US-CERT Vulnerability Note VU#249337
Flash authoring tools create Flash files that contain cross-site scripting vulnerabilities
http://www.kb.cert.org/vuls/id/249337

CIAC Bulletin S-101
Flash Authoring Tool Vulnerability
http://www.ciac.org/ciac/bulletins/s-101.shtml

概要

多くの Flash オーサリングツールが生成する Flash ファイルには、ク
ロスサイトスクリプティングの脆弱性があります。結果として、遠隔の
第三者がユーザのブラウザ上で任意のスクリプトを実行する可能性があ
ります。

すでに対策が行われている製品としては以下が挙げられています。

- Adobe Dreamweaver
- Adobe Acrobat Connect
- InfoSoft FusionCharts
- Techsmith Camtasia
- Autodemo

この問題は、各ベンダが提供する提供する修正済みのバージョンに、該
当する製品を更新することで解決します。詳細については、各ベンダが
提供する情報を参照してください。

また、脆弱性のある Flash ファイル使用しているサイトは、対策済み
の製品を使って該当する Flash ファイルを生成しなおす必要があるこ
とにご注意ください。

あわせて、お使いの Flash Player が最新版であることをご確認くださ
い。

【2】Wireshark (旧 Ethereal) に複数の脆弱性

情報源

CIAC Bulletin S-103
Wireshark Vulnerabilities
http://www.ciac.org/ciac/bulletins/s-103.shtml

概要

Wireshark (旧 Ethereal) には、複数の脆弱性があります。結果として、
遠隔の第三者が細工したパケットを処理させることで、サービス運用妨
害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは以下の通りです。

- Wireshark (旧 Ethereal) 0.8.16 から 0.99.6

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに Wireshark を更新することで解決します。

【3】GNU Tar に複数の脆弱性

情報源

CIAC Bulletin S-100
GNU Tar Vulnerabilities
http://www.ciac.org/ciac/bulletins/s-100.shtml

概要

GNU Tar には、複数の脆弱性があります。結果として、第三者が細工し
たアーカイブファイルを処理させることで、任意のコードを実行する可
能性があります。

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに GNU Tar を更新することで解決します。詳細については、
ベンダや配布元が提供する情報を参照してください。なお、JPCERT/CC
REPORT 2007-12-27号【2】で紹介した Apple が提供するセキュリティ
アップデートにも、この問題に対する修正が含まれています。

【4】OpenSSL の FIPS Object Module に脆弱性

情報源

US-CERT Vulnerability Note VU#150249
OpenSSL FIPS Object Module fails to properly generate random seeds
http://www.kb.cert.org/vuls/id/150249

概要

OpenSSL の FIPS Object Module には、生成される乱数値が推測可能な
脆弱性があります。

対象となるバージョンは以下の通りです。

- OpenSSL FIPS Object Module v1.1.1

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに OpenSSL FIPS Object Module を更新することで解決しま
す。詳細については、ベンダや配布元が提供する情報を参照してくださ
い。

【5】GreaseKit および Creammonkey に許可されていない関数が実行される脆弱性

情報源

JP Vendor Status Notes JVN#33044255
GreaseKit および Creammonkey における許可されていない関数が実行される脆弱性
http://jvn.jp/jp/JVN%2333044255/index.html

概要

Apple Webkit を利用しているソフトウェア上で、ユーザスクリプトを
実行可能にするための機能拡張ソフトウェア GreaseKit および
Creammonkey には、許可されていない関数が実行される脆弱性がありま
す。結果として、遠隔の第三者が細工した Web ページを閲覧させるこ
とで、任意のサイトへ HTTP リクエストを送信したり、ユーザスクリプ
トの設定値を読み書きしたりする可能性があります。

対象となる製品およびバージョンは以下の通りです。

- GreaseKit 1.2 から 1.3 まで
- Creammonkey 0.9 から 1.1 まで

この問題は、配布元が提供する修正済みのバージョンに、該当する製品
を更新することで解決します。なお、Creammonkey を使用している場合
は、後継ソフトウェアである最新版の GreaseKit に更新することが推
奨されています。

【6】HP-UX に脆弱性

情報源

CIAC Bulletin S-098
HP-UX Running rpc.yppasswdd Vulnerability
http://www.ciac.org/ciac/bulletins/s-098.shtml

概要

rpc.yppasswdd が動作する HP-UX には、脆弱性があります。結果とし
て、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行う可能性があり
ます。

対象となるバージョンは以下の通りです。

- HP-UX B.11.11
- HP-UX B.11.23
- HP-UX B.11.31

この問題は、HP が提供するパッチを HP-UX に適用することで解決しま
す。

【7】WinAce にバッファオーバーフローの脆弱性

情報源

JP Vendor Status Notes JVN#44736880
WinAce におけるバッファオーバーフローの脆弱性
http://jvn.jp/jp/JVN%2344736880/index.html

概要

e-merge GmbH が提供するファイル圧縮・展開ソフト WinAce には、バッ
ファオーバーフローの脆弱性があります。結果として、遠隔の第三者が
細工したファイルを展開処理させることで、そのユーザの権限で任意の
コードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- WinAce 2.6.5 およびそれ以前

この問題は、e-merge GmbH が提供する修正済みのバージョンに WinAce
を更新することで解決します。

【8】PeerCast にヒープオーバーフローの脆弱性

情報源

CIAC Bulletin S-099
PeerCast Vulnerability
http://www.ciac.org/ciac/bulletins/s-099.shtml

概要

PeerCast には、ヒープオーバーフローの脆弱性があります。結果とし
て、遠隔の第三者が細工した SOURCE リクエストを処理させることで、
サービス運用妨害 (DoS) 攻撃を行ったり、任意のコードを実行したり
する可能性があります。

対象となるバージョンは以下の通りです。

- 0.1217 およびそれ以前

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに PeerCast を更新することで解決します。詳細については、
ベンダや配布元が提供する情報を参照してください。

【9】Mortbay Jetty に脆弱性

情報源

US-CERT Vulnerability Note VU#553235
Jetty fails to properly process URLs that contain double / characters
http://www.kb.cert.org/vuls/id/553235

概要

Java ベースの Web サーバ、Mortbay Jetty には、脆弱性があります。
結果として、遠隔の第三者が細工した URL を処理させることで、機密
情報を取得する可能性があります。

対象となるバージョンは以下の通りです。

- Mortbay Jetty 6.1.6 およびそれ以前

この問題は、配布元が提供するバージョン 6.1.7 に Mortbay Jetty を
更新することで解決します。

■今週のひとくちメモ

○Netscape ウェブブラウザのサポート終了

Netscape ウェブブラウザのサポート終了が AOL から告知されています。
2008年2月1日をもって全てのバージョンの Netscape ウェブブラウザの
サポートが終了するとのことです。Netscape Blog では、Netscape ユー
ザは Mozilla Firefox へ移行することを推奨しています。

参考文献 (英語)

Netscape Blog
End of Support for Netscape web browsers
http://blog.netscape.com/2007/12/28/end-of-support-for-netscape-web-browsers/

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2008-01-09号

<<< JPCERT/CC WEEKLY REPORT 2008-01-09 >>>

■12/23(日)〜01/05(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

○Netscape ウェブブラウザのサポート終了

参考文献 (英語)

■JPCERT/CC からのお願い

目　次