JPCERT-WR-2007-1301

JPCERT/CC

2007-04-04

<<< JPCERT/CC WEEKLY REPORT 2007-04-04 >>>

■03/25(日)〜03/31(土) のセキュリティ関連情報

目　次

【1】Microsoft Windows のアニメーションカーソルの処理にスタックバッファオーバーフローの脆弱性

【2】BASP21 に脆弱性

【3】「CruiseWorks」および「みんなでオフィス」にアクセス制限回避の脆弱性

【4】Overlay Weaver にクロスサイトスクリプティングの脆弱性

【5】MailDwarf に複数の脆弱性

【今週のひとくちメモ】インターネットセキュリティの歴史第2回「CERT/CC 発足」

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2007/wr071301.txt
https://www.jpcert.or.jp/wr/2007/wr071301.xml

【1】Microsoft Windows のアニメーションカーソルの処理にスタックバッファオーバーフローの脆弱性

情報源

US-CERT Technical Cyber Security Alert TA07-089A
Microsoft Windows ANI header stack buffer overflow
http://www.us-cert.gov/cas/techalerts/TA07-089A.html

US-CERT Cyber Security Alert SA07-089A
Microsoft Windows ANI Vulnerability
http://www.us-cert.gov/cas/alerts/SA07-089A.html

US-CERT Vulnerability Note VU#191609
Microsoft Windows animated cursor ANI header stack buffer overflow
http://www.kb.cert.org/vuls/id/191609

概要

Windows のアニメーションカーソルの処理にスタックバッファオーバー
フローの脆弱性があります。結果として、遠隔の第三者が任意のコード
を実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性が
あります。

対象となる製品は以下の通りです。

- Microsoft Windows 2000 Service Pack 4
- Microsoft Windows XP Service Pack 2
- Microsoft Windows XP 64-Bit Edition Version 2003 (Itanium)
- Microsoft Windows XP Professional x64 Edition
- Microsoft Windows XP Professional x64 Edition Service Pack 2
- Microsoft Windows Server 2003
- Itanium プラットフォーム向けの Microsoft Windows Server 2003
- Microsoft Windows Server 2003 Service Pack 1
- Microsoft Windows Server 2003 Service Pack 2
- Itanium プラットフォーム向けの Microsoft Windows Server 2003 with SP1
- Itanium プラットフォーム向けの Microsoft Windows Server 2003 with SP2
- Microsoft Windows Server 2003 x64 Edition
- Microsoft Windows Server 2003 x64 Edition Service Pack 2
- Microsoft Windows Vista

2007年4月4日、Microsoft より本脆弱性を修正するセキュリティ更新プ
ログラムが公開されました。詳細については、ベンダが提供する情報を
参照してください。

【2】BASP21 に脆弱性

情報源

JP Vendor Status Notes JVN#86092776
BASP21 においてメールの不正送信が可能な脆弱性
http://jvn.jp/jp/JVN%2386092776/index.html

概要

Windows 上で電子メール送信機能等を提供する汎用コンポーネントの
BASP21 には脆弱性があります。結果として、遠隔の第三者が、BASP21 
を利用する Web アプリケーションを使用して任意の宛先へ不正にメー
ルを送信する可能性があります。

対象となるバージョンは以下の通りです。

- BASP21 2003.0211 版に含まれている bsmtp.dll
- BASP21 Pro バージョン 1,0,702,27 より前のバージョン

この問題は、配布元が提供する修正済みのバージョンに BASP21 を更新
することで解決します。

【3】「CruiseWorks」および「みんなでオフィス」にアクセス制限回避の脆弱性

情報源

JP Vendor Status Notes JVN#73258608
「CruiseWorks」および「みんなでオフィス」におけるアクセス制限回避の脆弱性
http://jvn.jp/jp/JVN%2373258608/index.html

概要

グループウェアの「CruiseWorks」および「みんなでオフィス」には、
ユーザのアクセス制限が適切に設定されていない脆弱性があります。結
果として、「CruiseWorks」または「みんなでオフィス」にログインし
ている一般ユーザがシステム設定や登録情報を変更する可能性がありま
す。

対象となる製品及びバージョンは以下の通りです。

- CruiseWorks 1.09e およびそれ以前
- みんなでオフィス バージョン 1.xx および 2.xx

この問題は、各配布元が提供する修正済みのバージョンに各製品を更新
することで解決します。

【4】Overlay Weaver にクロスサイトスクリプティングの脆弱性

情報源

JP Vendor Status Notes JVN#62399483
Overlay Weaver におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN%2362399483/index.html

概要

オーバレイネットワークの構築およびエミュレーションのためのソフト
ウェアである Overlay Weaver には、クロスサイトスクリプティングの
脆弱性があります。結果として、遠隔の第三者がユーザのブラウザ上で
任意のスクリプトを実行する可能性があります。

対象となるバージョンは以下の通りです。

- Overlay Weaver 0.5.9 から 0.5.11

この問題は、配布元が提供する修正済みのバージョンに Overlay
Weaver を更新することで解決します。

【5】MailDwarf に複数の脆弱性

情報源

JP Vendor Status Notes JVN#08951968
MailDwarf においてメールの不正送信が可能な脆弱性
http://jvn.jp/jp/JVN%2308951968/index.html

JP Vendor Status Notes JVN#40511721
MailDwarf におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN%2340511721/index.html

概要

メールフォーム CGI の MailDwarf には、複数の脆弱性があります。結
果として、遠隔の第三者が任意の宛先へ不正にメールを送信したり、ユ
ーザのブラウザ上で任意のスクリプトを実行したりする可能性がありま
す。

対象となるバージョンは以下の通りです。

- MailDwarf ver3.01 およびそれ以前

この問題は、配布元が提供する修正済みのバージョンに MailDwarf を
更新することで解決します。

■今週のひとくちメモ

○インターネットセキュリティの歴史第2回「CERT/CC 発足」

1988年11月に発生した「Morris ワーム事件」をきっかけに、米国防総
省国防高等研究事業局 (DARPA: Defense Advanced Research Projects
Agency) の要請を受け、カーネギーメロン大学のソフトウェアエンジニ
アリング研究所 (SEI: Software Engineering Institute) に、インター
ネットセキュリティを専門に扱う組織 CERT Coordination Center
(CERT/CC) が設立されました。

これが後に CSIRT (Computer Security Incident Response Team) と呼
ばれる組織の第一号となりました。

CERT/CC は、インターネットセキュリティにかかわる緊急事態に際して、
関係者間のコミュニケーションを迅速且つ効果的に調整し、更にインター
ネットコミュニティに対してセキュリティ問題について啓発することを
目的としています。

CERT/CC の「CERT」は CERT/CC の登録商標であり、「Computer
Emergency Response Team」などの頭文字を取った単語ではありません。

参考文献 (日本語)

JPCERT Coordination Center - ひとくちメモ
米国 CERT Coordination Center (CERT/CC) と「CERT」について
http://www.jpcert.or.jp/wr/keyword_c.html#116

参考文献 (英語)

CERT Coordination Center
http://www.cert.org/cert/

CERT Coordination Center
The CERT® FAQ
http://www.cert.org/faq/cert_faq.html

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2007-04-04号

<<< JPCERT/CC WEEKLY REPORT 2007-04-04 >>>

■03/25(日)〜03/31(土) のセキュリティ関連情報

目　次

【1】Microsoft Windows のアニメーションカーソルの処理にスタックバッファオーバーフローの脆弱性

【2】BASP21 に脆弱性

【3】「CruiseWorks」および「みんなでオフィス」にアクセス制限回避の脆弱性

【4】Overlay Weaver にクロスサイトスクリプティングの脆弱性

【5】MailDwarf に複数の脆弱性

【今週のひとくちメモ】インターネットセキュリティの歴史第2回「CERT/CC 発足」

【1】Microsoft Windows のアニメーションカーソルの処理にスタックバッファオーバーフローの脆弱性

情報源

概要

関連文書 (日本語)

【2】BASP21 に脆弱性

情報源

概要

関連文書 (日本語)

【3】「CruiseWorks」および「みんなでオフィス」にアクセス制限回避の脆弱性

情報源

概要

関連文書 (日本語)

【4】Overlay Weaver にクロスサイトスクリプティングの脆弱性

情報源

概要

関連文書 (日本語)

【5】MailDwarf に複数の脆弱性

情報源

概要

関連文書 (日本語)

■今週のひとくちメモ

○インターネットセキュリティの歴史第2回「CERT/CC 発足」

参考文献 (日本語)

参考文献 (英語)

■JPCERT/CC からのお願い

Weekly Report 2007-04-04号

<<< JPCERT/CC WEEKLY REPORT 2007-04-04 >>>

■03/25(日)〜03/31(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

○インターネットセキュリティの歴史 第2回 「CERT/CC 発足」

参考文献 (日本語)

参考文献 (英語)

■JPCERT/CC からのお願い

目　次

○インターネットセキュリティの歴史第2回「CERT/CC 発足」