Microsoft Office には未修正の脆弱性があります。結果として、遠隔
の第三者が、細工された Office ファイルを表示させることで任意のコー
ドを実行する可能性があります。

対象となる製品は以下の通りです。

- Microsoft Office 2000
- Microsoft Office XP
- Microsoft Office 2003
- Microsoft Office 2004 for Mac

(Microsoft Office 2007 は影響を受けません。)

現在攻撃が確認されているのは Excel のみですが、他の Office 製品
にも影響が及ぶ可能性があります。

2007年2月6日現在、本脆弱性を修正するセキュリティ更新プログラムは
提供されていません。回避策および詳細についてはベンダが提供する情
報を参照してください。

また、Internet Explorer から Office ドキュメントを開く際、必ず確
認メッセージを表示するように設定するツール「Office ファイルを開
くときに確認するツール」が提供されています。上記回避策と併せて本
ツールの使用を検討するよう推奨します。

【2】Microsoft Word 2000 の文字列処理に関する脆弱性

情報源

US-CERT Vulnerability Note VU#412225
Microsoft Word 2000 stack buffer overflow
http://www.kb.cert.org/vuls/id/412225

概要

Microsoft Word 2000 には文字列処理に関する脆弱性があります。結果
として、遠隔の第三者が、細工された Word ファイルを表示させること
で任意のコードを実行する可能性があります。

対象となるバージョンは以下の通りです。
 
- Microsoft Office 2000
  - Microsoft Word 2000
 
2007年2月6日現在、本脆弱性を修正するセキュリティ更新プログラムは
提供されていません。回避策および詳細についてはベンダが提供する情
報を参照してください。

また、Internet Explorer から Office ドキュメントを開く際、必ず確
認メッセージを表示するように設定するツール「Office ファイルを開
くときに確認するツール」が提供されています。上記回避策と併せて本
ツールの使用を検討するよう推奨します。

【3】Cisco IOS の SIP パケット処理に関する脆弱性

情報源

US-CERT Vulnerability Note VU#438176
Cisco IOS fails to properly handle Session Initiated Protocol packets
http://www.kb.cert.org/vuls/id/438176

CIAC Bulletin R-118
SIP Packet Reloads IOS Devices Not Configured for SIP
http://www.ciac.org/ciac/bulletins/r-118.shtml

概要

音声トラフィックに対応した Cisco IOS には、SIP パケットの処理に
脆弱性があります。結果として、遠隔の第三者がサービス運用妨害 
(DoS) 攻撃を行う可能性があります。該当する IOS が稼動する Cisco 
製品においては、デフォルトで SIP 機能が有効となっているため、特
に SIP に関する設定を行っていない状態では、DoS 攻撃を受ける可能
性があります。

対象となる製品は以下の通りです。

- 音声トラフィックに対応した Cisco IOS が稼動する Cisco ネットワ
  ークデバイス

対象となる Cisco IOS のバージョンは、広範囲に及びます。詳細につい
ては、Cisco が提供する情報を参照してください。

この問題は、Cisco が提供する修正済みのバージョンに IOS を更新する
ことで解決します。

【4】Linux のカーネルに複数の脆弱性

情報源

CIAC Bulletin R-117
Kernel Security Update
http://www.ciac.org/ciac/bulletins/r-117.shtml

概要

Red Hat Enterprise Linux にて標準で提供されている Linux のカーネ
ルには、複数の脆弱性があります。結果として、ローカルユーザが任意
のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする
可能性があります。

なお、上記情報源にて報告されている脆弱性の一部は、Debian
GNU/Linux にて標準で提供されているカーネルにも存在することが確認
されています。

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンにカーネルを更新することで解決します。

【5】PGP Desktop のサービスに権限昇格の脆弱性

情報源

US-CERT Vulnerability Note VU#102465
PGP Desktop service fails to validate user supplied data
http://www.kb.cert.org/vuls/id/102465

CIAC Bulletin R-119
Vulnerability in PGP Desktop
http://www.ciac.org/ciac/bulletins/r-119.shtml

概要

PGP Desktop のサービスには権限昇格の脆弱性があります。結果として、
遠隔のユーザが任意のコードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- PGP Desktop 9.5.0 およびそれ以前

この問題は、PGP Corporation が提供する修正済みのバージョン 9.5.1
(またはそれ以降) に PGP Desktop を更新することで解決します。また、
Windows ファイル共有を無効にすることで回避できます。

【6】vlc に脆弱性

情報源

CIAC Bulletin R-116
vlc -- Format String
http://www.ciac.org/ciac/bulletins/r-116.shtml

概要

マルチメディアプレーヤおよびストリーマである vlc の書式指定文字列
の処理に脆弱性があります。結果として、遠隔の第三者が任意のコード
を実行する可能性があります。

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに vlc を更新することで解決します。

【7】CA BrightStor ARCserve Backup のサービスに複数の脆弱性

情報源

US-CERT Vulnerability Note VU#357308
Computer Associates BrightStor ARCserve Backup LGSERVER.EXE heap buffer overflow
http://www.kb.cert.org/vuls/id/357308

US-CERT Vulnerability Note VU#611276
Computer Associates BrightStor ARCserve Backup LGSERVER.EXE stack buffer overflow
http://www.kb.cert.org/vuls/id/611276

CIAC Bulletin R-120
BrightStor ARC server Backup for Laptops and Desktops
http://www.ciac.org/ciac/bulletins/r-120.shtml

概要

CA BrightStor ARCserve Backup のサービスには複数の脆弱性がありま
す。結果として、遠隔の第三者が任意のコードを実行する可能性があり
ます。

対象となる製品およびバージョンは以下の通りです。

- BrightStor ARCserve 製品:
  - BrightStor ARCserve Backup for Laptops and Desktops r11.1 SP1
  - BrightStor ARCserve Backup for Laptops and Desktops r11.1
  - BrightStor ARCserve Backup for Laptops and Desktops r11.0
  - BrightStor Mobile Backup r4.0
- CA Protection Suites r2 製品:
  - CA Desktop Protection Suite r2
  - CA Business Protection Suite r2
  - CA Business Protection Suite for Microsoft Small Business
    Server Standard Edition r2
  - CA Business Protection Suite for Microsoft Small Business
    Server Premium Edition r2
- CA Desktop Management Suite 製品:
  - DMS r11.0
  - DMS r11.1

この問題は、CA が提供する修正プログラムを適用することで解決しま
す。

【8】X-Kryptor Secure Client に権限昇格の脆弱性

情報源

JP Vendor Status Notes NISCC-462660
X-Kryptor Secure Client における権限昇格の脆弱性
http://jvn.jp/niscc/NISCC-462660/index.html

概要

X-Kryptor Secure Client には権限昇格の脆弱性があります。結果とし
て、遠隔の第三者が任意のコードを実行する可能性があります。

対象となる製品およびバージョンは以下の通りです。

- X-Kryptor Driver BMS1446HRR 
- Xgntr Version BMS1351 
- Install Release BMS1472 

その他の製品およびバージョンも影響を受ける可能性があります。詳細
については、Barron McCann が提供する情報を参照してください。

この問題は、Barron McCann が提供する修正済みのバージョンに
X-Kryptor Secure Client を更新することで解決します。

【9】MODx にクロスサイトスクリプティングの脆弱性

情報源

JP Vendor Status Notes JVN#80271113
MODx におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN%2380271113/index.html

概要

コンテンツ管理システムである MODx にはクロスサイトスクリプティン
グの脆弱性があります。結果として、遠隔の第三者がユーザのブラウザ
上で任意のスクリプトを実行したり、セッション・ハイジャックを行っ
たりする可能性があります。

対象となるバージョンは以下の通りです。

- MODx 0.9.2.x およびそれ以前 

この問題は、配布元が提供する修正済みのバージョン 0.9.5 (またはそ
れ以降) に MODx を更新することで解決します。

【10】JPNIC・JPCERT/CC セキュリティセミナー2007 参加申込受付開始

情報源

JPCERT/CC
JPNIC・JPCERT/CC セキュリティセミナー2007
http://www.jpcert.or.jp/event/sec-seminar.html

概要

社団法人日本ネットワークインフォメーションセンター (JPNIC) と
JPCERT/CC は、今までのセキュリティセミナーの集大成として、当セミ
ナーと InternetWeek で特に人気の高かったプログラムをアレンジし
「知っておくべき不正アクセス対策 〜総集編〜」を開催します。

プログラムの日程、会場、内容、参加費および参加申込方法の詳細につ
いては、上記 URL をご参照ください。

■今週のひとくちメモ

○電子メールは必要に応じて暗号化する

電子メールは、送受信の途中で第三者により内容を盗み見される可能性
があります。重要な情報を電子メールでやりとりする場合には、必要に
応じて暗号化して送信するようにしましょう。

電子メールで用いられる暗号化の手段としては、PGP や S/MIME が広く
知られています。PGP や S/MIME は公開鍵暗号を使用しているため、電
子メール 1通ごとに暗号鍵を伝達することで発生する煩雑さや危険性を
避けることができます。

参考文献 (日本語)

JPCERT/CC イラストでわかるセキュリティ
情報セキュリティの脅威に対する対策 11．電子メールは必要に応じて暗号化する
http://www.jpcert.or.jp/magazine/security/illust/part1.html#11

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2007-02-07号

<<< JPCERT/CC WEEKLY REPORT 2007-02-07 >>>

■01/28(日)〜02/03(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

○電子メールは必要に応じて暗号化する

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次