JPCERT-WR-2013-0201

JPCERT/CC

2013-01-17

<<< JPCERT/CC WEEKLY REPORT 2013-01-17 >>>

■01/06(日)〜01/12(土) のセキュリティ関連情報

目　次

【1】Microsoft の複数の製品に脆弱性

【2】Oracle Java 7 に脆弱性

【3】Ruby on Rails の Action Pack に複数の脆弱性

【4】Adobe Flash Player に複数の脆弱性

【5】Adobe Acrobat および Adobe Reader に複数の脆弱性

【6】Adobe ColdFusion に複数の脆弱性

【今週のひとくちメモ】Java 7 のコントロールパネル

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2013/wr130201.txt
https://www.jpcert.or.jp/wr/2013/wr130201.xml

【1】Microsoft の複数の製品に脆弱性

情報源

US-CERT Alert (TA13-008A)
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA13-008A.html

US-CERT Vulnerability Note VU#154201
Microsoft Internet Explorer CButton use-after-free vulnerability
http://www.kb.cert.org/vuls/id/154201

概要

Microsoft 製品には複数の脆弱性があります。結果として、遠隔の第三者が任
意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性
があります。

対象となる製品は以下の通りです。

- Microsoft Windows
- Microsoft Office
- Microsoft 開発者用ツール
- Microsoft サーバー ソフトウェア
- Microsoft .NET Framework
- Microsoft Internet Explorer 6、7、8

この問題は、Microsoft Update 等を用いて、セキュリティ更新プログラムを適
用することで解決します。また、JPCERT/CC WEEKLY REPORT 2013-01-09 号【1】
で紹介した「Microsoft Internet Explorer に脆弱性」についても、1月15日に
セキュリティ更新プログラムが提供されています。

詳細については、Microsoft が提供する情報を参照して下さい。

【2】Oracle Java 7 に脆弱性

情報源

US-CERT Vulnerability Note VU#625617
Java 7 fails to restrict access to privileged code
http://www.kb.cert.org/vuls/id/625617

概要

Oracle Java 7 には、複数の脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能
性があります。

対象となるバージョンは以下の通りです。

- JDK/JRE 7 Update 10 およびそれ以前

この問題は、Oracle が提供する修正済みのバージョンに該当する製品を更新す
ることで解決します。詳細については、Oracle が提供する情報を参照して下さ
い。

【3】Ruby on Rails の Action Pack に複数の脆弱性

情報源

US-CERT Vulnerability Note VU#380039
Ruby on Rails Action Pack framework insecurely typecasts YAML and Symbol XML parameters
http://www.kb.cert.org/vuls/id/380039

概要

Ruby on Rails の Action Pack には、複数の脆弱性があります。結果として、
遠隔の第三者が、SQL インジェクション攻撃を行ったり、任意のコードを実行
したりする可能性があります。

対象となるバージョンは以下の通りです。

- Ruby on Rails バージョン 3.2.11 より前のバージョン
- Ruby on Rails バージョン 3.1.10 より前のバージョン
- Ruby on Rails バージョン 3.0.19 より前のバージョン
- Ruby on Rails バージョン 2.3.15 より前のバージョン

この問題は、使用している OS のベンダや配布元が提供する修正済みのバージョ
ンに Ruby on Rails を更新することで解決します。詳細については、配布元が
提供する情報を参照して下さい。

【4】Adobe Flash Player に複数の脆弱性

情報源

JC3 Bulletin
V-065: Adobe Flash Player Buffer Overflow Lets Remote Users Execute Arbitrary Code
http://energy.gov/cio/articles/v-065-adobe-flash-player-buffer-overflow-lets-remote-users-execute-arbitrary-code

概要

Adobe Flash Player には、複数の脆弱性があります。結果として、第三者が細
工したコンテンツをユーザに開かせることで、任意のコードを実行する可能性
があります。

対象となるバージョンは以下の通りです。

- Windows 用 Adobe Flash Player 11.5.502.135 およびそれ以前のバージョン
- Macintosh 用 Adobe Flash Player 11.5.502.136 およびそれ以前のバージョン
- Linux 用 Adobe Flash Player 11.2.202.258 およびそれ以前のバージョン
- Android 4.x 用 Adobe Flash Player 11.1.115.34 およびそれ以前のバージョン
- Android 3.x 及び 2.x 用 Adobe Flash Player 11.1.111.29 およびそれ以前のバージョン
- Windows、Android 用 Adobe AIR 3.5.0.880 およびそれ以前のバージョン
- Macintosh 用 Adobe AIR 3.5.0.890 およびそれ以前のバージョン
- Adobe AIR 3.5.0.880 SDK および Adobe AIR 3.5.0.890 SDK

この問題は、Adobe が提供する修正済みのバージョンに Adobe Flash Player
を更新することで解決します。詳細については、Adobe が提供する情報を参照
して下さい。

【5】Adobe Acrobat および Adobe Reader に複数の脆弱性

情報源

JC3 Bulletin
V-066: Adobe Acrobat/Reader Multiple Flaws Lets Remote Users Execute Arbitrary Code and Local Users Gain Elevated Privileges
http://energy.gov/cio/articles/v-066-adobe-acrobatreader-multiple-flaws-lets-remote-users-execute-arbitrary-code-and

概要

Adobe Acrobat および Adobe Reader には、複数の脆弱性があります。結果と
して、第三者が細工したコンテンツをユーザに開かせることで、任意のコード
を実行したり、権限を昇格したり、セキュリティ制限を回避したりする可能性
があります。

対象となるバージョンは以下の通りです。

- Windows および Macintosh 用 Adobe Reader XI (11.0.0)
- Windows および Macintosh 用 Adobe Reader X (10.1.4) およびそれ以前
- Windows および Macintosh 用 Adobe Reader 9.5.2 およびそれ以前
- Linux 用 Adobe Reader 9.5.1 およびそれ以前
- Windows および Macintosh 用 Adobe Acrobat XI (11.0.0)
- Windows および Macintosh 用 Adobe Acrobat X (10.1.4) およびそれ以前
- Windows および Macintosh 用 Adobe Acrobat 9.5.2 およびそれ以前

この問題は、Adobe が提供する修正済みのバージョンに該当する製品を更新す
ることで解決します。詳細については、Adobe が提供する情報を参照して下さ
い。

【6】Adobe ColdFusion に複数の脆弱性

情報源

JC3 Bulletin
V-063: Adobe ColdFusion Bugs Let Remote Users Gain Access and Obtain Information
http://energy.gov/cio/articles/v-063-adobe-coldfusion-bugs-let-remote-users-gain-access-and-obtain-information

概要

Adobe ColdFusion には、複数の脆弱性があります。結果として、遠隔の第三者
が、認証を回避してシステムにアクセスする可能性があります。

対象となるバージョンは以下の通りです。

- Adobe ColdFusion のバージョン 10、9.0.2、9.0.1 および 9.0

この問題は、Adobe が提供する修正済のバージョンに ColdFusion を更新する
ことで解決します。詳細については、Adobe が提供する情報を参照して下さい。

■今週のひとくちメモ

○Java 7 のコントロールパネル

Java 7 の update 10 から「Javaコントロール・パネル」が提供されるように
なりました。Web ブラウザで Java を使用しない場合には、コントロールパネ
ルから「ブラウザでJavaコンテンツを有効にする」のチェックを外すことによ
り、インストールされている全ての Web ブラウザで Java プラグインを無効に
することができます。

参考文献 (日本語)

Java.com
WebブラウザでJavaを無効にするにはどうすればよいですか。
http://java.com/ja/download/help/disable_browser.xml

マイクロソフト株式会社
Internet Explorer で Java Web プラグインを無効にする方法
http://support.microsoft.com/kb/2751647/ja

Mozilla Support
Java アプレットを無効にするには
https://support.mozilla.org/ja/kb/How%20to%20turn%20off%20Java%20applets

Google
プラグイン
https://support.google.com/chrome/bin/answer.py?hl=ja&answer=142064

Apple
Safari で Java Web プラグインを無効にする方法
http://support.apple.com/kb/HT5241?viewlocale=ja_JP&locale=ja_JP

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2013-01-17号

<<< JPCERT/CC WEEKLY REPORT 2013-01-17 >>>

■01/06(日)〜01/12(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

○Java 7 のコントロールパネル

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次