-----BEGIN PGP SIGNED MESSAGE----- JPCERT-WR-2003-2301 JPCERT/CC 2003-06-11 <<< JPCERT/CC REPORT 2003-06-11 >>> これは JPCERT/CC が 6/1(日) から 6/7(土) の間に得たセキュリティ関連情 報のうち、重要と思われるものを抜粋してまとめたレポートです。 [1] CIAC Bulletin N-100 Microsoft Windows Media Services ISAPI Extenstion Flaw http://www.ciac.org/ciac/bulletins/n-100.shtml Microsoft Windows Media サービス 4.1 がインストールされている Microsoft Windows には、Microsoft IIS のスクリプトディレクトリに nsiislog.dll がインストールされています。この nsiislog.dll には、入力 されたリクエストの処理に脆弱性があります。結果として、遠隔から第三者が Microsoft IIS を実行しているユーザの権限を取得する可能性があります。 対象となるのは、Windows Media サービス 4.1 がインストールされている以 下の Microsoft Windows です。 - Microsoft Windows NT 4.0 Server - Microsoft Windows 2000 Server - Microsoft Windows 2000 Advanced Server - Microsoft Windows 2000 Datacenter Server この問題は、Microsoft が提供する修正プログラムを適用することで解決しま す。 関連文書 (日本語) マイクロソフト セキュリティ情報 Windows Media サービスの ISAPI エクステンションの問題により、コードが実行される (817772) (MS03-019) http://www.microsoft.com/japan/technet/security/bulletin/MS03-019.asp [2] CIAC Bulletin N-101 Microsoft Cumulative Patch for Internet Explorer (IE) http://www.ciac.org/ciac/bulletins/n-101.shtml Microsoft Internet Explorer (以降 MSIE) には、バッファオーバーフローな どの複数の脆弱性があります。結果として、遠隔から第三者が Web ページや HTML 形式の電子メールなどを経由して、MSIE を実行しているユーザの権限を 取得する可能性があります。対象となるのは以下のバージョンです。 - Microsoft Internet Explorer 5.01 - Microsoft Internet Explorer 5.5 - Microsoft Internet Explorer 6.0 - Microsoft Internet Explorer 6.0 for Windows Server 2003 この問題は、Microsoft が提供する修正プログラムを適用することで解決しま す。 関連文書 (日本語) マイクロソフト セキュリティ情報 Internet Explorer 用の累積的な修正プログラム (818529) (MS03-020) http://www.microsoft.com/japan/technet/security/bulletin/MS03-020.asp [3] CIAC Bulletin N-104 Red Hat Updated KDE packages http://www.ciac.org/ciac/bulletins/n-104.shtml KDE 2.2.2 およびそれ以前のバージョンには、SSL の実装に脆弱性があります。 結果として、信頼できるサイトへのアクセスと見せかけて、偽装されたサイト にアクセスさせられる可能性があります。 この問題は、ベンダや配布元が提供するパッチを適用することで解決します。 関連文書 (英語) KDE Security Advisory KDE 2.2 / Konqueror Embedded SSL vulnerability http://www.kde.org/info/security/advisory-20030602-1.txt Red Hat Linux Security Advisory RHSA-2003:192-07 Updated KDE packages fix security issue https://rhn.redhat.com/errata/RHSA-2003-192.html 関連文書 (日本語) Turbolinux Security Advisory TLSA-2003-36 Konqueror に SSL の脆弱性 http://www.turbolinux.co.jp/security/TLSA-2003-36j.txt [4] CIAC Bulletin N-105 Sun "/usr/lib/utmp_update" Command Buffer Overflow Vulnerability http://www.ciac.org/ciac/bulletins/n-105.shtml Sun Solaris の /usr/lib/utmp_update コマンドには、バッファオーバーフロー の脆弱性があります。結果として、ローカルユーザが root 権限を取得する可 能性があります。対象となるのは以下のバージョンの Solaris です。 - Solaris 2.6 - Solaris 7 - Solaris 8 - Solaris 9 この問題は、Sun が提供するパッチを適用することで解決します。 関連文書 (英語) Free Sun Alert Notifications Article 55260 A Security Vulnerability With The "/usr/lib/utmp_update" Command May Allow Local Unauthorized Privileges http://www.sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert/55260 [5] CIAC Bulletin N-102 Hewlett-Packard Potential Security Vulnerabilities in CDE http://www.ciac.org/ciac/bulletins/n-102.shtml HP-UX の CDE に含まれる dtsession や dtterm などには、脆弱性があります。 結果として、ローカルユーザが root 権限を取得するなどの影響を受ける可能 性があります。対象となるのは以下のリリースです。 - HP-UX 10.20 - HP-UX 11.00 - HP-UX 11.04 - HP-UX 11.11 - HP-UX 11.22 この問題は、HP が提供するパッチを適用することで解決します。 関連文書 (日本語) HEWLETT-PACKARD COMPANY セキュリティ報告: HPSBUX0306-263 SSRT2373 SSRT2374 SSRT3484 SSRT2405 SSRT2415 CDEにおけるセキュリティ脆弱性 http://www.jpn.hp.com/upassist/assist2/secbltn/HPSBUX0306-263.html [6] CIAC Bulletin N-103 Sun ONE Application Server May Disclose JavaServer Pages (JSP) Source http://www.ciac.org/ciac/bulletins/n-103.shtml Sun ONE Application Server にはクロスサイトスクリプティングなどの複数 の脆弱性があります。結果として、遠隔から第三者が JSP アプリケーション のソースコードを閲覧するなどの影響を受ける可能性があります。対象となる のは以下のリリースです。 - Sun ONE Application Server 7.0 SE - Sun ONE Application Server 7.0 PE この問題は、Sun が提供するパッチを適用することで解決します。 関連文書 (英語) Free Sun Alert Notifications Article 55221 Sun One Application Server May Disclose JSP Source http://www.sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert/55221 [7] CERT Summary CS-2003-02 http://www.cert.org/summaries/CS-2003-02.html CERT/CC の最近の活動をまとめたものです。 [8] Security Vulnerability Reporting and Response Process http://www.oisafety.org/process.html 米国のソフトウェアベンダやセキュリティベンダなどからなる業界団体 OIS (Organization for Internet Safety) が発表した、脆弱性情報に関する報告 と対応についてのガイドラインのドラフトです。 関連文書 (英語) Organization for Internet Safety http://www.oisafety.org/ [JPCERT/CC からのお願い] 本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 http://www.jpcert.or.jp/wr/ 本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL をご参照ください。 http://www.jpcert.or.jp/announce.html JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL をご参照ください。 http://www.jpcert.or.jp/form/ 以上。 __________ 2003 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- Version: 2.6.3ia Charset: noconv iQCVAwUBPuaGuYx1ay4slNTtAQH/5wQA1qJOx9KQIWRMJgrAHeF/cD51wc3rOE4a DSKPKO6zldk6Nth873RQOPqFzSyOf2isNUOrtCbXDR5D1QTFqNmkuRs1Le3stl33 DVDxR+t6RYrFSXlky8g18brMvDFhNrGglsf/01lLuEvSvXqi5gwECfbZzOnyLsyM SaGEzU5TI4E= =qgmZ -----END PGP SIGNATURE-----