US-CERT Technical Cyber Security Alert TA07-163A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA07-163A.html

US-CERT Cyber Security Alert SA07-163A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/alerts/SA07-163A.html

US-CERT Vulnerability Notes Database
Search Results [ms07-jun] (全5件・2007年6月19日現在)
http://www.kb.cert.org/vuls/byid?searchview&query=ms07-jun

CIAC Bulletin R-268
Vulnerability in Win 32 API (935839)
http://www.ciac.org/ciac/bulletins/r-268.shtml

CIAC Bulletin R-269
Cumulative Security Update for Outlook Express and Windows Mail (929123)
http://www.ciac.org/ciac/bulletins/r-269.shtml

CIAC Bulletin R-270
Cumulative Security Update for Internet Explorer (933566)
http://www.ciac.org/ciac/bulletins/r-270.shtml

CIAC Bulletin R-271
Vulnerability in the Windows Schannel Security Package (935840)
http://www.ciac.org/ciac/bulletins/r-271.shtml

CIAC Bulletin R-272
Vulnerabilities in Microsoft Visio (927051)
http://www.ciac.org/ciac/bulletins/r-272.shtml

CIAC Bulletin R-273
Vulnerability in Windows Vista (931213)
http://www.ciac.org/ciac/bulletins/r-273.shtml

概要

Microsoft 製品には、複数の脆弱性があります。結果として、遠隔の第
三者が任意のコードを実行するなどの可能性があります。

詳細については、Microsoft が提供する情報を参照してください。

この問題は、Microsoft Update、Windows Update、Office Update など
を用いて、セキュリティ更新プログラムを適用することで解決します。

【2】IPv6 Type 0 ルーティングヘッダの仕様に脆弱性

情報源

US-CERT Vulnerability Note VU#267289
IPv6 Type 0 Route Headers allow sender to control routing
http://www.kb.cert.org/vuls/id/267289

概要

IPv6 Type 0 ルーティングヘッダの仕様には脆弱性があります。結果と
して、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行う可能性があ
ります。

2007年6月19日現在、この問題を解決するため、IETF で IPv6 Type 0 
ルーティングヘッダの仕様変更について議論されています。

この問題の回避策としては、IPv6 機能が有効なホストおよびルータで、
IPv6 Type 0 ルーティングヘッダの処理を無効に設定する方法がありま
す。詳細については、各ベンダが提供する情報を参照してください。

【3】Yahoo!メッセンジャーに複数の脆弱性

情報源

US-CERT Vulnerability Note VU#932217
Yahoo! Webcam view utilities ActiveX control vulnerable to arbitrary code execution
http://www.kb.cert.org/vuls/id/932217

US-CERT Vulnerability Note VU#949817
Yahoo! Webcam image upload ActiveX control vulnerable to arbitrary code execution
http://www.kb.cert.org/vuls/id/949817

概要

Yahoo!メッセンジャーに含まれる複数の ActiveX コントロールには、
バッファオーバーフローの脆弱性があります。結果として、遠隔の第三
者が細工した HTML 文書をユーザに閲覧させることで任意のコードを実
行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があり
ます。

対象となるバージョンは、以下のとおりです。

- 2007年6月8日以前にダウンロードされた Windows プラットフォーム
  向けの Yahoo!メッセンジャー

この問題は、Yahoo が提供する修正済みのバージョンに Yahoo!メッセ
ンジャーを更新することで解決します。

【4】libexif に整数オーバーフローの脆弱性

情報源

Common Vulnerabiliities and Exposures
CVE-2006-4168
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4168

概要

libexif には、整数オーバーフローの脆弱性があります。結果として、
遠隔の第三者が細工した画像ファイルをユーザに開かせることで任意の
コードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- libexif 0.6.16 より前のバージョン

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに libexif を更新することで解決します。

【5】Apache Tomcat に複数のクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#07100457
Apache Tomcat におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN%2307100457/index.html

Japan Vulnerability Notes JVN#64851600
Apache Tomcat 付属のサンプルプログラムにおけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN%2364851600/index.html

概要

Apache Tomcat の Web Application Manager および付属のサンプルプ
ログラム jsp-examples には、複数のクロスサイトスクリプティングの
脆弱性があります。結果として、遠隔の第三者がユーザのブラウザ上で
任意のスクリプトを実行する可能性があります。

対象となるバージョンは以下のとおりです。

- Apache Tomcat 4.0.0 から 4.0.6
- Apache Tomcat 4.1.0 から 4.1.36
- Apache Tomcat 5.0.0 から 5.0.30
- Apache Tomcat 5.5.0 から 5.5.24
- Apache Tomcat 6.0.0 から 6.0.13 

2007年6月19日現在、この問題に対する修正プログラムは提供されてい
ません。回避策など詳細については、ベンダや配布元が提供する情報を
参照してください。

【6】OpenOffice.org にヒープオーバーフローの脆弱性

情報源

CIAC Bulletin R-275
OpenOffice.org Heap Overflow
http://www.ciac.org/ciac/bulletins/r-275.shtml

概要

OpenOffice.org には、ヒープオーバーフローの脆弱性があります。結
果として、第三者が細工した RTF 文書をユーザに開かせることで任意
のコードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- OpenOffice.org 2.2.1 より前のバージョン

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに OpenOffice.org を更新することで解決します。なお、
2007年6月19日現在、日本語版の修正済みのバージョンは公開されてい
ません。詳細については、ベンダや配布元が提供する情報を参照してく
ださい。

【7】dotProject にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#63602912
dotProject におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN%2363602912/index.html

概要

プロジェクト管理ツールである dotProject には、クロスサイトスクリ
プティングの脆弱性があります。結果として、遠隔の第三者がユーザの
ブラウザ上で任意のスクリプトを実行したり、セッション・ハイジャッ
クを行ったりする可能性があります。

対象となるバージョンは以下の通りです。

- dotProject 2.0.4 およびそれ以前のバージョン

この問題は、配布元が提供する修正済みのバージョン 2.1 RC2 に
dotProject を更新することで解決します。

【8】「組織内 CSIRT 構築支援マテリアル」公開について

情報源

JPCERT Coordination Center
組織内 CSIRT 構築支援マテリアル
http://www.jpcert.or.jp/csirt_material/

概要

JPCERT/CC は 2007年6月14日、組織的なインシデント対応体制である
「組織内 CSIRT」の構築を支援する目的で「組織内 CSIRT 構築支援マ
テリアル」を公開しました。

このマテリアルでは、「認知」で組織内 CSIRT の必要性を把握し、
「理解」で全体的なイメージをつかみ、「実践」で実際に構築活動を行
なえるように 3つのカテゴリで構成しています。

【9】「グッド・プラクティス・ガイド　プロセス・制御と SCADA セキュリティ」公開について

情報源

JPCERT Coordination Center
グッド・プラクティス・ガイド　プロセス・制御と SCADA セキュリティ
http://www.jpcert.or.jp/research/index.html#scada

概要

JPCERT/CC は 2007年6月14日、制御系システムの開発・設計ならびにユー
ザーが SCADA を使用するにあたってセキュリティ要件と仕様のガイド
となり、また、制御系システム開発者がオープン系システムを取り込も
うとする場合の手引きともなる「グッド・プラクティス・ガイド　プロ
セス・制御と SCADA セキュリティ」を公開しました。

■今週のひとくちメモ

○ソーシャルエンジニアリング

ソーシャルエンジニアリングとは、コンピュータに侵入するためなどに、
人の心理的・社会的な弱点や盲点を使用する手法です。

電話やメールで、企業の従業員に対して同僚や情報システム管理者など
の関係者を名乗り、ID やパスワードを詐取する「なりすまし」や、事
務所の廃棄物から情報を詐取する「ごみあさり」などが代表的です。

ソーシャルエンジニアリングは古くからある手法ですが、最近でも、特
定の企業に対して社内の関係者を装ったウイルス付きメールを送信する
などのソーシャルエンジニアリングを用いた攻撃が発生しています。引
き続き、このような攻撃には注意が必要です。

参考文献 (日本語)

JPCERT/CC Alert 2007-06-14
ID やパスワードを聞き出そうとする電話に関する注意喚起
http://www.jpcert.or.jp/at/2007/at070015.txt

総務省社員・職員全般のための情報セキュリティ対策
ソーシャルエンジニアリングの対策
http://www.soumu.go.jp/joho_tsusin/security/business/work05.htm

独立行政法人情報処理推進機構
国内におけるソーシャル・エンジニアリングの実態調査 (PDF)
http://www.ipa.go.jp/security/fy11/report/contents/intrusion/socialeng/socialeng.pdf

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2007-06-20号

<<< JPCERT/CC WEEKLY REPORT 2007-06-20 >>>

■06/10(日)〜06/16(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

情報源

概要

○ソーシャルエンジニアリング

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次