-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2015-3501 JPCERT/CC 2015-09-09 <<< JPCERT/CC WEEKLY REPORT 2015-09-09 >>> ―――――――――――――――――――――――――――――――――――――― ■08/30(日)〜09/05(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】ISC BIND9 にサービス運用妨害 (DoS) の脆弱性 【2】PowerDNS に脆弱性 【3】PHP に複数の脆弱性 【4】Apache Struts にクロスサイトスクリプティングの脆弱性 【5】複数の Cisco 製品に脆弱性 【6】UPnP を実装した複数のルータ製品にセキュリティ機能の実装が不十分な問題 【7】Seagate wireless hard-drive 製品に複数の脆弱性 【8】desknet's NEO にディレクトリトラバーサルの脆弱性 【9】OrientDB および OrientDB Studio に複数の脆弱性 【10】OpenDocMan におけるクロスサイトスクリプティングの脆弱性 【今週のひとくちメモ】警察庁「平成27年上半期のインターネットバンキンクに係る不正送金事犯の発生状況等について」公開 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2015/wr153501.html https://www.jpcert.or.jp/wr/2015/wr153501.xml ============================================================================ 【1】ISC BIND9 にサービス運用妨害 (DoS) の脆弱性 情報源 US-CERT Current Activity Internet Systems Consortium (ISC) Releases Security Updates for BIND https://www.us-cert.gov/ncas/current-activity/2015/09/02/Internet-Systems-Consortium-ISC-Releases-Security-Updates-BIND 概要 ISC BIND 9 には、複数の脆弱性があります。結果として、遠隔の第三者が、サー ビス運用妨害 (DoS) 攻撃を行う可能性があります。 対象となる製品およびバージョンは以下の通りです。 - BIND 9.0.0 から 9.8.8 まで - BIND 9.9.0 から 9.9.7-P2 まで - BIND 9.10.0 から 9.10.2-P3 まで この問題は、ISC が提供する修正済みのバージョンに BIND 9 を更新すること で解決します。詳細は、ISC が提供する情報を参照してください。 関連文書 (日本語) 株式会社日本レジストリサービス (JPRS) （緊急）BIND 9.10.2/9.9.7の脆弱性（DNSサービスの停止）について（2015年9月3日公開） http://jprs.jp/tech/security/2015-09-03-bind9-vuln-openpgpkey.html 株式会社日本レジストリサービス (JPRS) （緊急）BIND 9.xの脆弱性（DNSサービスの停止）について（2015年9月3日公開） http://jprs.jp/tech/security/2015-09-03-bind9-vuln-dnskey.html Japan Vulnerability Notes JVNVU#91383623 ISC BIND 9 に複数の脆弱性 https://jvn.jp/vu/JVNVU91383623/ JPCERT/CC Alert 2015-09-03 ISC BIND 9 サービス運用妨害の脆弱性 (CVE-2015-5986) に関する注意喚起 https://www.jpcert.or.jp/at/2015/at150031.html 関連文書 (英語) ISC Knowledge Base CVE-2015-5722: Parsing malformed keys may cause BIND to exit due to a failed assertion in buffer.c https://kb.isc.org/article/AA-01287/ ISC Knowledge Base CVE-2015-5986: An incorrect boundary check can trigger a REQUIRE assertion failure in openpgpkey_61.c https://kb.isc.org/article/AA-01291/ 【2】PowerDNS に脆弱性 情報源 株式会社日本レジストリサービス(JPRS) PowerDNS Authoritative Serverの脆弱性（DNS応答性能の劣化またはDNSサービスの停止）について（2015年9月3日公開） http://jprs.jp/tech/security/2015-09-03-powerdns-vuln-packetparsing.html 概要 PowerDNS には、脆弱性があります。結果として、遠隔の第三者が、サービ ス運用妨害 (DoS) 攻撃を行う可能性があります。 対象となるバージョンは以下の通りです。 - PowerDNS Authoritative Server 3.4.0 から 3.4.5 までのバージョン この問題は、開発者が提供する修正済みのバージョンに PowerDNS を更新する ことで解決します。詳細は、開発者が提供する情報を参照してください。 関連文書 (英語) PowerDNS Security Advisory 2015-02 PowerDNS Security Advisory 2015-02: Packet parsing bug can cause thread or process abortion https://doc.powerdns.com/md/security/powerdns-advisory-2015-02/ 【3】PHP に複数の脆弱性 情報源 PHP Group PHP 5.6.13 is available http://php.net/archive/2015.php#id2015-09-04-2 PHP Group PHP 5.5.29 is available http://php.net/archive/2015.php#id2015-09-04-3 PHP Group PHP 5.4.45 Released http://php.net/archive/2015.php#id2015-09-04-4 概要 PHP には、複数の脆弱性があります。結果として、遠隔の第三者が、任意のコー ドを実行するなどの可能性があります。 対象となるバージョンは以下の通りです。 - PHP 5.6.13 より前のバージョン - PHP 5.5.29 より前のバージョン - PHP 5.4.45 より前のバージョン この問題は、開発者や配布元が提供する修正済みのバージョンに PHP を更新 することで解決します。詳細は、開発者や配布元が提供する情報を参照してく ださい。 関連文書 (英語) PHP Group PHP 5 ChangeLog Version 5.6.13 http://www.php.net/ChangeLog-5.php#5.6.13 PHP Group PHP 5 ChangeLog Version 5.5.29 http://www.php.net/ChangeLog-5.php#5.5.29 PHP Group PHP 5 ChangeLog Version 5.4.45 http://www.php.net/ChangeLog-5.php#5.4.45 【4】Apache Struts にクロスサイトスクリプティングの脆弱性 情報源 Japan Vulnerability Notes JVN#88408929 Apache Struts におけるクロスサイトスクリプティングの脆弱性 https://jvn.jp/jp/JVN88408929/ Japan Vulnerability Notes JVN#95989300 Apache Struts におけるクロスサイトスクリプティングの脆弱性 https://jvn.jp/jp/JVN95989300/ 概要 Apache Struts には、クロスサイトスクリプティングの脆弱性があります。結 果として、遠隔の第三者が、ユーザのブラウザ上で任意のスクリプトを実行す る可能性があります。 対象となるバージョンは以下の通りです。 - Apache Struts 2.0.0 から 2.3.16.3 まで この問題は、Apache Struts Project が提供する修正済みのバージョンに Apache Struts を更新することで解決します。詳細は、Apache Struts Project が提 供する情報を参照してください。 関連文書 (英語) Apache Struts 2 Documentation Cross-Site Scripting Vulnerability in Debug Mode and in exposed JSP files https://struts.apache.org/docs/s2-025.html 【5】複数の Cisco 製品に脆弱性 情報源 US-CERT Current Activity Cisco Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2015/09/03/Cisco-Releases-Security-Updates 概要 複数の Cisco 製品には、任意のファイルを上書き可能な脆弱性があります。 結果として、遠隔の第三者が、サービス運用妨害 (DoS) 攻撃を行うなどの可 能性があります。 対象となる製品およびバージョンは以下の通りです。 - Cisco IMC Supervisor 1.0.0.1 より前のバージョン - Cisco UCS Director 5.2.0.1 より前のバージョン この問題は、Cisco が提供する修正済みのバージョンに該当する製品を更新す ることで解決します。詳細は、Cisco が提供する情報を参照してください。 関連文書 (英語) Cisco Security Advisory Cisco Integrated Management Controller Supervisor and Cisco UCS Director Remote File Overwrite Vulnerability http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150902-cimcs 【6】UPnP を実装した複数のルータ製品にセキュリティ機能の実装が不十分な問題 情報源 CERT/CC Vulnerability Note VU#361684 Router devices do not implement sufficient UPnP authentication and security http://www.kb.cert.org/vuls/id/361684 概要 UPnP を実装した複数のルータ製品には、セキュリティ機能の実装が不十分な 問題があります。結果として、遠隔の第三者が、任意の操作を行うなどの可能 性があります。 対象となる製品およびバージョンは複数存在します。なお、本件の報告者が独 自に調査した結果を公開しています。 詳細は、各開発者が提供する情報を参照してください。以下の回避策を適用す ることで、本脆弱性の影響を軽減することが可能です。 - 不明な URL にアクセスしない - 当該製品の UPnP を無効にする 関連文書 (日本語) Japan Vulnerability Notes JVNVU#99671861 UPnP を実装した複数のルータ製品にセキュリティ機能の実装が不十分な問題 https://jvn.jp/vu/JVNVU99671861/ 関連文書 (英語) Filet-o-Firewall Router List http://www.filet-o-firewall.com/p/vulnerable-routers.html 【7】Seagate wireless hard-drive 製品に複数の脆弱性 情報源 CERT/CC Vulnerability Note VU#903500 Seagate wireless hard-drives contain multiple vulnerabilities https://www.kb.cert.org/vuls/id/903500 概要 Seagate wireless hard-drive 製品には、複数の脆弱性があります。結果とし て、遠隔の第三者が、任意の操作を行うなどの可能性があります。 対象となる製品およびバージョンは以下の通りです。他のバージョンのファー ムウェアもこの問題の影響を受ける可能性があります。 - Seagate Wireless Plus Mobile Storage (ファームウェアバージョン 2.2.0.005 および 2.3.0.014) - Seagate Wireless Mobile Storage (ファームウェアバージョン 2.2.0.005 および 2.3.0.014) - LaCie FUEL (ファームウェアバージョン 2.2.0.005 および 2.3.0.014) この問題は、Seagate Technology LLC が提供する修正済みのバージョンにファー ムウェアを更新することで解決します。詳細は、Seagate Technology LLC が 提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#92833570 Seagate wireless hard-drive 製品に複数の脆弱性 https://jvn.jp/vu/JVNVU92833570/ 【8】desknet's NEO にディレクトリトラバーサルの脆弱性 情報源 Japan Vulnerability Notes JVN#09283606 desknet's NEO におけるディレクトリトラバーサルの脆弱性 https://jvn.jp/jp/JVN09283606/ 概要 株式会社ネオジャパンが提供する desknet's NEO には、ディレクトリトラバー サルの脆弱性があります。結果として、遠隔の第三者が、サーバ上の任意の ファイルにアクセスする可能性があります。 対象となるバージョンは以下の通りです。 - desknet's NEO V2.0R1.0 から V2.5R1.4 まで この問題は、株式会社ネオジャパンが提供する修正済みのバージョンに desknet's NEO を更新することで解決します。詳細は、株式会社ネオジャパン が提供する情報を参照してください。 関連文書 (日本語) desknet's NEO [解決済]セキュリティパッチ公開のご案内 http://www.desknets.com/neo/support/mainte/2590/ 【9】OrientDB および OrientDB Studio に複数の脆弱性 情報源 CERT/CC Vulnerability Note VU#845332 OrientDB and Studio prior to version 2.1.1 contain multiple vulnerabilities https://www.kb.cert.org/vuls/id/845332 概要 OrientDB および OrientDB Studio には、複数の脆弱性があります。結果とし て、遠隔の第三者がユーザの意図しない操作を行ったり、管理者権限を持って いないユーザが管理者権限を取得したりするなどの可能性があります。 対象となるバージョンは以下の通りです。 - OrientDB Server Community Edition 2.1.1 より前のバージョンにバンドルされた Studio - OrientDB Server Community Edition 2.0.15 より前のバージョンにバンドルされた Studio この問題は、Orient Technologies が提供する修正済みのバージョンに該当製 品を更新し、以下の対策を適用することで解決します。 - X-Frame-Options ヘッダを追加する 詳細は、Orient Technologies が提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#96220126 OrientDB および OrientDB Studio に複数の脆弱性 https://jvn.jp/vu/JVNVU96220126/ 【10】OpenDocMan におけるクロスサイトスクリプティングの脆弱性 情報源 Japan Vulnerability Notes JVN#00015036 OpenDocMan におけるクロスサイトスクリプティングの脆弱性 https://jvn.jp/jp/JVN00015036/ 概要 OpenDocMan には、クロスサイトスクリプティングの脆弱性があります。結果と して、遠隔の第三者が、ユーザのブラウザ上で任意のスクリプトを実行する可 能性があります。 対象となるバージョンは以下の通りです。 - OpenDocMan 1.3.4 より前のバージョン この問題は、OpenDocMan が提供する修正済みのバージョンに OpenDocMan を 更新することで解決します。詳細は、OpenDocMan が提供する情報を参照して ください。 関連文書 (英語) OpenDocMan OpenDocMan v1.3.4 Released http://www.opendocman.com/category/changelog/ ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○警察庁「平成27年上半期のインターネットバンキンクに係る不正送金事犯の発生状況等について」公開 2015年9月3日、警察庁は、「平成27年上半期のインターネットバンキンクに係 る不正送金事犯の発生状況等について」を公開しました。このレポートによる と、平成27年上半期は、信用金庫、信用組合、農業協同組合、労働金庫を利用 した不正送金の被害が拡大しており、特に信用金庫の法人口座の被害が急増し ているとのことです。 参考文献 (日本語) 警察庁 平成27年上半期のインターネットハ?ンキンク?に係る不正送金事犯の発生状況等について https://www.npa.go.jp/cyber/pdf/H270903_banking.pdf ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2015 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJV73WWAAoJEDF9l6Rp7OBIFM4H/3z6Ei/iuBT1kAvukw03/Dto Q2kDXiRC73z/zOjRQjr8HbLueLI+RKrbmrzlXN278kZQQwOsZy1wh5RGppKFC1Z/ 2gGSGYOBTk5MT8sG493v6TnauGzTuspcffYBG40MC3L82+ywYZO520NZcH8JDX5l 6KtBMpcOPwOaygW4Hf12Q0QQFs3m3Ki6Vd13MQru87Ls9WyEUhPbHrwbK0k8Elhm 2c7fJBUC9NHfLgOOQFQAYBcigB57O8tNE3gKUdmoqYT++eLCQDggkillUgD3W1FA s8nmVt3+bxYP+BXG4sARV4Rpe4jOkCijAdLYD7ZgP3wx9AJGtrV4hiWkBRNeydE= =1Quy -----END PGP SIGNATURE-----