JPCERT-WR-2007-1901 2007-05-23 2007-05-13 2007-05-19

US-CERT Vulnerability Note VU#268336 http://www.kb.cert.org/vuls/id/268336 US-CERT Vulnerability Note VU#773720 http://www.kb.cert.org/vuls/id/773720 CIAC Bulletin R-240 http://www.ciac.org/ciac/bulletins/r-240.shtml

Samba には、複数の脆弱性があります。結果として、遠隔の第三者が任 意のコードまたはコマンドを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Samba 3.0.0 から 3.0.25rc3 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに Samba を更新することで解決します。Samba 3.0.24 では、 該当するパッチを適用することでも解決できます。詳細については、ベ ンダや配布元が提供する情報を参照してください。

Japan Vulnerability Notes JVNVU#773720 http://jvn.jp/cert/JVNVU%23773720/index.html Japan Vulnerability Notes JVNVU#268336 http://jvn.jp/cert/JVNVU%23268336/index.html Samba - Security Announcement Archive http://samba.org/samba/security/CVE-2007-2446.html Samba - Security Announcement Archive http://samba.org/samba/security/CVE-2007-2447.html Samba - Security Updates and Information http://samba.org/samba/history/security.html Samba - Release Notes Archive http://www.samba.org/samba/history/samba-3.0.25.html Red Hat Security Advisory RHSA-2007:0354-4 http://rhn.redhat.com/errata/RHSA-2007-0354.html Debian Security Advisory DSA-1291-1 http://www.debian.org/security/2007/dsa-1291

Japan Vulnerability Notes JVN#81294906 http://jvn.jp/jp/JVN%2381294906/index.html

日本 IBM が提供するホームページ・ビルダー付属の CGI サンプルプロ グラムの一部には、OS コマンドインジェクションの脆弱性があります。 結果として、脆弱性のある CGI サンプルプログラムを設置して実行可能 にしているサーバにおいて、遠隔の第三者が Web サーバの実行権限で任 意のコマンドを実行する可能性があります。 対象となる製品およびバージョンは以下の通りです。 - 以下のバージョンに含まれる CGI サンプルプログラム anketo.cgi、 kansou.cgi、および order.cgi - ホームページ・ビルダー 11 - ホームページ・ビルダー 10 - ホームページ・ビルダー 10 ライト - ホームページ・ビルダー V9 - ホームページ・ビルダー V9 ライト - ホームページ・ビルダー V8 - ホームページ・ビルダー V8 ライト - ホームページ・ビルダー V7 - ホームページ・ビルダー V7 ライト - ホームページ・ビルダー V6.5 with HotMedia - ホームページ・ビルダー V6.5 with HotMedia ライト - ホームページ・ビルダー V6 - ホームページ・ビルダー V6 ライト - ホームページ・ビルダー 2001 - ホームページ・ビルダー 2000 - ホームページ・ビルダー V3 - ホームページ・ビルダー V2 バリューパック この問題は、日本 IBM が提供する修正プログラムをホームページ・ビ ルダーに適用することで解決します。なお、以下の場合は該当する CGI プログラムを手動で修正することで解決します。 - 該当する CGI プログラムを既に Web サーバに配置している場合 - ホームページ・ビルダー V3 および V2 バリューパックを使用してい る場合 詳細については、日本 IBM が提供する情報を参照してください。

日本 IBM http://www-06.ibm.com/jp/software/internet/hpb/security/hpbcgifix_20070514/index.html 日本 IBM http://www-06.ibm.com/jp/software/internet/hpb/security/hpbcgifix_20070514/hpbcgifix.html#01 日本 IBM http://www-06.ibm.com/jp/software/internet/hpb/security/hpbcgifix_20070514/hpbcgifix.html#02 独立行政法人 情報処理推進機構 セキュリティセンター http://www.ipa.go.jp/security/vuln/documents/2007/JVN_81294906.html

US-CERT Vulnerability Note VU#684664 http://www.kb.cert.org/vuls/id/684664

PNG (Portable Network Graphics) 形式の画像処理ライブラリである libpng には脆弱性があります。結果として、遠隔の第三者が細工した PNG 画像をユーザに開かせることでサービス運用妨害 (DoS) 攻撃を行 う可能性があります。 対象となる製品およびバージョンは以下の通りです。 - libpng-0.90 から libpng-1.0.24 まで - libpng-1.2.0 から libpng-1.2.16 まで この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに libpng を更新することで解決します。 なお、libpng 公式サイトの情報によると libpng-1.2.17 および libpng-1.0.25 にはバグが含まれているため、最新版に更新することを 推奨します。詳細については、ベンダや配布元が提供する情報を参照し てください。

Japan Vulnerability Notes JVNVU#684664 http://jvn.jp/cert/JVNVU%23684664/index.html Libpng Security Advisory 15 May 2007 http://nchc.dl.sourceforge.net/sourceforge/libpng/libpng-1.2.18-ADVISORY.txt libpng Home Page http://www.libpng.org/pub/png/libpng.html Red Hat Security Advisory RHSA-2007:0356-2 http://rhn.redhat.com/errata/RHSA-2007-0356.html

CIAC Bulletin R-243 http://www.ciac.org/ciac/bulletins/r-243.shtml

Apache Tomcat には、クロスサイトスクリプティングを含む複数の脆弱 性があります。結果として、遠隔の第三者がユーザのブラウザ上で任意 のスクリプトを実行するなどの可能性があります。 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに Apache Tomcat を更新することで解決します。詳細については、 ベンダや配布元が提供する情報を参照してください。

Apache Tomcat http://tomcat.apache.org/security-4.html Apache Tomcat http://tomcat.apache.org/security-5.html Apache Tomcat http://tomcat.apache.org/security-6.html Red Hat Security Advisory RHSA-2007:0327-5 http://rhn.redhat.com/errata/RHSA-2007-0327.html

BEA - Dev2Dev Security Advisory (BEA07-171.00) http://dev2dev.bea.com/pub/advisory/240 BEA - Dev2Dev Security Advisory (BEA07-173.00) http://dev2dev.bea.com/pub/advisory/241 BEA - Dev2Dev Security Advisory (BEA07-172.00) http://dev2dev.bea.com/pub/advisory/242 BEA - Dev2Dev Security Advisory (BEA07-174.00) http://dev2dev.bea.com/pub/advisory/243

BEA が提供する JRockit には、複数の脆弱性があります。結果として、 遠隔の第三者が本来実行が許可されていないシステムクラスが実行する などの可能性があります。 この問題は、JPCERT/CC REPORT 2007-05-09号【3】で紹介した「Java Web Start に権限昇格の脆弱性」と同一の脆弱性を含んでいます。 対象となるバージョンは以下の通りです。 - BEA JRockit R26.0.0 1.4.2_07 より前のバージョン - BEA JRockit R26.0.0 1.5.0_04 より前のバージョン なお、JRockit 7.0 SP6 RP1 JDK 1.3.1_20 はこれらの脆弱性の影響を 受けません。 この問題は、BEA が提供する修正済みのバージョンに JRockit を更新 することで解決します。

JPCERT/CC REPORT 2007-05-09 http://www.jpcert.or.jp/wr/2007/wr071701.html#3

US-CERT Vulnerability Note VU#680616 http://www.kb.cert.org/vuls/id/680616 US-CERT Vulnerability Note VU#788416 http://www.kb.cert.org/vuls/id/788416 CIAC Bulletin R-241 http://www.ciac.org/ciac/bulletins/r-241.shtml

CA Anti-Virus for the Enteprise、CA Threat Manager などの CA 製 品には、複数の脆弱性があります。結果として、遠隔の第三者が任意の コードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可 能性があります。 対象となる製品およびバージョンは以下の通りです。 - CA Anti-Virus for the Enterprise (旧 eTrust Antivirus) r8 - CA Threat Manager for the Enterprise (旧 eTrust Integrated Threat Management) r8 - CA Anti-Spyware for the Enterprise (旧 eTrust PestPatrol) r8 - CA Protection Suites r3 この問題は、製品の自動コンテンツ更新機能を用いて修正済みのバージョ ンに更新することで解決します。詳細については、CA が提供する情報 を参照してください。

CA Security Advisor http://www.ca.com/us/securityadvisor/newsinfo/collateral.aspx?cid=139626 CA SupportConnect http://supportconnectw.ca.com/public/antivirus/infodocs/caav-secnotice050807.asp

Japan Vulnerability Notes JVN#92832583 http://jvn.jp/jp/JVN%2392832583/index.html

株式会社 OSK の提供する電子承認システム Advance-Flow には、クロ スサイトスクリプティングの脆弱性があります。結果として、遠隔の第 三者がユーザのブラウザ上で任意のスクリプトを実行する可能性があり ます。 対象となる製品およびバージョンは以下の通りです。 - Advance-Flow Ver 4.41 およびそれ以前 - Advance-Flow フォーム集 Ver 4.41 およびそれ以前 この問題は、株式会社 OSK が提供する以下の修正済みのバージョンに該 当する製品を更新することで解決します。 - Advance-Flow Ver 4.42 以降 - Advance-Flow フォーム集 Ver 4.42 以降

株式会社 OSK - 脆弱性に関する情報公開 http://www.evalue.jp/support/security/IPA_92832583.asp 独立行政法人 情報処理推進機構 セキュリティセンター http://www.ipa.go.jp/security/vuln/documents/2007/JVN_92832583.html

生体認証は、従来の ID/パスワードを利用した「その人のみが知る情報 に基づく認証(知識認証)」や、スマートカードや USB トークンを利用 した「その人のみが持つ物に基づく認証(所有物認証)」とは異なり、本 人自身の生体的特徴を利用する認証方式です。そのため、認証情報を無 くしたり盗まれたりする可能性が低く、利用者にとって利便性の高い認 証方式とされています。 携帯電話や PC などを始め、金融機関の ATM などでも生体認証技術の 利用が広がっています。 独立行政法人 情報処理推進機構 セキュリティセンター http://www.ipa.go.jp/security/fy16/reports/biometrics/index.html