<<< JPCERT/CC WEEKLY REPORT 2011-11-24 >>>

■11/13(日)〜11/19(土) のセキュリティ関連情報

目　次

【1】ISC BIND に複数の脆弱性

【2】Apple iTunes に脆弱性

【3】Google Chrome に脆弱性

【4】VMware vCenter Update Manager の Jetty Web サーバに脆弱性

【今週のひとくちメモ】サーバアプリケーションのアップデート確認

【1】ISC BIND に複数の脆弱性

情報源

US-CERT Current Activity Archive
Internet Systems Consortium Releases BIND-P1 Patches
http://www.us-cert.gov/current/archive/2011/11/17/archive.html#internet_system_consotium_releases_bind

概要

ISC BIND のキャッシュ DNS サーバ機能には脆弱性があります。結果と
して、遠隔の第三者が細工した DNS パケットを処理させることで、サー
ビス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは以下の通りです。

- ISC BIND 9

この問題は、使用している OS のベンダや配布元が提供する修正済のバー
ジョンに ISC BIND を更新することで解決します。詳細については、各
ベンダや配布元が提供する情報を参照してください。
		

関連文書 (日本語)

Internet Systems Consortium
Japanese version of notice for CVE-2011-4313 - BIND 9キャッシュサーバがquery.cでエラーログを出してクラッシュする
https://www.isc.org/advisorycve20114313JP

株式会社日本レジストリサービス
（緊急）BIND 9.xのキャッシュDNSサーバー機能の実装上の問題によるnamedのサービス停止について - バージョンアップを強く推奨 -
http://jprs.jp/tech/security/2011-11-17-bind9-vuln-crash-after-logging-an-error.html

社団法人日本ネットワークインフォメーションセンター（JPNIC）
ISC BIND 9に関する脆弱性について
http://www.nic.ad.jp/ja/topics/2011/20111117-01.html

JPCERT/CC Alert 2011-11-17 JPCERT-AT-2011-0031
ISC BIND 9 サービス運用妨害の脆弱性に関する注意喚起
https://www.jpcert.or.jp/at/2011/at110031.html

関連文書 (英語)

Internet Systems Consortium
BIND 9 Resolver crashes after logging an error in query.c
https://www.isc.org/software/bind/advisories/cve-2011-4313

【2】Apple iTunes に脆弱性

情報源

US-CERT Current Activity Archive
Apple Releases iTunes 10.5.1
http://www.us-cert.gov/current/archive/2011/11/17/archive.html#apple_releases_itunes_10_51

概要

Apple iTunes には、脆弱性があります。結果として、遠隔の第三者が中
間者攻撃 (man-in-the-middle attack) により、任意のソフトウェアを
iTunes のアップデートに見せかける可能性があります。

対象となる製品は以下の通りです。

- Apple iTunes 10.5.1 より前のバージョン

この問題は、Apple が提供する修正済みのバージョンに iTunes を更新
することで解決します。詳細については、Apple が提供する情報を参照
してください。
		

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#535830
Apple iTunes における脆弱性に対するアップデート
https://jvn.jp/cert/JVNVU535830/index.html

関連文書 (英語)

Apple Support HT5030
About the security content of iTunes 10.5.1
http://support.apple.com/kb/HT5030?viewlocale=en_US

【3】Google Chrome に脆弱性

情報源

US-CERT Current Activity Archive
Google Releases Chrome 15.0.874.121
http://www.us-cert.gov/current/archive/2011/11/17/archive.html#google_releases_chrome_15_02

概要

Google Chrome には脆弱性があります。対象となるバージョンは以下の
通りです。

- Google Chrome 15.0.874.121 より前のバージョン

この問題は、Google が提供する修正済みのバージョンに Google
Chrome を更新することで解決します。
		

関連文書 (英語)

Google Chrome Releases
Stable Channel Update
http://googlechromereleases.blogspot.com/2011/11/stable-channel-update_16.html

【4】VMware vCenter Update Manager の Jetty Web サーバに脆弱性

情報源

VMware Security Advisories (VMSAs)
VMSA-2011-0014 VMware vCenter Update Manager fix for Jetty Web server addresses directory traversal vulnerability
http://www.vmware.com/security/advisories/VMSA-2011-0014.html

概要

VMware vCenter Update Manager の Jetty Web サーバには、脆弱性があ
ります。結果として、遠隔の第三者が機密情報を取得するなどの可能性
があります。

対象となるバージョンは以下の通りです。

- Update 2 より前の vCenter Update Manager 4.1
- Update 4 より前の vCenter Update Manager 4.0

この問題は、VMware が提供する修正済みのバージョンに vCenter
Update Manager を更新することで解決します。詳細については、
VMware が提供する情報を参照してください。
		

■今週のひとくちメモ

○サーバアプリケーションのアップデート確認

2011年も残すところあと 1ヶ月になりました。今年も、Apache や BIND
など重要なサーバアプリケーションに脆弱性が見つかり、対応したパッ
チやアップデートが公開されています。また、JBoss の脆弱性を攻撃す
る Worm が登場し、アップデートを怠っていた JBoss サーバに感染する
という事象も発生しています。

年末休暇の前に身の回りのサーバを点検し、サーバアプリケーションの
バージョンや設定項目などに、セキュリティ上の問題がないか確認しま
しょう。

参考文献 (日本語)

Japan Vulnerability Notes JVNVU#405811
Apache HTTPD サーバにサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/cert/JVNVU405811/

@police
80/TCP に対するアクセスの増加について
http://www.npa.go.jp/cyberpolice/detect/pdf/20111104.pdf

参考文献 (英語)

JBoss Community
Statement Regarding Security Threat to JBoss Application Server
http://community.jboss.org/blogs/mjc/2011/10/20/statement-regarding-security-threat-to-jboss-application-server

Internet Systems Consortium
BIND 9 Resolver crashes after logging an error in query.c
http://www.isc.org/software/bind/advisories/cve-2011-4313

Internet Systems Consortium
ISC BIND 9 Remote packet Denial of Service against Authoritative and Recursive Servers
http://www.isc.org/software/bind/advisories/cve-2011-2464

■JPCERT/CC からのお願い