Home > 情報提供 > Weekly Report > 2009 > Weekly Report 2009-03-04号

Weekly Report 2009-03-04号

JPCERT-WR-2009-0901

JPCERT/CC

2009-03-04

<<< JPCERT/CC WEEKLY REPORT 2009-03-04 >>>

■02/22(日)〜02/28(土) のセキュリティ関連情報

目　次

【1】Adobe Flash Player に複数の脆弱性

【2】透過型プロキシサーバに脆弱性

【3】Apache Tomcat に情報漏えいの脆弱性

【4】Cisco Unified MeetingPlace Web Conferencing サーバに脆弱性

【5】Cisco ACE Application Control Engine Module および Cisco ACE 4710 Application Control Engine に複数の脆弱性

【6】ソニーのネットワークカメラ SNC シリーズの ActiveX コントロールにバッファオーバーフローの脆弱性

【7】HP Virtual Rooms の ActiveX コントロールに脆弱性

【8】PEAK XOOPS の piCal にクロスサイトスクリプティングの脆弱性

【今週のひとくちメモ】Apache Tomcat のバージョンについて

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2009/wr090901.txt
https://www.jpcert.or.jp/wr/2009/wr090901.xml

【1】Adobe Flash Player に複数の脆弱性

情報源

US-CERT Current Activity Archive
Adobe Releases Security Bulletin for Flash Player
http://www.us-cert.gov/current/archive/2009/02/26/archive.html#adobe_releases_security_bulletin_for2

JPCERT/CC Alert 2009-02-25
Adobe Flash Player の脆弱性に関する注意喚起
http://www.jpcert.or.jp/at/2009/at090004.txt

概要

Adobe Flash Player には、複数の脆弱性があります。結果として、遠
隔の第三者が細工した Flash コンテンツにアクセスさせることで、任
意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりす
る可能性があります。

対象となるバージョンは以下の通りです。

- Adobe Flash Player 10.0.22.87 より前のバージョン
- Flash Player 9.0.159 より前のバージョン

この問題は、Adobe が提供する修正済みのバージョンに Flash Player
を更新することで解決します。なお、複数のブラウザを使用して
いる環境においては、各ブラウザごとに Flash　Player を更新
する必要があります。詳細については、Adobe が提供する情報を参照し
てください。

【2】透過型プロキシサーバに脆弱性

情報源

US-CERT Vulnerability Note VU#435052
Intercepting proxy servers may incorrectly rely on HTTP headers to make connections
http://www.kb.cert.org/vuls/id/435052

DOE-CIRC Technical Bulletin T-066
Multiple HTTP Proxy HTTP Host Header Incorrect Relay Behavior Vulnerability
http://www.doecirc.energy.gov/ciac/bulletins/t-066.shtml

概要

一部の透過型プロキシサーバには、脆弱性があります。結果として、遠
隔の第三者が細工した動的コンテンツを使用することで、任意のサイト
やリソースにアクセスする可能性があります。これらのサイトにはイン
トラネット上にある内部リソースも含まれます。

この問題は、各ベンダや配布元が提供する修正済みのバージョンに透過
型プロキシサーバを更新することで解決します。詳細については、情報
源や関連文書および各ベンダや配布元が提供する情報を参照してくださ
い。

【3】Apache Tomcat に情報漏えいの脆弱性

情報源

Japan Vulnerability Notes JVN#66905322
Apache Tomcat における情報漏えいの脆弱性
http://jvn.jp/jp/JVN66905322/index.html

概要

Apache Tomcat には、情報漏えいの脆弱性があります。結果として、遠
隔の第三者が機密情報を取得する可能性があります。

対象となるバージョンは以下の通りです。

- Apache Tomcat 4.1.32 から 4.1.34 まで
- Apache Tomcat 5.5.10 から 5.5.20 まで

なお、開発者によると、現在サポート対象外となっている Apache
Tomcat 3.x、4.0.x、5.0.x も影響を受ける可能性があると報告されて
います。一方、Apache Tomcat 6.0.x は影響を受けないことが確認され
ています。

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに Apache Tomcat を更新することで解決します。詳細につ
いては、ベンダや配布元が提供する情報を参照してください。

【4】Cisco Unified MeetingPlace Web Conferencing サーバに脆弱性

情報源

DOE-CIRC Technical Bulletin T-070
Cisco Unified MeetingPlace Web Conferencing Authentication Bypass Vulnerability
http://www.doecirc.energy.gov/ciac/bulletins/t-070.shtml

概要

Cisco Unified MeetingPlace Web Conferencing サーバには、脆弱性が
あります。結果として、遠隔の第三者が細工した URL を使用すること
で認証を回避して管理者権限でアクセスする可能性があります。

対象となるバージョンは以下の通りです。

- Cisco Unified MeetingPlace Web Conferencing サーバの
  ソフトウエアバージョン 6.0 および 7.0

この問題は、Cisco が提供する修正済みのバージョンに Cisco Unified
MeetingPlace Web Conferencing サーバを更新することで解決します。

【5】Cisco ACE Application Control Engine Module および Cisco ACE 4710 Application Control Engine に複数の脆弱性

情報源

US-CERT Current Activity Archive
Cisco Releases Security Advisory for ACE 4710 Appliance and ACE Module
http://www.us-cert.gov/current/archive/2009/02/27/archive.html#cisco_releases_security_advisory_for8

概要

Cisco ACE Application Control Engine Module および Cisco ACE 4710
Application Control Engine には、複数の脆弱性があります。結果と
して、遠隔の第三者がデフォルトのユーザ名とパスワードでアクセスし
たり、権限を昇格したり、サービス運用妨害 (DoS) 攻撃を行ったりす
る可能性があります。

対象となる製品は以下の通りです。

- Cisco ACE Application Control Engine Module
- Cisco ACE 4710 Application Control Engine

この問題は、Cisco が提供する修正済みのバージョンに、該当する製品
を更新することで解決します。詳細については、Cisco が提供する情報
を参照してください。

【6】ソニーのネットワークカメラ SNC シリーズの ActiveX コントロールにバッファオーバーフローの脆弱性

情報源

Japan Vulnerability Notes JVN#16767117
ソニー製ネットワークカメラ SNC シリーズの ActiveX コントロールにおけるバッファオーバーフローの脆弱性
http://jvn.jp/jp/JVN16767117/index.html

概要

ソニーのネットワークカメラ SNC シリーズの ActiveX コントロールに
は、バッファオーバーフローの脆弱性があります。結果として、遠隔の
第三者が細工した HTML 文書を閲覧させることで任意のコードを実行す
る可能性があります。

この問題は、ソニーが提供する修正済みのバージョンに、該当する製品
のファームウェアを更新することで解決します。詳細については、ソニー
が提供する情報を参照してください。なお、該当する ActiveX コント
ロールが PC にインストールされている場合には、その PC でファーム
ウェアを更新した製品に接続して ActiveX コントロールを更新する必
要があります。

【7】HP Virtual Rooms の ActiveX コントロールに脆弱性

情報源

US-CERT Vulnerability Note VU#461321
HP Virtual Rooms ActiveX control fails to restrict access to dangerous methods
http://www.kb.cert.org/vuls/id/461321

概要

HP Virtual Rooms の ActiveX コントロールには、脆弱性があります。
結果として、遠隔の第三者が細工した HTML 文書を閲覧させることで、
ユーザの権限で任意のコードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- HP Virtual Rooms Client 7.0.1 より前のバージョン

この問題は、HP が提供する修正済みのバージョンに HP Virtual Rooms
Client を更新することで解決します。

【8】PEAK XOOPS の piCal にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#91591874
PEAK XOOPS 製 piCal におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN91591874/index.html

概要

PEAK XOOPS が提供する XOOPS 用スケジューラ付カレンダーモジュール
piCal には、クロスサイトスクリプティングの脆弱性があります。結果
として、遠隔の第三者がユーザのブラウザ上で任意のスクリプトを実行
する可能性があります。

対象となるバージョンは以下の通りです。

- piCal Version 0.91h およびそれ以前

この問題は、PEAK XOOPS が提供する修正済みのバージョンに piCal を
更新することで解決します。

■今週のひとくちメモ

○Apache Tomcat のバージョンについて

Apache Tomcat の開発は、複数のバージョンで並行して進められていま
す。現在、安定版としてセキュリティ修正がなされるバージョンは以下
の通りです。

  4.1.x, 5.5.x, 6.0.x

また、新しい機能を取り込んだリリースとして以下のバージョンの開発
が進められています。

  6.2.x, 7.0.x

以下のバージョンはサポートが終了しています。

  3.0.x, 3.1.x, 3.2.x, 4.0.x, 5.0.x

Tomcat を使用する Web アプリケーションの開発者および管理者の方は、
今後の脆弱性対応をスムーズに進めるためにも、現在サポートされてい
る最新バージョンへの移行を検討することをおすすめします。

参考文献 (英語)

Tomcat Wiki
TomcatVersions
http://wiki.apache.org/tomcat/TomcatVersions

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ