-----BEGIN PGP SIGNED MESSAGE----- JPCERT-WR-2003-1801 JPCERT/CC 2003-05-08 <<< JPCERT/CC REPORT 2003-05-08 >>> これは JPCERT/CC が 4/27(日) から 5/3(土) の間に得たセキュリティ関連情 報のうち、重要と思われるものを抜粋してまとめたレポートです。 [1] CIAC Bulletin N-087 Microsoft Cumulative Patch for BizTalk Server http://www.ciac.org/ciac/bulletins/n-087.shtml Microsoft BizTalk Server 2000 および 2002 には脆弱性があります。結果と して、遠隔から第三者が Biztalk Server の実行ユーザの権限を取得するなど の影響を受ける可能性があります。この問題は、Microsoft が提供する修正プ ログラムを適用することで解決します。 関連文書 (日本語) マイクロソフト セキュリティ情報 BizTalk Server 用の累積的な修正プログラム (815206) (MS03-016) http://www.microsoft.com/japan/technet/security/bulletin/MS03-016.asp [2] CIAC Bulletin N-088 Hewlett-Packard rexec Command Security Vulnerability http://www.ciac.org/ciac/bulletins/n-088.shtml HP-UX バージョン 10.20 および 11.00 の rexec コマンドには、バッファオー バーフローの脆弱性があります。結果として、ローカルユーザが root 権限を 取得する可能性があります。この問題は、HP が提供するパッチを適用するこ とで解決します。 [3] CIAC Bulletin N-089 Red Hat MySQL Vulnerabilities http://www.ciac.org/ciac/bulletins/n-089.shtml MySQL バージョン 3.23.55 およびそれ以前には複数の脆弱性があります。結 果として、MySQL のユーザが root 権限を取得するなどの影響を受ける可能性 があります。 この問題は、MySQL をバージョン 3.23.56 (もしくはそれ以降) に更新する、 またはベンダや配布元が提供するパッケージに更新することで解決します。 関連情報 (日本語) Turbolinux Security Advisory TLSA-2003-25 MySQL ユーザが root 権限を奪取 http://www.turbolinux.co.jp/security/TLSA-2003-25j.txt 関連文書 (英語) MySQL Manual | D.4.3 Changes in release 3.23.55 (23 Jan 2003) http://www.mysql.com/doc/en/News-3.23.55.html MySQL Manual | D.4.2 Changes in release 3.23.56 (13 Mar 2003) http://www.mysql.com/doc/en/News-3.23.56.html Red Hat Linux Security Advisory RHSA-2003:093-14 Updated MySQL packages fix vulnerabilities https://rhn.redhat.com/errata/RHSA-2003-093.html Red Hat Linux Security Advisory RHSA-2003:094-06 Updated MySQL packages fix vulnerabilities https://rhn.redhat.com/errata/RHSA-2003-094.html [4] CIAC Bulletin N-084 SGI nsd LDAP Implementation Vulnerability http://www.ciac.org/ciac/bulletins/n-084.shtml バージョン 6.5.19 およびそれ以前の SGI IRIX 6.5 には、LDAP ネームサー ビスの実装に脆弱性があります。結果として、遠隔から第三者がパスワードな しにログインする可能性があります。 この問題は、IRIX 6.5.20 に更新する、もしくは SGI が提供するパッチを適 用することで解決します。 関連文書 (英語) SGI Security Advisory 20030407-01-P Vulnerability in nsd LDAP Implementation ftp://patches.sgi.com/support/free/security/advisories/20030407-01-P [5] CIAC Bulletin N-085 Oracle Buffer Overflow in Net Services for Oracle Database Server http://www.ciac.org/ciac/bulletins/n-085.shtml オラクルデータベースサーバの Oracle Net Services には、バッファオーバー フローの脆弱性があります。結果として、データベースのユーザがデータベー スサーバプログラムの実行ユーザ権限を取得する可能性があります。対象とな るのは以下のオラクル製品です。 - Oracle9i Database Release2 9.2.0.1 - 9.2.0.2 - Oracle9i Database Release 9.0.1.0 - 9.0.1.4 - Oracle8i Database Release 8.1.x - Oracle8 Database Release 8.0.x - Oracle7 Database Release 7.3.x ※ バージョン表記は日本オラクルのセキュリティ情報に基づいています。 この問題は、オラクルが提供するパッチを適用することで解決します。 関連文書 (日本語) Oracle Technology Network - セキュリティ・アラート Oracle Net Services の潜在的なバッファ・オーバーフロー・セキュリティの脆弱性対応策 http://otn.oracle.co.jp/security/030502_54/top.html [6] CIAC Bulletin N-086 HP Tru64 UNIX Software Installation and Update Utilities Vulnerability http://www.ciac.org/ciac/bulletins/n-086.shtml HP Tru64 UNIX のソフトウェア管理ツールには、シンボリックリンクの扱いに 脆弱性があります。結果として、ローカルユーザが root 権限を取得する可能 性があります。対象となるのは以下のバージョンです。 - V5.1B PK1 およびそれ以前 - V5.1A PK4 およびそれ以前 - V5.1 PK6 およびそれ以前 - V5.0A PK3 およびそれ以前 - V4.0G PK3 およびそれ以前 - V4.0F PK7 およびそれ以前 この問題は、ソフトウェア管理ツールが用いる一時ディレクトリなどのアクセ ス権限を変更するなどの方法で回避することができます。詳細については、上 記 CIAC Bulletin N-086 を参照してください。 [7] snort の脆弱性に関する追加情報 JPCERT/CC REPORT 2003-04-23号でも紹介した、snort の脆弱性に関する追加 情報です。 Debian Security Advisory DSA-297-1 snort -- integer overflow, buffer overflow http://www.debian.org/security/2003/dsa-297 関連文書 (日本語) JPCERT/CC REPORT 2003-04-23号 http://www.jpcert.or.jp/wr/2003/wr031601.txt 関連文書 (英語) CERT Advisory CA-2003-13 Multiple Vulnerabilities in Snort Preprocessors http://www.cert.org/advisories/CA-2003-13.html [8] OpenSSL の脆弱性に関する追加情報 JPCERT/CC REPORT 2003-03-26号でも紹介した、OpenSSL の脆弱性に関する追 加情報です。 HEWLETT-PACKARD COMPANY セキュリティ報告: HPSBUX0304-255 SSRT3499 SSRT3518 OpenSSLにおけるセキュリティ脆弱性 http://www.jpn.hp.com/upassist/assist2/secbltn/HPSBUX0304-255.html 関連文書 (日本語) JPCERT/CC REPORT 2003-03-26号 http://www.jpcert.or.jp/wr/2003/wr031201.txt [9] tcpdump の脆弱性に関する追加情報 JPCERT/CC REPORT 2003-04-30号でも紹介した、tcpdump の脆弱性に関する追 加情報です。 Miracle Linux アップデート情報 tcpdump セキュリティ 2003/05/02 バッファオーバーフロー http://www.miraclelinux.com/support/update/data/tcpdump.html 関連文書 (日本語) JPCERT/CC REPORT 2003-04-30号 http://www.jpcert.or.jp/wr/2003/wr031701.txt [10] インシデント報告様式 Ver. 3.00 公開 http://www.jpcert.or.jp/form/ コンピュータセキュリティインシデントに関する情報を JPCERT/CC に報告す る際に使っていただく報告様式を更新しました。 [JPCERT/CC からのお願い] 本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 http://www.jpcert.or.jp/wr/ 本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL をご参照ください。 http://www.jpcert.or.jp/announce.html JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL をご参照ください。 http://www.jpcert.or.jp/form/ 以上。 __________ 2003 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- Version: 2.6.3ia Charset: noconv iQCVAwUBPrm09Ix1ay4slNTtAQGfggP8CwfnLncQWhtDbQZGM8uBaSaYIfGEECyu 4Gio6IW6s868m1AVQ4+VbIK9vKzlPdnl6owzKln8NE8W4pRNM46ZXD986RaQ5oON si+xdpZvYlbs1nQB2O1MSGQLMdIJaPis939qDe9XM/YkZYyTXHIU65qOg0QdzCZR 4IbtEX4dq8c= =CTp6 -----END PGP SIGNATURE-----