JPCERT-WR-2009-0101 2009-01-07 2008-12-21 2009-01-03

US-CERT Vulnerability Note VU#696644 http://www.kb.cert.org/vuls/id/696644 US-CERT Current Activity Archive http://www.us-cert.gov/current/archive/2008/12/23/archive.html#microsoft_releases_security_advisory_961040

Microsoft SQL Server の sp_replwritetovarbin 拡張ストアド プロシー ジャのパラメータ処理に脆弱性があります。結果として、遠隔の第三者 が任意のコードを実行する可能性があります。なお、本脆弱性に関する 実証コードが既に公開されています。 対象となる製品およびバージョンは以下の通りです。 - Microsoft SQL Server 2000 Service Pack 4 - Microsoft SQL Server 2000 Itanium-based Edition Service Pack 4 - Microsoft SQL Server 2005 Service Pack 2 - Microsoft SQL Server 2005 x64 Edition Service Pack 2 - Microsoft SQL Server 2005 with SP2 for Itanium-based Systems - Microsoft SQL Server 2005 Express Edition Service Pack 2 - Microsoft SQL Server 2005 Express Edition with Advanced Services Service Pack 2 - Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) Service Pack 4 - Microsoft SQL Server 2000 Desktop Engine (WMSDE) - Windows Internal Database (WYukon) Service Pack 2 2009年1月6日現在、この問題に対する修正プログラムは提供されていま せん。回避策としては、sp_replwritetovarbin 拡張ストアド プロシー ジャへのアクセスを拒否するなどの方法があります。詳細については、 Microsoft が提供する情報を参照してください。

マイクロソフト セキュリティ アドバイザリ (961040) http://www.microsoft.com/japan/technet/security/advisory/961040.mspx Japan Vulnerability Notes JVNVU#696644 http://jvn.jp/cert/JVNVU696644/index.html @police http://www.cyberpolice.go.jp/important/2008/20081223_125244.html Microsoft Security Vulnerability Research & Defense http://blogs.technet.com/swi/archive/2008/12/22/more-information-about-the-sql-stored-procedure-vulnerability.aspx

US-CERT Vulnerability Note VU#702628 http://www.kb.cert.org/vuls/id/702628 US-CERT Vulnerability Note VU#541025 http://www.kb.cert.org/vuls/id/541025 US-CERT Current Activity Archive http://www.us-cert.gov/current/archive/2008/12/23/archive.html#trend_micro_releases_updates_for

Trend Micro HouseCall ActiveX コントロールには、複数の脆弱性があ ります。結果として、遠隔の第三者が細工した HTML 文書を閲覧させる ことで該当する ActiveX コントロールを使用しているユーザの権限で 任意のコードを実行したり、任意のファイルを書き込んだりする可能性 があります。 対象となるバージョンは以下の通りです。 - Trend Micro HouseCall ActiveX コントロール 6.6.0.1285 より前の バージョン この問題は、Trend Micro が提供する修正済みのバージョンに HouseCall ActiveX コントロールを更新することで解決します。

Trend Micro http://esupport.trendmicro.com/support/viewxml.do?ContentID=EN-1038646&id=EN-1038646

Japan Vulnerability Notes JVN#17298485 http://jvn.jp/jp/JVN17298485/index.html

Seasar プロジェクトが提供する Mayaa の標準のエラー画面には、クロ スサイトスクリプティングの脆弱性があります。結果として、遠隔の第 三者がユーザのブラウザ上で任意のスクリプトを実行する可能性があり ます。 対象となるバージョンは以下の通りです。 - Mayaa 1.1.22 およびそれ以前 この問題は、Seasar プロジェクトが提供する修正済みのバージョンに Mayaa を更新することで解決します。

Mayaa http://mayaa.seasar.org/news/vulnerability20081225.html

Japan Vulnerability Notes JVN#98063934 http://jvn.jp/jp/JVN98063934/index.html

サッポロワークスのイントラネット用簡易サーバ機能を持つソフトウェ ア BlackJumboDog には、脆弱性があります。結果として、遠隔の第三 者が BlackJumboDog の認証機能を回避する可能性があります。 対象となるバージョンは以下の通りです。 - BlackJumboDog Ver4.2.2 およびそれ以前 この問題は、サッポロワークスが提供する修正済みのバージョンに BlackJumboDog を更新することで解決します。

サッポロワークス http://homepage2.nifty.com/spw/info/secure2.html

US-CERT Vulnerability Note VU#836068 http://www.kb.cert.org/vuls/id/836068 US-CERT Current Activity Archive http://www.us-cert.gov/current/archive/2008/12/31/archive.html#md5_hashing_algorithm_vulnerability

MD5 の collision attack を使用して、X.509 証明書の偽造に成功した という研究発表が行われました。この攻撃により、攻撃者はオリジナル の証明書と同一の署名を持つ、別の証明書を生成する可能性があります。

マイクロソフト セキュリティ アドバイザリ (961509) https://www.microsoft.com/japan/technet/security/advisory/961509.mspx Mozilla Security Blog http://blog.mozilla.com/security/2008/12/30/md5-weaknesses-could-lead-to-certificate-forgery/ Tim Callan's SSL Blog https://blogs.verisign.com/ssl-blog/2008/12/on_md5_vulnerabilities_and_mit.php

2004年ころから「ボット」や「ボットネット」への注目が高まってきま した。ボットという名前は IRC の自動対話プログラムが「bot」と呼ば れていたことに由来します。その名前の由来から分かるとおり、ボット の最大の特徴はユーザの PC に感染した後に定期的に C&C (Command and Control) サーバと呼ばれるコンピュータと対話を行い、 ハーダー (Herder) と呼ばれるボットネット管理者からの指示に従って 動作する点にあります。一般に何百〜何千という数のボットに感染した マシン群とその C&C サーバをまとめて、ボットネットと呼びます。 ハーダーはボットネットを使いスパム送信や DDoS 攻撃などを行います。 また、ハーダーは管理するボットネットを迷惑メール送信者などに貸し 出すビジネスも行っています。 現在も進化を続けるボット及びボットネットに対して、国内外で様々な 対策が行われています。たとえばアメリカでは FBI によって 「Operation Bot Roast」というプロジェクトが行われ、大規模なボッ トネットの管理者を逮捕しています。日本では、2006年から総務省およ び経済産業省が共同でサイバークリーンセンタープロジェクトというボッ ト感染者を減らすための試みを行っています。 サイバークリーンセンター https://www.ccc.go.jp/ @police http://www.cyberpolice.go.jp/detect/pdf/20060316_botnet.pdf Federal Bureau of Investigation http://www.fbi.gov/page2/june07/botnet061307.htm