JPCERT-WR-2010-2701

JPCERT/CC

2010-07-22

<<< JPCERT/CC WEEKLY REPORT 2010-07-22 >>>

■07/11(日)〜07/17(土) のセキュリティ関連情報

目　次

【1】2010年7月 Microsoft セキュリティ情報について

【2】Microsoft Windows のショートカットファイルの処理に脆弱性

【3】2010年7月 Oracle Critical Patch Update について

【4】ISC BIND 9.7.1 および 9.7.1-P1 の RRSIG レコード処理に脆弱性

【5】ISC DHCP サーバに脆弱性

【6】Cisco Industrial Ethernet 3000 シリーズに SNMP Community String がハードコードされている問題

【7】C/C++ セキュアコーディングセミナー 2010 ＠東京参加者募集中

【今週のひとくちメモ】夏休みを控えて：引き続き Web 改ざんに注意

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2010/wr102701.txt
https://www.jpcert.or.jp/wr/2010/wr102701.xml

【1】2010年7月 Microsoft セキュリティ情報について

情報源

US-CERT Technical Cyber Security Alert TA10-194A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA10-194A.html

US-CERT Cyber Security Alert SA10-194A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/alerts/SA10-194A.html

概要

Microsoft Windows、Office などの製品および関連コンポーネントには、
複数の脆弱性があります。結果として、遠隔の第三者が任意のコードを
実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があ
ります。

この問題は、Microsoft Update などを用いて、セキュリティ更新プロ
グラムを適用することで解決します。なお、セキュリティ更新プログラ
ムには、2010-05-26号【2】「マイクロソフトの Canonical Display 
Driver に脆弱性」および 2010-06-16号【2】「Microsoft Windows Help 
and Support Center に脆弱性」で紹介した問題に対する解決策も含ま
れています。

【2】Microsoft Windows のショートカットファイルの処理に脆弱性

情報源

US-CERT Vulnerability Note VU#940193
Microsoft Windows automatically executes code specified in shortcut files
http://www.kb.cert.org/vuls/id/940193

概要

Microsoft Windows には、ショートカットファイルの処理に起因する脆
弱性があります。結果として、遠隔の第三者が細工したショートカット 
ファイルを Windows Explorer 上などで表示させることで、ユーザの権
限で任意のコードを実行する可能性があります。なお、本脆弱性を使用
した攻撃活動が確認されています。

対象となるプラットフォームは以下の通りです。

- Microsoft Windows

2010年7月21日現在、この問題に対する解決策は提供されていません。
回避策としては、ショートカット用アイコンの表示を無効にする、
WebClient サービスを無効にするなどの方法があります。詳細について
は、マイクロソフトが提供する情報を参照してください。

【3】2010年7月 Oracle Critical Patch Update について

情報源

US-CERT Technical Cyber Security Alert TA10-103B
Oracle Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA10-103B.html

DOE-CIRC Technical Bulletin T-395
Oracle Secure Backup Scheduler Service Remote Code Execution Vulnerability
http://www.doecirc.energy.gov/bulletins/t-395.shtml

概要

Oracle から複数の製品およびコンポーネントに含まれる脆弱性に対応
した Oracle Critical Patch Update Advisory - July 2010 が公開さ
れました。なお、Solaris の脆弱性に対応したアップデートも含まれて
います。

詳細については Oracle が提供する情報を参照してください。

なお、次回の Oracle Critical Patch Update は、2010年10月にリリー
スされる予定です。

【4】ISC BIND 9.7.1 および 9.7.1-P1 の RRSIG レコード処理に脆弱性

情報源

ISC
RRSIG query handling bug in BIND 9.7.1
https://www.isc.org/software/bind/advisories/cve-2010-0213

概要

ISC BIND 9.7.1 および 9.7.1-P1 の RRSIG レコードの処理には脆弱性
があります。結果として、DNSSEC の信頼の連鎖が構築された任意のゾー
ンの権威 DNS サーバに対して、遠隔の第三者がサービス運用妨害
(DoS) 攻撃を行う可能性があります。

対象となるバージョンは以下の通りです。

- ISC BIND 9.7.1 および 9.7.1-P1

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに BIND を更新することで解決します。詳細については、ベ
ンダや配布元が提供する情報を参照してください。

【5】ISC DHCP サーバに脆弱性

情報源

US-CERT Vulnerability Note VU#541921
ISC DHCP server fails to handle zero-length client identifier
http://www.kb.cert.org/vuls/id/541921

概要

ISC DHCP サーバには、リクエストの処理に起因する脆弱性があります。
結果として、遠隔の第三者が細工したリクエストを処理させることでサー
ビス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは以下の通りです。

- ISC DHCP バージョン 4.0.x、4.1.x および 4.2.x

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに ISC DHCP サーバを更新することで解決します。詳細につ
いては、各ベンダや配布元が提供する情報を参照してください。

【6】Cisco Industrial Ethernet 3000 シリーズに SNMP Community String がハードコードされている問題

情報源

US-CERT Vulnerability Note VU#732671
Cisco Industrial Ethernet 3000 Series switches have hardcoded SNMP community strings
http://www.kb.cert.org/vuls/id/732671

DOE-CIRC Technical Bulletin T-392
Cisco Security Advisory: Hard-Coded SNMP Community Names in Cisco Industrial Ethernet 3000 Series Switches Vulnerability
http://www.doecirc.energy.gov/bulletins/t-392.shtml

概要

Cisco Industrial Ethernet 3000 シリーズは、SNMP Community String 
がハードコードされている脆弱性があります。SNMP Community String 
を工場出荷時の設定から変更していない場合、遠隔の第三者が Cisco
Industrial Ethernet 3000 シリーズ製品の設定を変更する可能性があ
ります。

対象となる製品およびバージョンは以下の通りです。

- Cisco IOS Software リリース 12.2(52)SE または 12.2(52)SE1 を使
  用している Cisco Industrial Ethernet 3000 シリーズ

この問題は、Cisco が提供する修正済みのバージョンに Cisco IOS を
更新することで解決します。詳細については、Cisco が提供する情報を
参照してください。なお、Cisco によると、修正版となる Cisco IOS
リリース 12.2(55)SE は、2010年8月にリリースされる予定です。

【7】C/C++ セキュアコーディングセミナー 2010 ＠東京参加者募集中

情報源

JPCERT/CC
C/C++ セキュアコーディングセミナー 2010 ＠東京のご案内
https://www.jpcert.or.jp/event/securecoding-TKO-seminar.html

概要

JPCERT コーディネーションセンターは、C/C++ 言語で脆弱性を含まな
い安全なプログラムをコーディングする具体的なテクニックとノウハウ
を学んでいただく「C/C++ セキュアコーディングセミナー」を開催して
います。

8月からは東京を会場に、毎月一回、午後半日のセミナーを開催します。
毎回ひとつのトピックをとりあげ、講義と演習という形で、セキュアコー
ディングを学んでいただきます。

第一回 (8月5日) の「文字列」、第二回 (9月15日) の「整数」につい
て、参加申し込みを受け付けています。ふるってご参加ください。

  [日時] part1 ＜文字列＞ 2010年8月5日(木)
         13:30 -       受付開始
         14:00 - 16:00 文字列
         16:15 - 18:15 演習 (文字列)

         part2 ＜整数＞ 2010年9月15日(水)
         13:00 -        受付開始
         13:30 - 16:00  整数
         16:15 - 18:15  演習 (整数)

  [会場] 株式会社インターネットイニシアティブ大会議室1
         東京都千代田区神田神保町1-105 神保町三井ビルディング 17階
         (MAP) https://www.jpcert.or.jp/event/img/seminar_map.gif

  [定員]　70名／回
          (参加者多数の場合はお申し込み先着順となります)

  [対象]　C/C++言語でのソフトウェア開発に携わるプログラマ、プロ
          ジェクトマネージャ、コードレビュアー、品質管理担当者、
          プログラマ・エンジニアの教育担当者、等

■今週のひとくちメモ

○夏休みを控えて：引き続き Web 改ざんに注意

いわゆる Gumblar や SQL インジェクションなどによる悪意あるスクリ
プトを埋め込む Web 改ざんの被害の報告が、JPCERT/CC に引き続き多数
寄せられています。Web 更新担当者やシステム管理者の休暇中に、Web 
サイト改ざんなどの攻撃にあった場合、対応が遅れ被害が拡大する可能
性があります。
 
予防策を実施するとともに、万一被害にあった場合に備え、運用体制や
対応手順について、休暇前に確認しておくことをおすすめします。

参考文献 (日本語)

JPCERT/CC
JPCERT/CC インシデント報告対応レポート [ 2010年4月1日〜2010年6月30日 ]
https://www.jpcert.or.jp/pr/2010/IR_Report20100707.pdf

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2010-07-22号

<<< JPCERT/CC WEEKLY REPORT 2010-07-22 >>>

■07/11(日)〜07/17(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

○夏休みを控えて：引き続き Web 改ざんに注意

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次