-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2015-0201 JPCERT/CC 2015-01-15 <<< JPCERT/CC WEEKLY REPORT 2015-01-15 >>> ―――――――――――――――――――――――――――――――――――――― ■01/04(日)〜01/10(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】OpenSSL に複数の脆弱性 【2】Intel Corporation 製チップセットに脆弱性 【3】複数の UEFI システムの boot script が適切に保護されていない問題 【4】UEFI EDK1 にバッファオーバーフローの脆弱性 【今週のひとくちメモ】「脆弱性診断士（Web アプリケーション）スキルマップ」が公開 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2015/wr150201.html https://www.jpcert.or.jp/wr/2015/wr150201.xml ============================================================================ 【1】OpenSSL に複数の脆弱性 情報源 US-CERT Current Activity OpenSSL Patches Eight Vulnerabilities https://www.us-cert.gov/ncas/current-activity/2015/01/08/OpenSSL-Patches-Eight-Vulnerabilities 概要 OpenSSL には、複数の脆弱性があります。結果として、遠隔の第三者が、サー ビス運用妨害 (DoS) 攻撃を行うなどの可能性があります。 対象となるバージョンは以下の通りです。 - OpenSSL 1.0.1k より前のバージョン - OpenSSL 1.0.0p より前のバージョン - OpenSSL 0.9.8zd より前のバージョン この問題は、使用している OS のベンダや配布元が提供する修正済みのバージョン に OpenSSL を更新することで解決します。詳細については、開発者が提供する 情報を参照して下さい。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#98974537 OpenSSL に複数の脆弱性 https://jvn.jp/vu/JVNVU98974537/ 関連文書 (英語) OpenSSL Project OpenSSL Security Advisory [08 Jan 2015] https://www.openssl.org/news/secadv_20150108.txt 【2】Intel Corporation 製チップセットに脆弱性 情報源 CERT/CC Vulnerability Note VU#766164 Intel BIOS locking mechanism contains race condition that enables write protection bypass https://www.kb.cert.org/vuls/id/766164 概要 BIOS ロッキングメカニズムとして BIOS_CNTL.BIOSWE と BIOS_CNTL.BLE のみ を使用する Intel Corporation 製チップセットには、脆弱性があります。結果 として、システムに物理的にアクセス可能なユーザが、ファームウェアを改ざん したり、Secure Boot を回避したりするなどの可能性があります。 2015年1月9日現在、影響を受けることが確認されている製品の開発者は、以下 の通りです。 - American Megatrends Incorporated (AMI) - Phoenix Technologies Ltd. この問題は、開発者が提供する修正済みのバージョンにファームウェアを更新 することで解決します。詳細については、開発者が提供する情報を参照して下 さい。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#96159942 Intel BIOS ロッキングメカニズムに競合状態の脆弱性 https://jvn.jp/vu/JVNVU96159942/ 【3】複数の UEFI システムの boot script が適切に保護されていない問題 情報源 CERT/CC Vulnerability Note VU#976132 Some UEFI systems do not properly secure the EFI S3 Resume Boot Path boot script https://www.kb.cert.org/vuls/id/976132 概要 複数の UEFI システムには、EFI S3 Resume Boot Path で使用される boot script が適切に保護されていない問題があります。結果として、システムに物理的に アクセス可能なユーザが、ファームウェアを改ざんしたり、Secure Boot を回 避したりするなどの可能性があります。 2015年1月9日現在、影響を受けることが確認されている製品の開発者は、以下 の通りです。 - American Megatrends Incorporated (AMI) - Intel Corporation - Phoenix Technologies Ltd. この問題は、開発者が提供する修正済みのバージョンにファームウェアを更新 することで解決します。詳細については、開発者が提供する情報を参照して下 さい。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#91050570 複数の UEFI システムにおいて EFI S3 Resume BootPath で使われる boot script が適切に保護されていない問題 https://jvn.jp/vu/JVNVU91050570/ 関連文書 (英語) Intel Corporation BIOS Security Updates for Multiple Issues https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00041&languageid=en-fr 【4】UEFI EDK1 にバッファオーバーフローの脆弱性 情報源 CERT/CC Vulnerability Note VU#533140 Tianocore UEFI implementation reclaim function vulnerable to buffer overflow https://www.kb.cert.org/vuls/id/533140 概要 UEFI EDK1 の /source/Sample/Universal/Variable/RuntimeDxe/FS/FSVariable.c には、バッファオーバーフローの脆弱性があります。結果として、システムに 物理的にアクセス可能なユーザが、ファームウェアを改ざんしたり、Secure Boot を回避したりするなどの可能性があります。 2015年1月9日現在、影響を受けることが確認されている製品の開発者は、以下 の通りです。 - Insyde Software Corporation この問題は、開発者が提供する修正済みのバージョンにファームウェアを更新 することで解決します。詳細については、開発者が提供する情報を参照して下 さい。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#91111635 UEFI EDK1 にバッファオーバーフローの脆弱性 https://jvn.jp/vu/JVNVU91111635/ ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○「脆弱性診断士（Web アプリケーション）スキルマップ」が公開 2014年12月24日、日本セキュリティオペレーション事業者協議会 (ISOG-J) と OWASP (The Open Web Application Security Project) Japan との共同による 「脆弱性診断士（Web アプリケーション）スキルマップ」が公開されました。 このスキルマップは、Web アプリケーションの脆弱性診断に関する技術や法律 などの 7つの分野について、脆弱性診断を行う個人の技術的な能力を具体化す ることを目的としています。 参考文献 (日本語) 日本ネットワークセキュリティ協会 (JNSA) 『脆弱性診断士（Web アプリケーション）スキルマップ』を公開 http://www.jnsa.org/press/2014/141224.pdf 日本セキュリティオペレーション事業者協議会 (ISOG-J) 脆弱性診断士（Web アプリケーション）スキルマップについて http://isog-j.org/output/2014/about-pentester-web-skillmap-201412.pdf 日本セキュリティオペレーション事業者協議会 (ISOG-J) 脆弱性診断士（Webアプリケーション）スキルマップ Ver.1.0 http://isog-j.org/output/2014/pentester-web-skillmap-201412.pdf ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2015 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJUtfX/AAoJEDF9l6Rp7OBIgHMH/RbBAtWGrAUqVPA+Mw7SMkUg aOu5tCM4mKHtMSeKZ6SNsYbX9+HtyUJ4m1AivOPz+smgOyL7M1yPBkvH2HRyiLmk KqyMBznYNJLPcvzynKaCXkUX+OqEPWT9C/7ZmafcoXLvdeXlqYL+R0hHLHY+ZF0k znbm/vtMLpcKuz3f1B6R4nlu5mYToAjI9ksqVutAM/qskc0L7V3SAYCtkqu597Ob 1dADeKhDUcP3x7W3OU+BJFf1WlhijtLll3Wt+wz1eE/sV9Z/e6B8pPWc7Fph83eR aEWjh64OnoGMiG2nwXQHKQ4W5yvfcynLdfMXifOdGJjfirinBN+HEK/T5GTCiKk= =jpqQ -----END PGP SIGNATURE-----