JPCERT-WR-2010-4601 2010-12-01 2010-11-21 2010-11-27

US-CERT Current Activity Archive http://www.us-cert.gov/current/archive/2010/11/23/archive.html#apple_releases_ios_4_2

Apple iOS には、複数の脆弱性があります。結果として、遠隔の第三者 が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行った り、権限を昇格したりする可能性があります。 対象となるバージョンは以下の通りです。 - iPhone 3G およびそれ以降の iOS 2.0 から 4.1 - iPod touch (2nd generation) およびそれ以降の iOS 2.1 から 4.1 - iPad の iOS 3.2 から 3.2.2 この問題は、Apple が提供する修正済みのバージョンに iOS を更新す ることで解決します。詳細については、Apple が提供する情報を参照し てください。

Apple Support HT4456 http://support.apple.com/kb/HT4456?viewlocale=en_US

US-CERT Vulnerability Note VU#529673 http://www.kb.cert.org/vuls/id/529673

Microsoft Windows には、レジストリキーの処理に起因するバッファオー バーフローの脆弱性があります。結果として、ローカルユーザが細工し たレジストリキーを処理させることで、権限を昇格したり、任意のコー ドを実行したりする可能性があります。なお、本脆弱性を使用する攻撃 コードが公開されています。 対象となるプラットフォームは以下の通りです。 - Microsoft Windows 2010年11月30日現在、この問題に対する解決策は提供されていません。 回避策としては、レジストリキーへのアクセスを制限するなどの方法が あります。

Japan Vulnerability Notes JVNVU#529673 https://jvn.jp/cert/JVNVU529673/index.html MSDN http://msdn.microsoft.com/library/dd317836%28v=VS.85%29.aspx

US-CERT Vulnerability Note VU#222657 http://www.kb.cert.org/vuls/id/222657

RealFlex RealWin HMI サービスには、複数のバッファオーバーフロー の脆弱性があります。RealFlex RealWin HMI サービスにアクセス可能 な第三者が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃 を行ったりする可能性があります。 対象となるバージョンは以下の通りです。 - RealWin 2.1.10 (2.1 Build 6.1.10.10) より前のバージョン この問題は、RealFlex Technologies が提供する修正済みのバージョン に RealWin を更新することで解決します。詳細については、RealFlex Technologies が提供する情報を参照してください。

Japan Vulnerability Notes JVNVU#222657 https://jvn.jp/cert/JVNVU222657/index.html RealFlex Technologies (登録が必要です) http://cs.realflex.com/cs/index.ssp RealFlex Technologies http://www.realflex.com/ ICS-CERT ICSA-10-313-01 http://www.us-cert.gov/control_systems/pdf/ICSA-10-313-01.pdf

US-CERT Vulnerability Note VU#479051 http://www.kb.cert.org/vuls/id/479051

OSIsoft PI Server の認証処理には、脆弱性があります。結果として、 PI Server にアクセス可能な第三者がデータベースにアクセスする可能 性があります。 対象となるバージョンは以下の通りです。 - PI Server 3.4.380.36 より前のバージョン この問題は、OSIsoft が提供する修正済みのバージョンに PI Server を更新することで解決します。詳細については、OSIsoft が提供する情 報を参照してください。

Japan Vulnerability Notes JVNVU#479051 https://jvn.jp/cert/JVNVU479051/index.html OSIsoft (登録が必要です) http://techsupport.osisoft.com/ OSIsoft (登録が必要です) http://techsupport.osisoft.com/Knowledge%20Center/Knowledge%20Center.htm

JPCERT/CC https://www.jpcert.or.jp/event/securecoding-TKO-seminar.html

JPCERT コーディネーションセンターは、C/C++ 言語で脆弱性を含まな い安全なプログラムをコーディングする具体的なテクニックとノウハウ を学んでいただく「C/C++ セキュアコーディングセミナー」を開催して います。 東京を会場にしたセミナーでは、12月に開催する part5 の参加者を募 集中です。part5 でとりあげるトピックは書式指定文字列です。皆様の ご参加をお待ちしています。 [日時] part5 ＜書式指定文字列＞ 2010年12月15日(水) 13:00 - 受付開始 13:30 - 16:00 書式指定文字列 - 講義 16:00 - 18:15 書式指定文字列 - 演習 [会場] 株式会社インターネットイニシアティブ大会議室1 東京都千代田区神田神保町1-105 神保町三井ビルディング 17階 (MAP) https://www.jpcert.or.jp/event/img/seminar_map.gif [定員]　70名／回 (参加者多数の場合はお申し込み先着順となります) [対象]　C/C++言語でのソフトウェア開発に携わるプログラマ、プロ ジェクトマネージャ、コードレビュアー、品質管理担当者、 プログラマ・エンジニアの教育担当者など

JPCERT/CC https://www.jpcert.or.jp/event/securecoding-TKO-application.html

Microsoft は、Windows 上で動作するアプリケーションの脆弱性の影響 を緩和するためのツール (Enhanced Mitigation Evaluation Toolkit: 以下 EMET) を公開しています。EMET の最新版は 2.0.0.3 で、GUI か ら設定が行えるようになっています。 これまでに見つかった脆弱性のなかで、EMET を利用することで実際に マルウエア等の影響を回避できるケースがあることを、JPCERT/CC では 確認しています。 EMET には脆弱性の影響を緩和するための複数の機能が実装されていま すが、使用しているハードウエアや OS のバージョンによって、利用で きる機能が異なります。新しいハードウエアや OS のバージョンでは、 よりセキュアな設定にすることが可能です。なお、アプリケーションに よっては、EMET を動作させることで副作用が発生する場合があります。 業務環境で使用する場合には、事前にテストすることをおすすめします。 Microsoft セキュリティ TechCenter Web セミナー http://technet.microsoft.com/ja-jp/security/gg443928.aspx マイクロソフト サポート オンライン http://support.microsoft.com/kb/2458544/ja