<<< JPCERT/CC WEEKLY REPORT 2013-11-07 >>>

■10/27(日)〜11/02(土) のセキュリティ関連情報

目　次

【1】Mozilla 製品群に複数の脆弱性

【2】Cisco Identity Services Engine に脆弱性

【3】Joomla! に脆弱性

【4】Tiki Wiki CMS Groupware に複数の脆弱性

【今週のひとくちメモ】オープンリゾルバ確認サイト公開のお知らせ

【1】Mozilla 製品群に複数の脆弱性

情報源

US-CERT Current Activity
Mozilla Releases Updates for Firefox, Thunderbird, and Seamonkey
https://www.us-cert.gov/ncas/current-activity/2013/10/29/Mozilla-Releases-Updates-Firefox-Thunderbird-and-Seamonkey

概要

Mozilla 製品群には、複数の脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- Firefox 25.0 より前のバージョン
- Firefox ESR 24.1 より前のバージョン
- Firefox ESR 17.0.10 より前のバージョン
- Thunderbird 24.1 より前のバージョン
- Thunderbird ESR 17.0.10 より前のバージョン
- SeaMonkey 2.22 より前のバージョン

この問題は、Mozilla が提供する修正済みのバージョンに該当する製品を更新
することで解決します。詳細については、Mozilla が提供する情報を参照して
下さい。

関連文書 (日本語)

Mozilla
Mozilla Foundation セキュリティアドバイザリ
http://www.mozilla-japan.org/security/announce/

【2】Cisco Identity Services Engine に脆弱性

情報源

CERT/CC Vulnerability Note VU#952422
Cisco Identity Services Engine contains an input validation vulnerability
http://www.kb.cert.org/vuls/id/952422

概要

Cisco Identity Services Engine (ISE) には、脆弱性があります。結果とし
て、ユーザが管理者権限で任意のコードを実行する可能性があります。

影響を受けるバージョンは複数存在します。

この問題は、Cisco が提供する修正済みのバージョンに ISE を更新すること
で解決します。詳細については、Cisco が提供する情報を参照して下さい。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#96036147
Cisco Identity Services Engine に脆弱性
https://jvn.jp/cert/JVNVU96036147/index.html

関連文書 (英語)

Cisco Security Advisory
Multiple Vulnerabilities in Cisco Identity Services Engine
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20131023-ise

【3】Joomla! に脆弱性

情報源

CERT/CC Vulnerability Note VU#639620
Joomla! Media Manager allows arbitrary file upload and execution
http://www.kb.cert.org/vuls/id/639620

概要

Joomla! には、脆弱性があります。結果として、遠隔の第三者が任意のファイ
ルをアップロードする可能性があります。

対象となるバージョンは以下の通りです。

- Joomla! version 2.5.13 およびそれ以前のバージョン 2.5.x
- Joomla! version 3.1.4 およびそれ以前のバージョン 3.x

この問題は、Joomla! が提供する修正済みのバージョンに Joomla! を更新す
ることで解決します。詳細については、Joomla! が提供する情報を参照して下
さい。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#99659350
Joomla! にファイルアップロードに関する脆弱性
https://jvn.jp/cert/JVNVU99659350/index.html

関連文書 (英語)

Joomla! Developer Network
[20130801] - Core - Unauthorised Uploads
http://developer.joomla.org/security/news/563-20130801-core-unauthorised-uploads

【4】Tiki Wiki CMS Groupware に複数の脆弱性

情報源

CERT/CC Vulnerability Note VU#450646
Tiki Wiki CMS Groupware version 11.0 contains a cross-site scripting (XSS) vulnerability
http://www.kb.cert.org/vuls/id/450646

Japan Vulnerability Notes JVN#81813850
Tiki Wiki CMS Groupware におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN81813850/index.html

Japan Vulnerability Notes JVN#75720314
Tiki Wiki CMS Groupware における SQL インジェクションの脆弱性
https://jvn.jp/jp/JVN75720314/index.html

概要

Tiki Wiki CMS Groupware (Tiki) には、複数の脆弱性があります。結果として、
遠隔の第三者がデータベースに対して任意の SQL コマンドを実行したり、ユー
ザのブラウザ上で任意のスクリプトを実行したりする可能性があります。

対象となるバージョンは以下の通りです。

- Tiki version 11.1 より前のバージョン
- Tiki version 10.4 より前のバージョン
- Tiki version 9.7LTS より前のバージョン
- Tiki version 6.13LTS より前のバージョン

この問題は、Tiki が提供する修正済みのバージョンに Tiki を更新すること
で解決します。詳細については、Tiki が提供する情報を参照して下さい。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#94688617
Tiki Wiki CMS Groupware にクロスサイトスクリプティングの脆弱性　
https://jvn.jp/cert/JVNVU94688617/index.html

関連文書 (英語)

Tiki Wiki CMS Groupware
New Versions of all supported versions of Tiki Wiki CMS Groupware
http://info.tiki.org/article221-New-Versions-of-all-supported-versions-of-Tiki-Wiki-CMS-Groupware

■今週のひとくちメモ

○オープンリゾルバ確認サイト公開のお知らせ

JPCERT/CC は、お手元の PC からオープンリゾルバの確認ができるサイトを公
開いたしました。

オープンリゾルバとは、外部の不特定の IP アドレスからの再帰的な問い合わ
せを許可している DNS サーバのことです。オープンリゾルバは国内外に多数
存在し、大規模な DDoS 攻撃の踏み台として悪用されているとの報告がありま
す。また、DNS サーバとして運用しているホストだけではなく、ブロードバン
ドルータなどのネットワーク機器が意図せずオープンリゾルバになっている事
例があることを確認しています。

本確認サイトでは、お使いの PC に設定されている DNS サーバと、本確認サ
イトへの接続元となっているブロードバンドルータなどのネットワーク機器が
オープンリゾルバとなっていないかを確認することが可能です。

また、ホスティングサービスで使用しているサーバの管理者の方が wget コマ
ンドなどを使用してコマンドラインから確認できるサイトも用意しています。

知らず知らずのうちにサイバー攻撃に加担していないか、念のため本サイトで
確認いただけますようお願いいたします。

参考文献 (日本語)

JPCERT コーディネーションセンター
オープンリゾルバ確認サイト公開のお知らせ
https://www.jpcert.or.jp/pr/2013/pr130002.html

オープンリゾルバ確認サイト
http://www.openresolver.jp/

■JPCERT/CC からのお願い