JPCERT-WR-2009-2001 2009-05-27 2009-05-17 2009-05-23

US-CERT Vulnerability Note VU#787932 http://www.kb.cert.org/vuls/id/787932 DOE-CIRC Technical Bulletin T-137 http://www.doecirc.energy.gov/bulletins/t-137.shtml

Microsoft Internet Information Services (IIS) の WebDAV 機能には、 Unicode トークンの処理に起因する脆弱性があります。結果として、遠 隔の第三者が細工したリクエストを処理させることで、アクセス制御を 回避してファイルをダウンロードしたり、改ざんしたりするなどの可能 性があります。 対象となるバージョンは以下の通りです。 - Microsoft Internet Information Services 5.0 - Microsoft Internet Information Services 5.1 - Microsoft Internet Information Services 6.0 2009年5月26日現在、この問題に対するセキュリティ更新プログラムは 提供されていません。回避策としては、WebDAV を無効化する、外部か らの HTTP リクエストをフィルタリングする、ファイルシステムの ACL を変更するなどの方法があります。

マイクロソフト セキュリティ アドバイザリ (971492) http://www.microsoft.com/japan/technet/security/advisory/971492.mspx Japan Vulnerability Notes JVNVU#787932 http://jvn.jp/cert/JVNVU787932/index.html

US-CERT Vulnerability Note VU#853097 http://www.kb.cert.org/vuls/id/853097 DOE-CIRC Technical Bulletin T-138 http://www.doecirc.energy.gov/bulletins/t-138.shtml

ntpd には、バッファオーバーフローの脆弱性があります。結果として、 遠隔の第三者が細工したパケットを処理させることで、ntpd を実行す るユーザの権限で任意のコードを実行する可能性があります。なお、こ の問題は、ntpd が OpenSSL サポート付きでコンパイルされ、autokey が有効な場合にのみ影響します。 対象となるバージョンは以下の通りです。 - NTP 4.2.4p7 より前のバージョン - NTP 4.2.5p74 より前のバージョン この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに ntpd を更新することで解決します。詳細については、ベ ンダや配布元が提供する情報を参照してください。

Japan Vulnerability Notes JVNVU#853097 http://jvn.jp/cert/JVNVU853097/index.html ntp.org http://www.ntp.org/downloads.html ntp.org http://support.ntp.org/bin/view/Main/SecurityNotice#Remote_exploit_if_autokey_is_ena Red Hat Security Advisory RHSA-2009:1039-1 https://rhn.redhat.com/errata/RHSA-2009-1039.html Red Hat Security Advisory RHSA-2009:1040-1 https://rhn.redhat.com/errata/RHSA-2009-1040.html Debian Security Advisory DSA-1801-1 http://www.debian.org/security/2009/dsa-1801

US-CERT Current Activity Archive http://www.us-cert.gov/current/archive/2009/05/22/archive.html#cisco_releases_security_advisory_for10 DOE-CIRC Technical Bulletin T-140 http://www.doecirc.energy.gov/bulletins/t-140.shtml

CiscoWorks Common Services の TFTP サービスには、ディレクトリト ラバーサルの脆弱性があります。結果として、遠隔の第三者がアプリケー ションやホストオペレーティングシステムのファイルに変更を加える可 能性があります。 対象となる製品およびバージョンは以下の通りです。 - CiscoWorks Common Services 3.0.x, 3.1.x, および 3.2.x この問題は、Cisco が提供する修正済みのバージョンに、CiscoWorks Common Services を更新することで解決します。詳細については、 Cisco が提供する情報を参照してください。

Cisco Security Advisory cisco-sa-20090520-cw http://www.cisco.com/warp/public/707/cisco-sa-20090520-cw.shtml

US-CERT Vulnerability Note VU#710316 http://www.kb.cert.org/vuls/id/710316

NLnet Labs が提供する Name Server Daemon (NSD) には、バッファオー バーフローの脆弱性があります。結果として、遠隔の第三者が細工した パケットを処理させることで、サービス運用妨害 (DoS) 攻撃を行う可 能性があります。 対象となるバージョンは以下の通りです。 - NSD 2.0.0 から 3.2.1 まで この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに NSD を更新することで解決します。詳細については、ベ ンダや配布元が提供する情報を参照してください。

Japan Vulnerability Notes JVNVU#710316 http://jvn.jp/cert/JVNVU710316/index.html NLnet Labs http://www.nlnetlabs.nl/publications/NSD_vulnerability_announcement.html Debian Security Advisory DSA-1803-1 http://www.debian.org/security/2009/dsa-1803

US-CERT Current Activity Archive http://www.us-cert.gov/current/archive/2009/05/22/archive.html#novell_releases_updates_for_groupwise1 DOE-CIRC Technical Bulletin T-141 http://www.doecirc.energy.gov/bulletins/t-141.shtml

Novell GroupWise には、複数の脆弱性があります。結果として、遠隔 の第三者が任意のコードを実行したり、認証を回避したり、ユーザのブ ラウザ上で任意のスクリプトを実行したりする可能性があります。 対象となる製品およびバージョンは以下の通りです。 - GroupWise Internet Agent - GroupWise WebAccess - GroupWise 7.0 から 7.03 HP2 まで - GroupWise 8.0 から 8.0.0 HP1 まで この問題は、Novell が提供する修正済みのバージョンに、該当する製 品を更新することで解決します。詳細については、Novell が提供する 情報を参照してください。

Novell Support 7003271 http://www.novell.com/support/viewContent.do?externalId=7003271 Novell Support 7003268 http://www.novell.com/support/viewContent.do?externalId=7003268 Novell Support 7003267 http://www.novell.com/support/viewContent.do?externalId=7003267 Novell Support 7003266 http://www.novell.com/support/viewContent.do?externalId=7003266 Novell Support 7003273 http://www.novell.com/support/viewContent.do?externalId=7003273 Novell Support 7003272 http://www.novell.com/support/viewContent.do?externalId=7003272

Japan Vulnerability Notes JVN#42927215 http://jvn.jp/jp/JVN42927215/index.html

有限会社アップルップルの a-News には、クロスサイトスクリプティン グの脆弱性があります。結果として、遠隔の第三者がユーザのブラウザ 上で任意のスクリプトを実行する可能性があります。 対象となる製品は以下の通りです。 - a-News a-News は 2009年5月14日をもって、公開およびメンテナンスを終了し ています。配布元は、同等の機能が実装された a-blog の使用を推奨し ています。

有限会社アップルップル http://www.appleple.com/news/index.php?ID=170

JPCERT/CC https://www.jpcert.or.jp/research/index.html#SecureDesignPatterns

ソフトウエア設計工程における脆弱性低減策の一つとして、一連の「セ キュアデザインパターン」を定義した技術報告書を公開しました。 ソフトウエア製品の開発者がより安全なソフトウエア製品を提供するた めの参考資料としてご活用ください。 なお、日本語版は 6月公開の予定です。

Red Hat Enterprise Linux 2.1 のサポート終了が 2009年5月31日に予 定されています。サポート終了後はセキュリティの問題やクリティカル なバグに対しても修正プログラムは提供されません。 Red Hat Enterprise Linux 2.1 を使用している管理者は、新しいバー ジョンへの移行を検討してください。なお、Red Hat 製品ライフサイク ルの詳細については、下記関連文書を参照してください。 Red Hat http://www.redhat.co.jp/security/updates/errata/