<<< JPCERT/CC WEEKLY REPORT 2015-01-15 >>>

■01/04(日)〜01/10(土) のセキュリティ関連情報

目　次

【1】OpenSSL に複数の脆弱性

【2】Intel Corporation 製チップセットに脆弱性

【3】複数の UEFI システムの boot script が適切に保護されていない問題

【4】UEFI EDK1 にバッファオーバーフローの脆弱性

【今週のひとくちメモ】「脆弱性診断士（Web アプリケーション）スキルマップ」が公開

【1】OpenSSL に複数の脆弱性

情報源

US-CERT Current Activity
OpenSSL Patches Eight Vulnerabilities
https://www.us-cert.gov/ncas/current-activity/2015/01/08/OpenSSL-Patches-Eight-Vulnerabilities

概要

OpenSSL には、複数の脆弱性があります。結果として、遠隔の第三者が、サー
ビス運用妨害 (DoS) 攻撃を行うなどの可能性があります。

対象となるバージョンは以下の通りです。

- OpenSSL 1.0.1k より前のバージョン
- OpenSSL 1.0.0p より前のバージョン
- OpenSSL 0.9.8zd より前のバージョン

この問題は、使用している OS のベンダや配布元が提供する修正済みのバージョン
に OpenSSL を更新することで解決します。詳細については、開発者が提供する
情報を参照して下さい。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#98974537
OpenSSL に複数の脆弱性
https://jvn.jp/vu/JVNVU98974537/

関連文書 (英語)

OpenSSL Project
OpenSSL Security Advisory [08 Jan 2015]
https://www.openssl.org/news/secadv_20150108.txt

【2】Intel Corporation 製チップセットに脆弱性

情報源

CERT/CC Vulnerability Note VU#766164
Intel BIOS locking mechanism contains race condition that enables write protection bypass
https://www.kb.cert.org/vuls/id/766164

概要

BIOS ロッキングメカニズムとして BIOS_CNTL.BIOSWE と BIOS_CNTL.BLE のみ
を使用する Intel Corporation 製チップセットには、脆弱性があります。結果
として、システムに物理的にアクセス可能なユーザが、ファームウェアを改ざん
したり、Secure Boot を回避したりするなどの可能性があります。

2015年1月9日現在、影響を受けることが確認されている製品の開発者は、以下
の通りです。

- American Megatrends Incorporated (AMI)
- Phoenix Technologies Ltd.

この問題は、開発者が提供する修正済みのバージョンにファームウェアを更新
することで解決します。詳細については、開発者が提供する情報を参照して下
さい。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#96159942
Intel BIOS ロッキングメカニズムに競合状態の脆弱性
https://jvn.jp/vu/JVNVU96159942/

【3】複数の UEFI システムの boot script が適切に保護されていない問題

情報源

CERT/CC Vulnerability Note VU#976132
Some UEFI systems do not properly secure the EFI S3 Resume Boot Path boot script
https://www.kb.cert.org/vuls/id/976132

概要

複数の UEFI システムには、EFI S3 Resume Boot Path で使用される boot script
が適切に保護されていない問題があります。結果として、システムに物理的に
アクセス可能なユーザが、ファームウェアを改ざんしたり、Secure Boot を回
避したりするなどの可能性があります。

2015年1月9日現在、影響を受けることが確認されている製品の開発者は、以下
の通りです。

- American Megatrends Incorporated (AMI)
- Intel Corporation
- Phoenix Technologies Ltd.

この問題は、開発者が提供する修正済みのバージョンにファームウェアを更新
することで解決します。詳細については、開発者が提供する情報を参照して下
さい。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#91050570
複数の UEFI システムにおいて EFI S3 Resume BootPath で使われる boot script が適切に保護されていない問題
https://jvn.jp/vu/JVNVU91050570/

関連文書 (英語)

Intel Corporation
BIOS Security Updates for Multiple Issues
https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00041&languageid=en-fr

【4】UEFI EDK1 にバッファオーバーフローの脆弱性

情報源

CERT/CC Vulnerability Note VU#533140
Tianocore UEFI implementation reclaim function vulnerable to buffer overflow
https://www.kb.cert.org/vuls/id/533140

概要

UEFI EDK1 の /source/Sample/Universal/Variable/RuntimeDxe/FS/FSVariable.c
には、バッファオーバーフローの脆弱性があります。結果として、システムに
物理的にアクセス可能なユーザが、ファームウェアを改ざんしたり、Secure Boot
を回避したりするなどの可能性があります。

2015年1月9日現在、影響を受けることが確認されている製品の開発者は、以下
の通りです。

- Insyde Software Corporation

この問題は、開発者が提供する修正済みのバージョンにファームウェアを更新
することで解決します。詳細については、開発者が提供する情報を参照して下
さい。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#91111635
UEFI EDK1 にバッファオーバーフローの脆弱性
https://jvn.jp/vu/JVNVU91111635/

■今週のひとくちメモ

○「脆弱性診断士（Web アプリケーション）スキルマップ」が公開

2014年12月24日、日本セキュリティオペレーション事業者協議会 (ISOG-J) と
OWASP (The Open Web Application Security Project) Japan との共同による
「脆弱性診断士（Web アプリケーション）スキルマップ」が公開されました。

このスキルマップは、Web アプリケーションの脆弱性診断に関する技術や法律
などの 7つの分野について、脆弱性診断を行う個人の技術的な能力を具体化す
ることを目的としています。

参考文献 (日本語)

日本ネットワークセキュリティ協会 (JNSA)
『脆弱性診断士（Web アプリケーション）スキルマップ』を公開
http://www.jnsa.org/press/2014/141224.pdf

日本セキュリティオペレーション事業者協議会 (ISOG-J)
脆弱性診断士（Web アプリケーション）スキルマップについて
http://isog-j.org/output/2014/about-pentester-web-skillmap-201412.pdf

日本セキュリティオペレーション事業者協議会 (ISOG-J)
脆弱性診断士（Webアプリケーション）スキルマップ Ver.1.0
http://isog-j.org/output/2014/pentester-web-skillmap-201412.pdf

■JPCERT/CC からのお願い