<<< JPCERT/CC WEEKLY REPORT 2013-08-14 >>>

■08/04(日)〜08/10(土) のセキュリティ関連情報

目　次

【1】Mozilla 製品群に複数の脆弱性

【2】Samba にサービス運用妨害 (DoS) の脆弱性

【3】IP 電話に対する不正利用が増加

【4】PuTTY に複数の脆弱性

【5】IBM の iNotes に複数の脆弱性

【6】ドコモ海外利用アプリにおける接続処理に関する脆弱性

【今週のひとくちメモ】Microsoft Office 2010 SP2 提供開始

【1】Mozilla 製品群に複数の脆弱性

情報源

JC3 Bulletin
V-214: Mozilla Firefox Multiple Vulnerabilities
http://energy.gov/cio/articles/v-214-mozilla-firefox-multiple-vulnerabilities

概要

Mozilla 製品群には、複数の脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- Firefox 23.0 より前のバージョン
- Firefox ESR 17.0.8 より前のバージョン
- Thunderbird 17.0.8 より前のバージョン
- Thunderbird ESR 17.0.8 より前のバージョン
- SeaMonkey 2.20 より前のバージョン

この問題は、Mozilla が提供する修正済みのバージョンに該当する製品を更新
することで解決します。詳細については、Mozilla が提供する情報を参照して
下さい。

関連文書 (日本語)

Mozilla
Mozilla Foundation セキュリティアドバイザリ
http://www.mozilla-japan.org/security/announce/

【2】Samba にサービス運用妨害 (DoS) の脆弱性

情報源

JC3 Bulletin
V-212: Samba smbd CPU Processing Loop Lets Remote Users Deny Service
http://energy.gov/cio/articles/v-212-samba-smbd-cpu-processing-loop-lets-remote-users-deny-service

概要

Samba には、サービス運用妨害 (DoS) の脆弱性があります。結果として、
Samba に接続できるユーザが、サービス運用妨害 (DoS) 攻撃を行う可能性があ
ります。

対象となるバージョンは以下の通りです。

- Samba 3.0.x から 4.0.7

この問題は、使用している OS のベンダや配布元が提供する修正済みのバージョ
ンに Samba を更新することで解決します。詳細については、各ベンダや配布元
が提供する情報を参照してください。

関連文書 (英語)

Samba Security Release
Denial of service - CPU loop and memory allocation
http://www.samba.org/samba/security/CVE-2013-4124

【3】IP 電話に対する不正利用が増加

情報源

一般社団法人 電気通信事業者協会（TCA）
なりすまし利用など、第三者による不正なIP電話利用等に関して（ご注意）
http://www.tca.or.jp/press_release/2013/0806_583.html

概要

第三者が利用者になりすまして国際電話などを不正に発信する事例が続いてい
ます。すでに IP 電話サービスを提供している各事業者が顧客向けに注意喚起
を行っていますが、2013年8月6日には、電気通信事業者協会 (TCA) をはじめと
する関連団体が連名で注意喚起を公開しました。

社内や自宅で IP-PBX を運用している場合、設定内容は適切か、当該製品に関
するセキュリティアップデートを適用しているか、などを確認のうえ、稼働状
況を定期的に確認し、不正利用に備えてください。

JPCERT/CC も以前からインターネットに公開しているサーバや IP-PBX のセキュ
リティについて注意喚起を行っています。こちらも参考にしてください。

関連文書 (日本語)

JPCERT/CC Alert 2011-02-08
主に UNIX / Linux 系サーバを対象としてインターネット公開サーバのセキュリティ設定に関する注意喚起
https://www.jpcert.or.jp/at/2011/at110002.html

JPCERT/CC Alert 2010-12-09
不適切な設定で Asteriskを利用した場合に発生し得る不正利用に関する注意喚起
https://www.jpcert.or.jp/at/2010/at100032.html

【4】PuTTY に複数の脆弱性

情報源

JC3 Bulletin
V-213: PuTTY SSH Handshake Integer Overflow Vulnerabilities
http://energy.gov/cio/articles/v-213-putty-ssh-handshake-integer-overflow-vulnerabilities

概要

PuTTY には、複数の脆弱性があります。結果として、遠隔の第三者が、任意の
コードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- PuTTY 0.62 およびそれ以前

この問題は、開発者が提供する修正済みのバージョンに PuTTY を更新すること
で解決します。詳細については、開発者が提供する情報を参照して下さい。
また、本脆弱性は WinSCP にも影響があり、対策版が公開されています。

関連文書 (英語)

PuTTY Change Log
http://www.chiark.greenend.org.uk/~sgtatham/putty/changes.html

WinSCP
Recent Version History 5.1.6
http://winscp.net/eng/docs/history#5.1.6

【5】IBM の iNotes に複数の脆弱性

情報源

IBM Security Bulletin
IBM iNotes vulnerabilities (CVE-2013-3027, CVE-2013-3032, CVE-2013-3990)
http://www-01.ibm.com/support/docview.wss?uid=swg21645503

概要

IBM の iNotes には、複数の脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、ユーザのブラウザ上で任意のスクリプトを実行す
る可能性があります。

対象となるバージョンは以下の通りです。

- IBM iNotes 8.5, 8.5.1, 8.5.2, 8.5.3, 9.0

この問題は、IBM が提供する修正パッチを iNotes に適用することで解決しま
す。詳細については、IBM が提供する情報を参照して下さい。

【6】ドコモ海外利用アプリにおける接続処理に関する脆弱性

情報源

Japan Vulnerability Notes JVN#44035194
ドコモ海外利用アプリにおける接続処理に関する脆弱性
https://jvn.jp/jp/JVN44035194/index.html

概要

株式会社NTTドコモが提供するドコモ海外利用アプリには、脆弱性があります。
結果として、遠隔の第三者が、ユーザ情報を不正に取得する可能性があります。

対象となるバージョンは以下の通りです。

- ドコモ海外利用アプリ Ver2.0.0 から Ver2.0.4

この問題は、NTTドコモが提供する修正済みのバージョンにドコモ海外利用アプ
リを更新することで解決します。詳細については、NTTドコモが提供する情報を
参照して下さい。

関連文書 (日本語)

Google Play
ドコモ海外利用
https://play.google.com/store/apps/details?id=com.nttdocomo.android.gs.utility

■今週のひとくちメモ

○Microsoft Office 2010 SP2 提供開始

2013年7月、Microsoft は Office 2010 向け SP2 の提供を開始しました。SP1
のサポート期間は 2014年10月までとされています。Office 2010 を使っている
方は、サポート期間内に更新作業を行いましょう。

参考文献 (日本語)

Microsoft
Office 2010 のサービス パック 2 の説明
http://support.microsoft.com/kb/2687455/ja

参考文献 (英語)

Microsoft
Office 2010 and SharePoint 2010 Service Pack 2 Availability
http://blogs.technet.com/b/office_sustained_engineering/archive/2013/07/16/office-2010-and-sharepoint-2010-service-pack-2-availability.aspx

Microsoft
Microsoft Support Lifecycle
http://support.microsoft.com/lifecycle/?p1=13615&ln=en-us

■JPCERT/CC からのお願い