shtml

Microsoft Windows、Microsoft Office、Internet Explorer などの製 品には、複数の脆弱性があります。結果として、遠隔の第三者が任意の コードを実行したり、権限を昇格したり、サービス運用妨害 (DoS) 攻 撃を行ったりする可能性があります。 詳細については、Microsoft が提供する情報を参照してください。 この問題は、Microsoft Update などを用いて、セキュリティ更新プロ グラムを適用することで解決します。

2008 年 10 月のセキュリティ情報 http://www.microsoft.com/japan/technet/security/bulletin/ms08-oct.mspx マイクロソフト セキュリティ情報 MS08-056 - 警告 http://www.microsoft.com/japan/technet/security/bulletin/MS08-056.mspx マイクロソフト セキュリティ情報 MS08-057 - 緊急 http://www.microsoft.com/japan/technet/security/bulletin/MS08-057.mspx マイクロソフト セキュリティ情報 MS08-058 - 緊急 http://www.microsoft.com/japan/technet/security/bulletin/MS08-058.mspx マイクロソフト セキュリティ情報 MS08-059 - 緊急 http://www.microsoft.com/japan/technet/security/bulletin/MS08-059.mspx マイクロソフト セキュリティ情報 MS08-060 - 緊急 http://www.microsoft.com/japan/technet/security/bulletin/MS08-060.mspx マイクロソフト セキュリティ情報 MS08-061 - 重要 http://www.microsoft.com/japan/technet/security/bulletin/MS08-061.mspx マイクロソフト セキュリティ情報 MS08-062 - 重要 http://www.microsoft.com/japan/technet/security/bulletin/MS08-062.mspx マイクロソフト セキュリティ情報 MS08-063 - 重要 http://www.microsoft.com/japan/technet/security/bulletin/MS08-063.mspx マイクロソフト セキュリティ情報 MS08-064 - 重要 http://www.microsoft.com/japan/technet/security/bulletin/MS08-064.mspx マイクロソフト セキュリティ情報 MS08-065 - 重要 http://www.microsoft.com/japan/technet/security/bulletin/MS08-065.mspx マイクロソフト セキュリティ情報 MS08-066 - 重要 http://www.microsoft.com/japan/technet/security/bulletin/MS08-066.mspx Japan Vulnerability Notes JVNTA08-288A http://jvn.jp/cert/JVNTA08-288A/index.html @police http://www.cyberpolice.go.jp/important/2008/20081015_110510.html JPCERT/CC Alert 2008-10-15 http://www.jpcert.or.jp/at/2008/at080017.txt

Adobe - Security Advisories http://www.adobe.com/support/security/bulletins/apsb08-18.html

Adobe Flash Player には、複数の脆弱性があります。結果として、遠 隔の第三者が細工した Flash コンテンツにアクセスさせることで、ユー ザが意図しないボタンもしくはリンクをクリックさせる可能性がありま す。 対象となるバージョンは以下の通りです。 - Adobe Flash Player 9.0.124.0 およびそれ以前 この問題は、Adobe が提供する修正済みのバージョン 10.0.12.36 に Flash Player を更新することで解決します。なお、複数のウェブブラ ウザを使用している環境においては、各ウェブブラウザごとに Flash Player を更新する必要があります。詳細については、Adobe が提供す る情報を参照してください。

US-CERT Current Activity Archive http://www.us-cert.gov/current/archive/2008/10/16/archive.html#adobe_releases_security_bulletin_for

US-CERT Current Activity Archive http://www.us-cert.gov/current/archive/2008/10/16/archive.html#oracle_releases_critical_patch_update4 CIAC Bulletin T-011 http://www.ciac.org/ciac/bulletins/t-011.shtml

Oracle 製品およびそのコンポーネントには、複数の脆弱性があります。 結果として、遠隔の第三者が認証を回避するなどの可能性があります。 この問題は、Oracle が提供するパッチを該当する製品に適用すること で解決します。詳細については Oracle が提供する情報を参照してくだ さい。 なお、次回の Oracle Critical Patch Update は、2009年1月にリリー スされる予定です。 2008年4月29日、Oracle の BEA Systems, Inc. 買収により、BEA 製品 のセキュリティ関連情報は Oracle Critical Patch Update に掲載され ます。

Oracle internet Support Center http://support.oracle.co.jp/krown_external/oisc_showDoc.do?id=129194 Oracle Technology Network http://www.oracle.com/technology/global/jp/security/081017_84/top.html Oracle Technology Network http://www.oracle.com/technology/deploy/security/critical-patch-updates/cpuoct2008.html

Japan Vulnerability Notes JVN#81490697 http://jvn.jp/jp/JVN81490697/index.html

Movable Type には、管理画面にクロスサイトスクリプティングの脆弱 性があります。結果として、遠隔の第三者がユーザのブラウザ上で任意 のスクリプトを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Movable Type 4 (4.21 およびそれ以前のバージョン) - Movable Type Enterprise 4 (4.21 およびそれ以前のバージョン) - Movable Type Community Solution 4 (4.21 およびそれ以前のバー ジョン) - Movable Type 4 (Open Source) (4.21 およびそれ以前のバージョン) この問題は、シックス・アパートが提供する修正済みのバージョンに Movable Type を更新することで解決します。

シックス・アパート http://www.sixapart.jp/movabletype/news/2008/10/15-1400.html

CIAC Bulletin T-012 http://www.ciac.org/ciac/bulletins/t-012.shtml

MPlayer には、複数の脆弱性があります。結果として、遠隔の第三者が 細工したビデオファイルを処理させることで、ユーザの権限で任意のコー ドを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性 があります。 対象となるバージョンは以下の通りです。 - MPlayer 1.0rc2 およびそれ以前 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに MPlayer を更新することで解決します。詳細については、 ベンダや配布元が提供する情報を参照してください。

Debian セキュリティ勧告 DSA-1644-1 http://www.debian.org/security/2008/dsa-1644.ja.html MPlayer http://www.mplayerhq.hu/design7/news.html oCERT Advisories http://www.ocert.org/advisories/ocert-2008-013.html

Japan Vulnerability Notes JVN#67334580 http://jvn.jp/jp/JVN67334580/index.html

久長電機が提供する XOOPS 用のショッピングカートモジュール hisa_cart には、情報漏洩の脆弱性があります。結果として、遠隔の第 三者が登録ユーザ情報などを取得する可能性があります。 対象となるバージョンは以下の通りです。 - hisa_cart v1.29 およびそれ以前 この問題は、久長電機が提供する修正済みのバージョンに hisa_cart を更新することで解決します。

株式会社久長電機 http://hisacart.chushokigyo.net/modules/info/index.php/intro/url.html

1. 電子署名を行う PDF ファイルに電子署名を行うためには、署名に使う証明書/秘密鍵を 用意する必要があります。Adobe Acrobat では、認証局から発行された 証明書/秘密鍵を使用する方法と、独自に自己署名証明書を生成して使 用する方法があります。 Adobe Acrobat では電子署名として「承認用署名」と「証明用署名」の 2種類があります。これは、ISO32000-1 仕様における document signature (承認用署名) と MDP signature (証明用署名) に対応する ものです。 2. 電子署名を検証する Adobe Acrobat や Adobe Reader では証明書リポジトリを独自に持って おり、電子署名の検証に使う証明書については、Windows の証明書スト アや LDAP サーバなどを参照することもできます。 適切な証明書を取り込んであり、取り込んだ証明書に対する信頼度の設 定も適切に行われているにも関わらず検証結果が無効と出る場合には、 PDF ファイルが改竄されている可能性が高いと判断することができます。 JPCERT/CC REPORT 2008-10-16 http://www.jpcert.or.jp/wr/2008/wr084001.html#Memo