JPCERT-WR-2011-4901

JPCERT/CC

2011-12-21

<<< JPCERT/CC WEEKLY REPORT 2011-12-21 >>>

■12/11(日)〜12/17(土) のセキュリティ関連情報

目　次

【1】2011年12月 Microsoft セキュリティ情報について

【2】「Adobe Reader および Acrobat に脆弱性」に関する追加情報

【3】Google Chrome に脆弱性

【4】Adobe ColdFusion にクロスサイトスクリプティングの脆弱性

【5】RSA SecurID Software Token における DLL 読み込みに関する脆弱性

【今週のひとくちメモ】担当者が選ぶ 2011年重大ニュース

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2011/wr114901.txt
https://www.jpcert.or.jp/wr/2011/wr114901.xml

【1】2011年12月 Microsoft セキュリティ情報について

情報源

US-CERT Technical Cyber Security Alert TA11-347A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA11-347A.html

US-CERT Cyber Security Alert SA11-347A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/alerts/SA11-347A.html

概要

Microsoft Windows、Microsoft Office、Internet Explorer および関連
コンポーネントには、複数の脆弱性があります。結果として、遠隔の第
三者が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行っ
たりする可能性があります。

この問題は、Microsoft Update などを用いて、セキュリティ更新プログ
ラムを適用することで解決します。なお、今回のセキュリティ更新プロ
グラムには、JPCERT/CC WEEKLY REPORT 2011-11-09【1】「マイクロソフ
トの TrueType フォント解析エンジンに脆弱性」で紹介した脆弱性に対
する修正も含まれます。

【2】「Adobe Reader および Acrobat に脆弱性」に関する追加情報

情報源

US-CERT Technical Cyber Security Alert TA11-350A
Adobe Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA11-350A.html

US-CERT Cyber Security Alert SA11-350A
Adobe Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/alerts/SA11-350A.html

概要

JPCERT/CC WEEKLY REPORT 2011-12-14 号【1】で紹介した「Adobe
Reader および Acrobat に脆弱性」に関する追加情報です。

Windows 版の Adobe Reader 9.x および Acrobat 9.x の修正済みのバー
ジョンが公開されました。なお、Adobe によると、その他のバージョン
に対する修正版は 2012年1月10日にリリースされる予定です。詳細につ
いては Adobe が提供する情報を参照してください。

【3】Google Chrome に脆弱性

情報源

US-CERT Current Activity Archive
Google Releases Chrome 16.0.912.63
http://www.us-cert.gov/current/archive/2011/12/15/archive.html#google_releases_chrome_16_0

概要

Google Chrome には脆弱性があります。対象となるバージョンは以下の
通りです。

- Google Chrome 16.0.912.63 より前のバージョン

この問題は、Google が提供する修正済みのバージョンに Google
Chrome を更新することで解決します。

【4】Adobe ColdFusion にクロスサイトスクリプティングの脆弱性

情報源

JC3-CIRC Technical Bulletin U-060
Security update: Hotfix available for ColdFusion
http://circ.jc3.doe.gov/bulletins/u-060.shtml

概要

ColdFusion には、クロスサイトスクリプティングの脆弱性があります。
結果として、遠隔の第三者がユーザのブラウザ上で任意のスクリプトを
実行する可能性があります。

対象となるプラットフォームおよびバージョンは以下の通りです。

- Windows 版、Macintosh 版、UNIX 版の ColdFusion 8.0、8.0.1、9.0、
  9.0.1

この問題は、Adobe が提供する修正済みのバージョンに ColdFusion を
更新することで解決します。詳細については、Adobe が提供する情報を
参照してください。

【5】RSA SecurID Software Token における DLL 読み込みに関する脆弱性

情報源

JC3-CIRC Technical Bulletin U-063
RSA SecurID Software Token for Windows DLL Loading Error Lets Remote Users Execute Arbitrary Code
http://circ.jc3.doe.gov/bulletins/u-063.shtml

概要

RSA SecurID Software Token for Microsoft Windows の DLL 読み込み
処理には、脆弱性があります。結果として、遠隔の第三者が細工した 
DLL を読み込ませることで、プログラムを実行している権限で任意の
コードを実行する可能性があります。

対象となる製品およびバージョンは以下の通りです。

- RSA SecurID Software Token for Microsoft Windows 4.1

この問題は、EMC が提供する修正済みのバージョンに RSA SecurID 
Software Token を更新することで解決します。

■今週のひとくちメモ

○担当者が選ぶ 2011年重大ニュース

2011年もいよいよ残り少なくなってきました。今年もこの場をお借りし
て、担当者が選んだ 2011年の重大ニュースをご紹介いたします。

- 国内金融機関のフィッシング増加 
  国内の金融機関を騙るフィッシングが数多く報告されました。この一
  連のフィッシングでは国内の複数の金融機関が標的となっており、標
  的が数週間ごとに変化、第二認証情報も詐取する、などの特徴がみら
  れました。

- サイバー攻撃
  国内の企業に対してアノニマスと名乗るグループが攻撃を行ったこと
  がニュースに取り上げられたり、防衛産業や政府組織に対して標的型
  攻撃が行われていたことが報じられるなど、メディアにおいて「サイ
  バー攻撃」という言葉を目にする機会が増えました。

- サーバソフトウエアの脆弱性
  ネームサーバ BIND や Web サーバ Apache など、ネットワーク運用に
  関わるサーバプログラムの脆弱性が大きなニュースになりました. 適
  切なタイミングで脆弱性対応を行うことができるように日頃から情報
  収集を行うとともに、サーバ運用体制の確認を怠らないようにしましょ
  う。

- IT 環境の変化 (クラウド、スマートフォン)
  企業で、クラウドサービスやスマートフォンなどのモバイルデバイス
  を活用する事例が登場しており、今後さらに普及していくことが予想
  されます。インターネットを通じて業務システムを利用する場合や、
  モバイルデバイスを業務に利用する場合、システム管理者は、どこま
  でを自分のコントロール下におけるか、マルウエアや外部からの攻撃
  などの脅威が企業の活動にどう影響を与えるかを把握することが肝要
  です。

- SSL 証明書の不正発行
  認証局を運営する DigiNotar 社が不正アクセスをうけ、証明書を不正
  に発行してしまう事件が発生しました。その他にも同様の事例が複数
  発生し、Web ブラウザのベンダや OS ベンダはバンドルしている証明
  書を削除したり無効にしたりするなどの対策を行いました。

- 自然災害と IT 
  東日本大震災、台風15号、タイの洪水など多くの自然災害が発生しま
  した。直接的な被害に加え、交通網の混乱や電力供給の問題などが、
  企業の業務システムの運用にも深刻な影響を与えています。

来年が皆様にとって良い年になることを、編集担当一同祈っております。
来年も Weekly Report をどうぞよろしくお願いいたします。

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2011-12-21号

<<< JPCERT/CC WEEKLY REPORT 2011-12-21 >>>

■12/11(日)〜12/17(土) のセキュリティ関連情報

目　次

【1】2011年12月 Microsoft セキュリティ情報について

【2】「Adobe Reader および Acrobat に脆弱性」に関する追加情報

【3】Google Chrome に脆弱性

【4】Adobe ColdFusion にクロスサイトスクリプティングの脆弱性

【5】RSA SecurID Software Token における DLL 読み込みに関する脆弱性

【今週のひとくちメモ】担当者が選ぶ 2011年重大ニュース

【1】2011年12月 Microsoft セキュリティ情報について

情報源

概要

関連文書 (日本語)

関連文書 (英語)

【2】「Adobe Reader および Acrobat に脆弱性」に関する追加情報

情報源

概要

関連文書 (日本語)

関連文書 (英語)

【3】Google Chrome に脆弱性

情報源

概要

関連文書 (英語)

【4】Adobe ColdFusion にクロスサイトスクリプティングの脆弱性

情報源

概要

関連文書 (日本語)

【5】RSA SecurID Software Token における DLL 読み込みに関する脆弱性

情報源

概要

関連文書 (日本語)

関連文書 (英語)

■今週のひとくちメモ

○担当者が選ぶ 2011年重大ニュース

■JPCERT/CC からのお願い

Weekly Report 2011-12-21号

<<< JPCERT/CC WEEKLY REPORT 2011-12-21 >>>

■12/11(日)〜12/17(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

○担当者が選ぶ 2011年重大ニュース

■JPCERT/CC からのお願い

目　次