JPCERT コーディネーションセンター

安全・安心なIT社会のための、国内・国際連携を支援する

お問い合わせ 採用情報 サイトマップ English

Home > 情報提供 > Weekly Report > 2012 > Weekly Report 2012-10-17号

最終更新: 2012-10-17

Weekly Report 2012-10-17号


JPCERT-WR-2012-4001
JPCERT/CC
2012-10-17

<<< JPCERT/CC WEEKLY REPORT 2012-10-17 >>>

■10/07(日)〜10/13(土) のセキュリティ関連情報

目 次

【1】Microsoft の複数の製品に脆弱性

【2】Adobe Flash Player に複数の脆弱性

【3】ISC BIND にサービス運用妨害 (DoS) の脆弱性

【4】Mozilla 製品群に複数の脆弱性

【5】Smarty にクロスサイトスクリプティングの脆弱性

【6】Cisco Firewall Services Module に複数の脆弱性

【7】Java セキュアコーディングセミナー@福岡 参加者募集開始

【今週のひとくちメモ】マイクロソフトセキュリティインテリジェンスレポート 第13版

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2012/wr124001.txt
https://www.jpcert.or.jp/wr/2012/wr124001.xml

【1】Microsoft の複数の製品に脆弱性

情報源

US-CERT Alert (TA12-283A)
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA12-283A.html

概要

Microsoft の複数の製品には脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を実行したりする可
能性があります。

対象となる製品は以下の通りです。

- Microsoft Windows
- Microsoft Office
- Microsoft サーバー ソフトウェア
- Microsoft Lync
- Microsoft SQL Server

この問題は、Microsoft Update などを用いて、セキュリティ更新プログラムを
適用することで解決します。詳細については、Microsoft が提供する情報を参
照して下さい。

関連文書 (日本語)

Japan Vulnerability Notes JVNTA12-283A
Microsoft 製品における複数の脆弱性に対するアップデート
https://jvn.jp/cert/JVNTA12-283A/index.html

Microsoft セキュリティ TechCenter
2012 年 10 月のセキュリティ情報
http://technet.microsoft.com/ja-jp/security/bulletin/ms12-oct

JPCERT/CC Alert 2012-10-10 JPCERT-AT-2012-0032
2012年10月 Microsoft セキュリティ情報 (緊急 1件含) に関する注意喚起
https://www.jpcert.or.jp/at/2012/at120032.html

警察庁 @police
マイクロソフト社のセキュリティ修正プログラムについて(MS12-064,065,066,067,068,069,070)
http://www.npa.go.jp/cyberpolice/topics/?seq=10194

【2】Adobe Flash Player に複数の脆弱性

情報源

Adobe Security Bulletin
Security updates available for Adobe Flash Player
http://www.adobe.com/support/security/bulletins/apsb12-22.html

概要

Adobe Flash Player には複数の脆弱性があります。結果として、第三者が細工
したコンテンツをユーザに開かせることで、任意のコードを実行したり、サー
ビス運用妨害 (DoS) 攻撃を行ったりする可能性があります。

対象となるバージョンは以下の通りです。

- Windows 版 Flash Player 11.4.402.278 およびそれ以前
- Macintosh 版 Flash Player 11.4.402.265 およびそれ以前
- Linux 版 Flash Player 11.2.202.238 およびそれ以前
- Android 4.x 版 Flash Player 11.1.115.17 およびそれ以前
- Android 3.x/2.x 版 Flash Player 11.1.111.16 およびそれ以前
- Windows、Macintosh 版 Adobe AIR 3.4.0.2540 およびそれ以前
- Adobe AIR 3.4.0.2540 SDK (AIR for iOS を含む) およびそれ以前
- Android 版 Adobe AIR 3.4.0.2540 およびそれ以前

この問題は、Adobe が提供する修正済みのバージョンに Adobe Flash Player
および Adobe AIR を更新することで解決します。詳細については、Adobe が提
供する情報を参照して下さい。

関連文書 (日本語)

Adobe Flash Player Help
APSB12-22: Adobe Flash Player に関するセキュリティアップデート公開
http://helpx.adobe.com/jp/flash-player/kb/cq10081118.html

マイクロソフト セキュリティ アドバイザリ (2755801)
Internet Explorer 10 上の Adobe Flash Player の脆弱性用の更新プログラム
http://technet.microsoft.com/ja-jp/security/advisory/2755801

警察庁 @police
アドビシステムズ社の Adobe Flash Player のセキュリティ修正プログラムについて
https://www.npa.go.jp/cyberpolice/topics/?seq=10184

独立行政法人情報処理推進機構 (IPA)
Adobe Flash Player の脆弱性対策について(APSB12-22)(CVE-2012-5248等)
http://www.ipa.go.jp/security/ciadr/vul/20121009-adobeflashplayer.html

JPCERT/CC Alert 2012-10-09 JPCERT-AT-2012-0031
Adobe Flash Player の脆弱性 (APSB12-22) に関する注意喚起
https://www.jpcert.or.jp/at/2012/at120031.html

【3】ISC BIND にサービス運用妨害 (DoS) の脆弱性

情報源

ISC Knowledge Base
CVE-2012-5166: Specially crafted DNS data can cause a lockup in named
https://kb.isc.org/article/AA-00801

概要

ISC BIND には、脆弱性があります。結果として、遠隔の第三者がサービス運用
妨害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは以下の通りです。

- ISC BIND 9.2 以降のすべての ISC BIND 9

この問題は、使用している OS のベンダや配布元が提供する修正済みのバージョ
ンに BIND を更新することで解決します。詳細については、ISC が提供する情
報を参照して下さい。

関連文書 (日本語)

株式会社日本レジストリサービス (JPRS)
(緊急)BIND 9.xの脆弱性(サービス停止)について(2012年10月10日公開)
http://jprs.jp/tech/security/2012-10-10-bind9-vuln-rr-combination.html

JPCERT/CC Alert 2012-10-10 JPCERT-AT-2012-0033
ISC BIND 9 サービス運用妨害の脆弱性 (CVE-2012-5166) に関する注意喚起
https://www.jpcert.or.jp/at/2012/at120033.html

【4】Mozilla 製品群に複数の脆弱性

情報源

JC3 Bulletin
V-001: Mozilla Security vulnerabilities
http://energy.gov/cio/articles/v-001-mozilla-security-vulnerabilities

概要

Mozilla 製品群には、複数の脆弱性があります。結果として、遠隔の第三者が
任意のコードを実行したり、機密情報を取得したりする可能性があります。

対象となるバージョンは以下の通りです。

- Mozilla Firefox 16.0.1 より前のバージョン
- Mozilla Firefox ESR 10.0.9 より前のバージョン
- Mozilla Thunderbird 16.0.1 より前のバージョン
- Mozilla Thunderbird ESR 10.0.9 より前のバージョン
- Mozilla SeaMonkey 2.13.1 より前のバージョン

この問題は、Mozilla が提供する修正済みのバージョンに該当する製品を更新
することで解決します。詳細については、Mozilla が提供する情報を参照して
下さい。

関連文書 (日本語)

Mozilla Foundation
セキュリティアドバイザリ
http://www.mozilla-japan.org/security/announce/

【5】Smarty にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#63650108
Smarty におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN63650108/index.html

概要

Smarty には、クロスサイトスクリプティングの脆弱性があります。結果として、
遠隔の第三者がユーザのブラウザ上で任意のスクリプトを実行する可能性があ
ります。

対象となるバージョンは以下の通りです。

- Smarty 3.1.11 およびそれ以前
- Smarty 2.6.26 およびそれ以前

この問題は、Smarty が提供する修正済みのバージョンに Smarty を更新するこ
とで解決します。詳細については、Smarty が提供する情報を参照して下さい。

関連文書 (日本語)

独立行政法人情報処理推進機構 (IPA)
「Smarty」におけるクロスサイト・スクリプティングの脆弱性
http://jvndb.jvn.jp/ja/contents/2012/JVNDB-2012-000094.html

関連文書 (英語)

Smarty
Smarty 3.1.12 and Smarty 2.6.27 Released
http://www.smarty.net/

【6】Cisco Firewall Services Module に複数の脆弱性

情報源

JC3 Bulletin
U-279: Cisco Firewall Services Module Bugs Let Remote Users Execute Arbitrary Code and Deny Service
http://energy.gov/cio/articles/u-279-cisco-firewall-services-module-bugs-let-remote-users-execute-arbitrary-code-and

概要

Cisco Firewall Services Module (FWSM) には、複数の脆弱性があります。結
果として、遠隔の第三者が任意のコードを実行したり、サービス運用妨害
(DoS) 攻撃を行ったりする可能性があります。

対象となるバージョンは以下の通りです。

- FWSM バージョン 4.1(9) より前の 4.1 系

この問題は、Cisco が提供する修正済みのバージョンに FWSM を更新すること
で解決します。詳細については、Cisco が提供する情報を参照して下さい。

関連文書 (日本語)

Cisco Security Advisory
Multiple Vulnerabilities in Cisco Firewall Services Module
http://www.cisco.com/cisco/web/support/JP/111/1116/1116640_cisco-sa-20121010-fwsm-j.html

関連文書 (英語)

Cisco Security Advisory
Multiple Vulnerabilities in Cisco Firewall Services Module
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20121010-fwsm

【7】Java セキュアコーディングセミナー@福岡 参加者募集開始

情報源

JPCERT/CC
Java セキュアコーディングセミナー@福岡のご案内
https://www.jpcert.or.jp/event/securecoding-FUK201212-seminar.html

概要

JPCERT コーディネーションセンターは、学生等の若年層向けに、Java 言語で
脆弱性を含まない安全なプログラムをコーディングする具体的なテクニックと
ノウハウを学んでいただく「Java セキュアコーディングセミナー」を開催して
います。このセミナーは、講義とハンズオン演習を組み合わせ、Java セキュア
コーディングについて、より実践的に学んでいただける内容となっています。

このたび、福岡を会場として開催する「Java セキュアコーディングセミナー
@福岡」の参加者募集を開始しました。参加者多数の場合はお申し込み先着順
となります。ふるってご参加ください。

        [日時] 2012年12月9日(日) 10:30 - 16:00
        [会場] リファレンス駅東ビル 会議室D
               福岡市博多区博多駅東1丁目16-14
               (MAP) http://www.re-rental.com/map.html
        [定員] 40名
        [参加費用] 無料

        [内容] Java言語とセキュリティ、脆弱性を取り巻く現状の認識
                「オブジェクトの生成とセキュリティ」
                「リソース消費攻撃とその対策」
                Javaにおける脆弱なコーディングの事例の解説
                クイズおよびハンズオン

関連文書 (日本語)

JPCERT/CC
Java セキュアコーディングセミナー@福岡 お申し込み
https://www.jpcert.or.jp/event/securecoding-FUK201212-application.html

■今週のひとくちメモ

○マイクロソフトセキュリティインテリジェンスレポート 第13版

マイクロソフトは、2012年上半期の脆弱性やマルウエア動向についてまとめた
マイクロソフトセキュリティインテリジェンスレポートを公開しました。セキュ
リティインテリジェンスレポートは、半年ごとに公開されており、今回は第13
版となります。

今回のレポートでは、"Mitigating risk" というセクションが設けられ、クロ
スサイトスクリプティングや "pass-the-hash" 攻撃に対する対策について解説
されています。

参考文献 (日本語)

マイクロソフト セキュリティ
マイクロソフト セキュリティ インテリジェンス レポート
http://www.microsoft.com/ja-jp/security/resources/sir.aspx

参考文献 (英語)

Microsoft
Security Intelligence Report (SIR) vol.13
http://www.microsoft.com/security/sir/default.aspx

■JPCERT/CC からのお願い

  • 本レポートに関するお問い合わせは editor@jpcert.or.jp 宛 にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
    https://www.jpcert.or.jp/wr/
  • 本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
    https://www.jpcert.or.jp/announce.html
  • JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
    https://www.jpcert.or.jp/form/

Topへ

CSIRTマテリアル
STOP!!パスワード使い回し!!キャンペーン2016
CSIRTマテリアル
Follow jpcert on Twitter
blog_banner_english