JPCERT-WR-2009-0501 2009-02-04 2009-01-25 2009-01-31

US-CERT Technical Cyber Security Alert TA09-020A http://www.us-cert.gov/cas/techalerts/TA09-020A.html

Microsoft Windows では自動実行機能を無効化することにより、リムー バブルデバイスの接続時に意図しないコードの自動実行を防ぐことがで きます。しかしながら Microsoft が提供する自動実行機能を無効化す るためのドキュメント (文書番号: 953252) の手順では、対策が適用さ れないケースが存在します。 自動実行機能を無効化する方法として、Microsoft のドキュメント (文 書番号: 953252) では、グループポリシーを変更する方法や Autorun および NoDriveTypeAutorun のレジストリキーを変更する方法が記載さ れています。しかしながらこれらの変更を行っても、デバイスを表すア イコンをクリックすると、Autorun.inf の記述にしたがったプログラム が実行されてしまうケースが存在します。 回避策としては、Autorun.inf に対するマッピング情報を上書きする方 法があります。この対策を行うことで、リムーバブルデバイスや CD-ROM など全てのデバイスで自動実行が無効になります。この設定を 行わず自動実行を回避したい場合は、デバイスを表すアイコンを右クリッ クしてエクスプローラーを選択するなどしてください。詳細については、 下記関連文書に示す CERT/CC が提供する Vulnerability Analysis Blog の The Dangers of Windows AutoRun を参照してください。

Japan Vulnerability Notes JVNTA09-020A http://jvn.jp/cert/JVNTA09-020A/index.html Microsoft サポートオンライン http://support.microsoft.com/kb/953252/ja CERT/CC Vulnerability Analysis Blog http://www.cert.org/blogs/vuls/2008/04/the_dangers_of_windows_autorun.html Microsoft Support Online http://support.microsoft.com/?scid=kb;en-us;953252 Microsoft TechNet http://www.microsoft.com/technet/prodtechnol/windows2000serv/reskit/regentry/91525.mspx US-CERT Vulnerability Note VU#889747 http://www.kb.cert.org/vuls/id/889747

DOE-CIRC Technical Bulletin T-049 http://www.doecirc.energy.gov/ciac/bulletins/t-049.shtml

Sun Solaris には、IPv6 パケットの処理に起因する脆弱性があります。 結果として、遠隔の第三者が細工したパケットを処理させることでサー ビス運用妨害 (DoS) 攻撃を行う可能性があります。なお、本件に関し ては攻撃方法に関する情報が公開されています。 対象となる製品は以下の通りです。 - SPARC および x86 プラットフォームで動作する以下の製品 - Solaris 10 - ビルド snv_01 - snv_107 に基づく OpenSolaris なお、この問題は IPv6 のインタフェースが有効になっている場合にの み影響します。また、Solaris 8 および Solaris 9 はこの問題の影響 を受けません。 この問題は、Sun が提供する修正済みのバージョンに、該当する製品を 更新することで解決します。詳細については、Sun が提供する情報を参 照してください。

Sun Alert Notification 251006 http://sunsolve.sun.com/search/document.do?assetkey=1-66-251006-1

US-CERT Vulnerability Note VU#202753 http://www.kb.cert.org/vuls/id/202753

Autonomy Ultraseek には、URL リダイレクションの脆弱性があります。 結果として、遠隔の第三者が細工した URL を参照させることで、ユー ザを任意の Web サイトにリダイレクトする可能性があります。 この問題は、Autonomy が提供する修正済みのバージョンに Ultraseek を更新することで解決します。詳細については、Autonomy が提供する 情報を参照してください。

Autonomy Corp. http://www.autonomy.co.jp/ 株式会社デジタルガレージ http://www2.garage.co.jp/ Autonomy http://customers.autonomy.com/ Ultraseek http://www.ultraseek.com/

JPCERT/CC https://www.jpcert.or.jp/event/half-day_Camp-seminar.html

JPCERT コーディネーションセンターは、C/C++ 言語で脆弱性を含まな い安全なプログラムをコーディングする具体的なテクニックとノウハウ を学んでいただくためのセミナー「C/C++ セキュアコーディング ハー フデイキャンプ」を 1月、2月、3月にわたり開催しています。参加費は 無料です。 多数のご参加をいただいた part1 に続き、part2 の参加申し込み受付 けを開始しました。 日時: part2 ＜File I/O part1, part2, part3＞ 2009年2月26日 (木) 13:00〜18:00 (受付 12:30〜) 会場: 株式会社インターネットイニシアティブ　大会議室1 東京都千代田区神田神保町1-105 神保町三井ビルディング 17階 受講料: 無料 定員: 80名

ソフトウエアやハードウエアシステム等の脆弱性を発見した者が、その 脆弱性を修正できるベンダ (開発者) に直接情報を送付しても、その情 報が適切に取り扱われない、またはそもそも脆弱性情報の送付先が不明 であるために、その脆弱性が修正される前に攻撃に悪用されてしまうこ とがあります。 そのような中で、米国 CERT/CC や英国 NISCC (現在の CPNI) は、公開 前の脆弱性情報をベンダと調整し、修正が完了した後に世界同時に公開 するという「脆弱性情報ハンドリング」を行なっており、一定の成果を 挙げていました。しかし、日本のベンダとの調整については、時差や言 語、文化の違いなどからスムースに進まないことがあったことから、 JPCERT/CC は 2002年より CERT/CC および NISCC と協力し、日本国内 ベンダとの調整業務を行っていました。 このような実績を踏まえ、日本国内の脆弱性情報流通の枠組みを整備す る動きが生まれました。そして 2004年7月7日、経済産業省より公示さ れた「ソフトウエア等脆弱性関連情報取扱基準」において、JPCERT/CC が、日本国内の脆弱性関連情報流通のための調整機関として指定されま した。また同指定告示により、脆弱性関連情報の受付機関として指定を 受けた独立行政法人情報処理推進機構 (IPA) と連携し、日本国内にお ける脆弱性関連情報流通を行なうことになりました。 JPCERT/CC http://www.jpcert.or.jp/vh/ 独立行政法人情報処理推進機構 http://www.ipa.go.jp/security/vuln/report/index.html