<<< JPCERT/CC WEEKLY REPORT 2012-11-28 >>>

■11/18(日)〜11/24(土) のセキュリティ関連情報

目　次

【1】Mozilla 製品群に複数の脆弱性

【2】Adobe ColdFusion に脆弱性

【3】Opera ブラウザに脆弱性

【4】Autonomy Keyview IDOL に複数の脆弱性

【5】Java セキュアコーディングセミナー＠福岡 引き続き参加者募集中

【6】フィッシング対策セミナー2012 参加申し込み受付中

【今週のひとくちメモ】オンラインバンキングマルウエアに注意

【1】Mozilla 製品群に複数の脆弱性

情報源

JC3 Bulletin
V-029: Mozilla Firefox Multiple Bugs Let Remote Users Execute Arbitrary Code and Conduct Cross-Site Scripting Attacks
http://energy.gov/cio/articles/v-029-mozilla-firefox-multiple-bugs-let-remote-users-execute-arbitrary-code-and-conduct

概要

Mozilla 製品群には、複数の脆弱性があります。結果として、遠隔の第三者が、
ユーザのブラウザ上で任意のコードを実行したり、クロスサイトスクリプティ
ング攻撃を行ったりする可能性があります。

対象となるバージョンは以下の通りです。

- Firefox 17.0 より前のバージョン
- Firefox ESR 10.0.11 より前のバージョン
- Thunderbird 17.0 より前のバージョン
- Thunderbird ESR 10.0.11 より前のバージョン
- SeaMonkey 2.14 より前のバージョン

この問題は、Mozilla が提供する修正済みのバージョンに該当する製品を更新
することで解決します。詳細については、Mozilla が提供する情報を参照して
下さい。

関連文書 (日本語)

Mozilla
Mozilla Foundation セキュリティアドバイザリ
http://www.mozilla-japan.org/security/announce/

【2】Adobe ColdFusion に脆弱性

情報源

US-CERT Current Activity Archive
Adobe Releases Security Update for ColdFusion
http://www.us-cert.gov/current/archive/2012/11/20/archive.html#adobe_releases_security_updates_for9

概要

Adobe の ColdFusion には、脆弱性があります。結果として、遠隔の第三者が、
サービス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは以下の通りです。

- ColdFusion 10 Update 1 から 10 Update 4 までのバージョン（Windows用）

この問題は、Adobe が提供する修正済みのバージョンに ColdFusion を更新す
ることで解決します。詳細については、Adobe が提供する情報を参照して下さ
い。

関連文書 (日本語)

Adobe セキュリティ情報
APSB12-25: Windows 版 ColdFusion 10 用のホットフィックス公開(日本語抄訳)
http://helpx.adobe.com/jp/coldfusion/kb/cq11192132.html

【3】Opera ブラウザに脆弱性

情報源

Opera
Opera 12.11 for Windows changelog
http://www.opera.com/docs/changelogs/windows/1211/

概要

Opera ブラウザには、脆弱性があります。結果として、遠隔の第三者が細工し
た Web ページを閲覧させることで任意のコードを実行したり、サービス運用妨
害 (DoS) 攻撃を行ったりする可能性があります。

対象となるバージョンは以下の通りです。

- Opera 12.11 より前のバージョン

この問題は、Opera が提供する修正済みのバージョンに Opera ブラウザを更新
することで解決します。詳細については、Opera が提供する情報を参照して下
さい。

関連文書 (英語)

Opera
Advisory: HTTP response heap buffer overflow can allow execution of arbitrary code
http://www.opera.com/support/kb/view/1036/

Opera
Advisory: Error pages can be used to guess local file paths Severity
http://www.opera.com/support/kb/view/1037/

【4】Autonomy Keyview IDOL に複数の脆弱性

情報源

US-CERT Vulnerability Note VU#849841
Autonomy Keyview IDOL contains multiple vulnerabilities in file parsers
http://www.kb.cert.org/vuls/id/849841

概要

Autonomy Keyview IDOL には、複数の脆弱性があります。結果として、遠隔の
第三者が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったり
する可能性があります。

対象となるバージョンは以下の通りです。

- Autonomy Keyview IDOL バージョン 10.16 より前のバージョン
  その他、複数のベンダの製品が Autonomy Keyview IDOL を組み込んでいます。

この問題は、Autonomy が提供する修正済みのバージョンに Autonomy Keyview
IDOL を更新することで解決します。詳しくは Autonomy Keyview IDOL が組み
込まれた製品のベンダが提供する情報をご確認ください。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#849841
Autonomy Keyview IDOL ライブラリに複数の脆弱性
https://jvn.jp/cert/JVNVU849841/index.html

Symantec
複数のベンダーが影響を受ける HP Autonomy KeyView Filter の問題に関する更新
http://www.symantec.com/ja/jp/security_response/securityupdates/detail.jsp?fid=security_advisory&pvid=security_advisory&year%5C=&suid=20121120_00

【5】Java セキュアコーディングセミナー＠福岡 引き続き参加者募集中

情報源

JPCERT/CC
Java セキュアコーディングセミナー＠福岡のご案内
https://www.jpcert.or.jp/event/securecoding-FUK201212-seminar.html

概要

JPCERT コーディネーションセンターは、学生等の若年層向けに、Java 言語で
脆弱性を含まない安全なプログラムをコーディングする具体的なテクニックと
ノウハウを学んでいただく「Java セキュアコーディングセミナー」を開催して
います。このセミナーは、講義とハンズオン演習を組み合わせ、Java セキュア
コーディングについて、より実践的に学んでいただける内容となっています。

現在、福岡を会場として開催する「Java セキュアコーディングセミナー＠福岡」
の参加者を募集しています。ふるってご参加ください。

        [日時] 2012年12月9日(日) 10:30 - 16:00
        [会場] リファレンス駅東ビル　会議室Ｄ
               福岡市博多区博多駅東1丁目16-14
               (MAP) http://www.re-rental.com/map.html
        [定員]　40名
        [参加費用]　無料

        [内容]　Java言語とセキュリティ、脆弱性を取り巻く現状の認識
                「オブジェクトの生成とセキュリティ」
                「リソース消費攻撃とその対策」
                Javaにおける脆弱なコーディングの事例の解説
                クイズおよびハンズオン

関連文書 (日本語)

JPCERT/CC
Java セキュアコーディングセミナー＠福岡 お申し込み
https://www.jpcert.or.jp/event/securecoding-FUK201212-application.html

【6】フィッシング対策セミナー2012 参加申し込み受付中

情報源

フィッシング対策協議会
フィッシング対策セミナー2012
https://www.antiphishing.jp/news/event/antiphishing_seminar2012.html

概要

フィッシング対策協議会では日本国内におけるフィッシング詐欺被害の抑制を
目的として、「フィッシング対策セミナー2012」を開催します。今回は、みず
ほ銀行や警察庁の方がそれぞれの組織におけるフィッシング対策や対応につい
て講演されます。

参加費は無料です。(ただし、事前に参加申込みが必要となります。) 受付は
2012年12月10日(月) までですが、満席になり次第受付終了となりますので、ご
了承ください。

日時および場所：
    2012年12月14日（金）13:00-17:00 (開場12:30)
    楽天株式会社 品川シーサイド楽天タワー4F 朝会会場
    〒140-0002 東京都品川区東品川4-12-3
    http://corp.rakuten.co.jp/company/map/shinagawa.html

関連文書 (日本語)

フィッシング対策協議会
https://www.antiphishing.jp/

■今週のひとくちメモ

○オンラインバンキングマルウエアに注意

JPCERT/CC では、オンラインバンキングのアカウント情報を不正に入手しよう
とするマルウエアの情報を確認しています。

当該マルウエアに感染すると、正規のオンラインバンキングサイトにアクセス
した際に不正にアカウント情報を入力させようとします。この場合、アクセス
したサイトのドメイン名やサーバ証明書を確認するだけでは、被害を防ぐこと
はできません。

金融機関が第二認証情報 (乱数表や合言葉など) 全ての入力を求めることはあ
りません。ご使用のオンラインバンキングサイトでユーザ認証がどのように行
われるかをあらかじめ確認しておきましょう。

現時点で、JPCERT/CC ではこれらのマルウエアの感染経路を確認できていませ
ん。関連する情報をお持ちの方は、JPCERT/CC までご連絡ください。

参考文献 (日本語)

一般社団法人全国銀行協会
重要なお知らせ: インターネット・バンキングの本人認証情報をだまし取る不正なポップアップ画面にご注意！
http://www.zenginkyo.or.jp/topic/sagijiken_phishing/index.html

フィッシング対策協議会
【注意喚起】第二認証情報を詐取する手口にご注意ください(2012/10/29)
http://www.antiphishing.jp/news/alert/20121029.html

JPCERT/CC
インシデントの報告(Web フォーム)
https://form.jpcert.or.jp/

■JPCERT/CC からのお願い