-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2010-1901 JPCERT/CC 2010-05-26 <<< JPCERT/CC WEEKLY REPORT 2010-05-26 >>> ―――――――――――――――――――――――――――――――――――――― ■05/16(日)〜05/22(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】Java for Mac OS X に複数の脆弱性 【2】マイクロソフトの Canonical Display Driver に脆弱性 【3】WebSAM DeploymentManager に脆弱性 【4】CapsSuite Small Edition PatchMeister に脆弱性 【5】Interstage Application Server に脆弱性 【今週のひとくちメモ】Mozilla プラグインチェックページ ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2010/wr101901.html https://www.jpcert.or.jp/wr/2010/wr101901.xml ============================================================================ 【1】Java for Mac OS X に複数の脆弱性 情報源 US-CERT Current Activity Archive Apple Releases Updates for Java Mac OS X 10.5 and 10.6 http://www.us-cert.gov/current/archive/2010/05/19/archive.html#apple_releases_updates_for_java 概要 Java for Mac OS X には、複数の脆弱性があります。結果として、遠隔 の第三者が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃 を行ったりする可能性があります。 対象となるバージョンは以下の通りです。 - Java for Mac OS X 10.5 Update 7 より前のバージョン - Java for Mac OS X 10.6 Update 2 より前のバージョン この問題は、Apple が提供する修正済みのバージョンに Java for Mac OS X を更新することで解決します。詳細については、Apple が提供す る情報を参照してください。 関連文書 (日本語) Apple Support HT4170 Java for Mac OS X 10.5 Update 7 のセキュリティコンテンツについて http://support.apple.com/kb/HT4170?viewlocale=ja_JP Apple Support HT4171 Java for Mac OS X 10.6 Update 2 のセキュリティコンテンツについて http://support.apple.com/kb/HT4171?viewlocale=ja_JP 関連文書 (英語) Apple security-announce Mailing List APPLE-SA-2010-05-18-2 Java for Mac OS X 10.5 Update 7 http://lists.apple.com/archives/security-announce/2010/May/msg00002.html Apple security-announce Mailing List APPLE-SA-2010-05-18-1 Java for Mac OS X 10.6 Update 2 http://lists.apple.com/archives/security-announce/2010/May/msg00001.html 【2】マイクロソフトの Canonical Display Driver に脆弱性 情報源 マイクロソフト セキュリティ アドバイザリ (2028859) Canonical Display Driver の脆弱性により、リモートでコードが実行される http://www.microsoft.com/japan/technet/security/advisory/2028859.mspx 概要 マイクロソフトの Canonical Display Driver には、脆弱性があります。 結果として、遠隔の第三者が細工した画像を処理させることで任意のコー ドを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性 があります。 対象となるプラットフォームは以下の通りです。 - Windows 7 for x64-based Systems - Windows Server 2008 R2 for x64-based Systems (Server Core イン ストール以外) - Windows Server 2008 R2 for Itanium-based Systems 2010年5月25日現在、この問題に対するセキュリティ更新プログラムは 提供されていません。回避策としては、Windows Aero のテーマを無効 にするなどの方法があります。詳細については、マイクロソフトが提供 する情報を参照してください。 【3】WebSAM DeploymentManager に脆弱性 情報源 Japan Vulnerability Notes JVN#90872372 WebSAM DeploymentManager におけるサービス運用妨害 (DoS) の脆弱性 https://jvn.jp/jp/JVN90872372/index.html 概要 日本電気のソフトウエア配布管理用製品 WebSAM DeploymentManager に は、脆弱性があります。結果として、遠隔の第三者が「クライアントサー ビス for DPM」をインストールしているサーバまたは端末をシャットダ ウンしたり、再起動したりする可能性があります。 対象となるバージョンは以下の通りです。 - WebSAM DeploymentManager Ver5.13 およびそれ以前 また、本製品を用いる以下の製品も影響を受ける可能性があります。 - SigmaSystemCenter 2.1 Update2 およびそれ以前 - BladeSystemCenter 全バージョン - ExpressSystemCenter 全バージョン - VirtualPCCenter 2.2 およびそれ以前 この問題は、日本電気が提供する修正済みのバージョンに、該当する製 品を更新することで解決します。詳細については、日本電気が提供する 情報を参照してください。 関連文書 (日本語) NEC製品セキュリティ情報 NV10-004 WebSAM DeploymentManagerにおけるサービス運用妨害(DoS)の脆弱性 http://www.nec.co.jp/security-info/secinfo/nv10-004.html 独立行政法人 情報処理推進機構 セキュリティセンター 「WebSAM DeploymentManager」におけるセキュリティ上の弱点(脆弱性)の注意喚起 http://www.ipa.go.jp/about/press/20100517.html 【4】CapsSuite Small Edition PatchMeister に脆弱性 情報源 Japan Vulnerability Notes JVN#82749282 CapsSuite Small Edition PatchMeister におけるサービス運用妨害 (DoS) の脆弱性 https://jvn.jp/jp/JVN82749282/index.html 概要 日本電気のセキュリティパッチ適用管理用製品 CapsSuite Small Edition PatchMeister には、脆弱性があります。結果として、遠隔の 第三者が「クライアントサービス for PTM」をインストールしているサー バまたは端末をシャットダウンしたり、再起動したりする可能性があり ます。 対象となるバージョンは以下の通りです。 - CapsSuite Small Edition PatchMeister Ver2.0 Update2 およびそれ 以前 この問題は、日本電気が提供する修正済みのバージョンに、該当する製 品を更新することで解決します。詳細については、日本電気が提供する 情報を参照してください。 関連文書 (日本語) NEC製品セキュリティ情報 NV10-005 CapsSuite Small Edition PatchMeisterにおけるサービス運用妨害(DoS)の脆弱性 http://www.nec.co.jp/security-info/secinfo/nv10-005.html 独立行政法人 情報処理推進機構 セキュリティセンター 「CapsSuite Small Edition PatchMeister」におけるセキュリティ上の弱点(脆弱性)の注意喚起 http://www.ipa.go.jp/about/press/20100517_2.html 【5】Interstage Application Server に脆弱性 情報源 Japan Vulnerability Notes JVN#90248889 Interstage Application Server におけるリクエスト処理に関する脆弱性 https://jvn.jp/jp/JVN90248889/index.html 概要 富士通が提供する Interstage Application Server に含まれる Servlet サービスには、特定のリクエストが適切に処理されない脆弱性 が存在します。結果として、遠隔の第三者が細工したリクエストを処理 させることで、他のユーザの情報を参照するなどの可能性があります。 詳細については、富士通が提供する情報を参照してください。 関連文書 (日本語) 富士通 Interstage Application Server におけるリクエスト処理に関する脆弱性 http://software.fujitsu.com/jp/security/vulnerabilities/jvn-90248889.html ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○Mozilla プラグインチェックページ Mozilla プロジェクトでは、Firefox にインストールされているプラグ インのバージョンチェックを行う「プラグインチェック」ページを提供 しています。 Firefox 以外のブラウザについても重要なプラグインのバージョンチェッ クが可能になっています。Java や Flash など、攻撃の対象になること が増えているプラグインについては、常に最新版をインストールしてお くことが重要です。 プラグインチェックページにアクセスするだけで手軽に確認できますの で、プラグインのバージョンを意識したことのない方は、一度試してみ るとよいでしょう。 参考文献 (日本語) Mozilla Japan プラグインチェック http://mozilla.jp/firefox/security/plugincheck/ 参考文献 (英語) Mozilla Plugin Check More Info http://www.mozilla.com/en-US/plugincheck/more_info.html Mozilla Security Blog Plugin Check for Everyone http://blog.mozilla.com/security/2010/05/11/plugin-check-for-everyone/ ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2010 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJL/HOJAAoJEDF9l6Rp7OBIx3YH/RQcscl8rDCnAoMIIhndc3U9 r4XUJhz6ShFIfVbFStDL22sXHWtz4tXGgF82hM54uNQzP+aR15EXjVVMG1eyqMp3 rKXBnz9VYZscIBXzB1V5KakmcCPSBM+zm9v2l0Rjht9NEl7sKlTNro33UqSqIEAu pSGVzgG3/AM4cFSm9QkLLi9AccnWw9yF1/Qqor9fJBdQtG9chsdIViw/QpCuUAxp Rn6KoIgCEwIsJ9lb9/0T9ncYr51K88jsa9+FvmF8Bha8PdOhccFV1HCmAC3+3Ogd vKfKHLgk5h0LMTDpNugEFtnuhNVgm6HHCMxolpMtBAt2/Dl/6daYePclVno0PiE= =TZ+s -----END PGP SIGNATURE-----