<<< JPCERT/CC WEEKLY REPORT 2008-05-28 >>>
■05/18(日)〜05/24(土) のセキュリティ関連情報
目 次
【1】「Debian および Ubuntu の OpenSSL パッケージに予測可能な乱数が生成される脆弱性」に関する追加情報
【2】GnuTLS に複数の脆弱性
【3】HP-UX の Apache および PHP を含むパッケージに脆弱性
【4】libxslt に脆弱性
【5】FireFTP にディレクトリトラバーサルの脆弱性
【6】PhotoStockPlus ActiveX コントロールにバッファオーバーフローの脆弱性
【今週のひとくちメモ】Web ブラウザ tips: Opera/Safari 編
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2008/wr082001.txt
https://www.jpcert.or.jp/wr/2008/wr082001.xml
【1】「Debian および Ubuntu の OpenSSL パッケージに予測可能な乱数が生成される脆弱性」に関する追加情報
情報源
Debian JP Project - 最近の話題
OpenSSL パッケージの脆弱性と脆弱なパッケージを含まない他の環境への影響について(Q&A)
http://www.debian.or.jp/blog/openssl_problem_qanda.html
概要
JPCERT/CC REPORT 2008-05-21 号【2】で紹介した「Debian および Ubuntu の OpenSSL パッケージに予測可能な乱数が生成される脆弱性」 に関する追加情報です。 Debian JP Project は、この問題に関して、OpenSSL パッケージの脆弱 性と他の環境への影響についての情報を公開しています。詳細について は、Debian JP Project が提供する情報を参照してください。
関連文書 (日本語)
JPCERT/CC REPORT 2008-05-21
【2】Debian および Ubuntu の OpenSSL パッケージに予測可能な乱数が生成される脆弱性
http://www.jpcert.or.jp/wr/2008/wr081901.html#2
【2】GnuTLS に複数の脆弱性
情報源
CIAC Bulletin S-296
GnuTLS Security Update
http://www.ciac.org/ciac/bulletins/s-296.shtml
概要
GnuTLS には、複数の脆弱性があります。結果として、遠隔の第三者が 細工したメッセージを処理させることで任意のコードを実行したり、サー ビス運用妨害 (DoS) 攻撃を行ったりする可能性があります。 対象となるバージョンは以下の通りです。 - GnuTLS 2.2.5 より前のバージョン この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに GnuTLS パッケージを更新することで解決します。
関連文書 (日本語)
Debian セキュリティ勧告 DSA-1581-1
gnutls13 -- 複数の脆弱性
http://www.debian.org/security/2008/dsa-1581.ja.html
関連文書 (英語)
GNU
GnuTLS 2.2.4 - Security release
http://lists.gnu.org/archive/html/gnutls-devel/2008-05/msg00051.htmlGNU
GnuTLS 2.2.5 - Brown paper bag release
http://lists.gnu.org/archive/html/gnutls-devel/2008-05/msg00060.htmlCERT-FI
CERT-FI Vulnerability Advisory on GnuTLS
http://www.cert.fi/haavoittuvuudet/advisory-gnutls.htmlRed Hat Security Advisory RHSA-2008:0489-5
Critical: gnutls security update
https://rhn.redhat.com/errata/RHSA-2008-0489.html
【3】HP-UX の Apache および PHP を含むパッケージに脆弱性
情報源
CIAC Bulletin S-295
HP-UX Running Apache With PHP
http://www.ciac.org/ciac/bulletins/s-295.shtml
概要
HP-UX の Apache および PHP を含むパッケージには、脆弱性がありま す。結果として、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行っ たり、権限を昇格したりする可能性があります。 対象となるプラットフォームおよびバージョンは以下の通りです。 - HP-UX B.11.11、B.11.23、B11.31 の Apache 2.18 で動作する PHP 5.2.4 またはそれ以前 この問題は、HP が提供する修正済みのバージョンにパッケージを更新 することで解決します。
関連文書 (英語)
HP Support document c01438646
HPSBUX02332 SSRT080056 rev.2 - HP-UX Running Apache With PHP, Remote Denial of Service (DoS), Gain Extended Privileges
http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c01438646
【4】libxslt に脆弱性
情報源
CIAC Bulletin S-297
libxslt Security Update
http://www.ciac.org/ciac/bulletins/s-297.shtml
概要
libxslt には、XSL の処理に起因する脆弱性があります。結果として、 遠隔の第三者が細工したファイルを処理させることで任意のコードを実 行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があり ます。 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに libxslt パッケージを更新することで解決します。詳細 については、OS のベンダや配布元が提供する情報を参照してください。
関連文書 (英語)
xmlsoft.org
The XSLT C library for GNOME - libxslt
http://xmlsoft.org/XSLT/Red Hat Security Advisory RHSA-2008:0287-2
Important: libxslt security update
https://rhn.redhat.com/errata/RHSA-2008-0287.html
【5】FireFTP にディレクトリトラバーサルの脆弱性
情報源
US-CERT Vulnerability Note VU#906907
FireFTP filename directory traversal sequence vulnerability
http://www.kb.cert.org/vuls/id/906907
概要
Mozilla Firefox 向けの拡張機能である FireFTP には、ディレクトリ トラバーサルの脆弱性があります。結果として、遠隔の第三者が Firefox 実行中の PC の任意の場所に、ユーザの権限でファイルを書き 込む可能性があります。 対象となるバージョンは以下の通りです。 - FireFTP 0.97.1 およびそれ以前 この問題は、配布元が提供する修正済みのバージョンに FireFTP を更 新することで解決します。
関連文書 (日本語)
FireFTP :: Firefox Add-ons
FireFTP 0.97.2
https://addons.mozilla.org/ja/firefox/addon/684
関連文書 (英語)
FireFTP Developer Information
release notes 0.99
http://fireftp.mozdev.org/developers.html
【6】PhotoStockPlus ActiveX コントロールにバッファオーバーフローの脆弱性
情報源
US-CERT Vulnerability Note VU#406937
PhotoStockPlus Uploader Tool ActiveX stack buffer overflows
http://www.kb.cert.org/vuls/id/406937
概要
PhotoStockPlus ActiveX コントロールには、バッファオーバーフロー の脆弱性があります。結果として、遠隔の第三者が細工した HTML 文書 を閲覧させることで、そのユーザの権限で任意のコードを実行する可能 性があります。 2008年5月27日現在、この問題に対する修正プログラムは確認されてお りません。 Internet Explorer での回避策として、Kill Bit を設定する、インター ネットゾーンで ActiveX コントロールを無効にするなどの方法があり ます。詳細については、下記関連文書を参照してください。
関連文書 (日本語)
マイクロソフト サポートオンライン
Internet Explorer で ActiveX コントロールの動作を停止する方法
http://support.microsoft.com/kb/240797/ja
関連文書 (英語)
PhotStockPlus.com
http://www.photostockplus.com/
■今週のひとくちメモ
○Web ブラウザ tips: Opera/Safari 編
安全が確認できていない Web サイトを閲覧する際には Javascript 機 能を無効にすることが推奨されます。 Windows 版 Opera の場合、「ツール」→「クイック設定」と辿ったメ ニューに「Javascript を有効にする」チェックがあり、デフォルトで ON になっています。この項目を選択することで Javascript 機能の ON/OFF を行なうことができます。 Windows 版 Safari の場合、「編集」→「設定」→「セキュリティ」と 辿ったメニューに「Javascript を有効にする」チェックがあり、デフォ ルトで ON になっています。 Safari において、より簡単に Javascript 機能の ON/OFF をするため には、メニューバーに[開発]メニューを表示させると便利です。「編集」 →「設定」→「詳細」と辿ったメニューで「メニューバーに[開発]メ ニューを表示」にチェックを入れることにより「開発」メニューを表示 させることができます。「開発」メニューのなかに「Javascript を無 効にする」という項目があり、この項目を選択することで Javascript 機能の ON/OFF を行なうことができます。
参考文献 (英語)
CERT/CC Tech Tips
Securing Your Web Browser
http://www.cert.org/tech_tips/securing_browser/
■JPCERT/CC からのお願い
-
本レポートに関するお問い合わせは
editor@jpcert.or.jp 宛
にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/ -
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html -
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/