US-CERT Vulnerability Note VU#138545
Java Runtime Environment Image Parsing Code buffer overflow vulnerability
http://www.kb.cert.org/vuls/id/138545

CIAC Bulletin R-261
Security Vulnerabilities in the Java Runtime Environment Image Parsing Code
http://www.ciac.org/ciac/bulletins/r-261.shtml

概要

Java Runtime Environment (JRE) には複数の脆弱性があります。結果
として、遠隔の第三者が、 JRE を実行しているユーザの権限でファイ
ル操作を行ったり、サービス運用妨害 (DoS) 攻撃を行ったりする可能
性があります。

対象となる製品およびバージョンについては Sun が提供する情報を参
照してください。
 
この問題は、Sun が提供する修正済みのバージョンに、該当する製品を
更新することで解決します。

【2】Macrovision FLEXnet Connect にバッファオーバーフローの脆弱性

情報源

US-CERT Vulnerability Note VU#524681
Macrovision FLEXnet Connect Software Manager DWUpdateService ActiveX control contains dangerous methods
http://www.kb.cert.org/vuls/id/524681

CIAC Bulletin R-258
FLEXnet Connect 6.0 Security Patch
http://www.ciac.org/ciac/bulletins/r-258.shtml

概要

Macrovision FLEXnet Connect (旧 InstallShield Update Service) の 
DWUpdateService ActiveX コントロールには、バッファオーバーフロー
の脆弱性があります。結果として、遠隔の第三者が細工した HTML 文書
をユーザに閲覧させることで任意のコマンドを実行する可能性がありま
す。

対象となる製品およびバージョンは以下の通りです。

- Update Service 3.x
- Update Service 4.x
- Update Service 5.x
- FLEXnet Connect 6

この問題は、Macrovision が提供する修正済みのバージョンに FLEXnet
Connect を更新することで解決します。また、既に FLEXnet Connect 
を使用してアップデートサービスを提供している場合は、同サービスを
使用して修正済みのバージョンを配布することを推奨します。詳細につ
いては、Macrovision が提供する情報を参照してください。

なお、FLEXnet Connect によるアップデートサービスを実装したアプリ
ケーションを使用しているユーザは、アプリケーションベンダが提供す
る情報を参照してください。

【3】CA 製品に複数の脆弱性

情報源

US-CERT Vulnerability Note VU#105105
Computer Associates Anti-Virus engine fails to properly handle malformed CAB archives
http://www.kb.cert.org/vuls/id/105105

US-CERT Vulnerability Note VU#739409
Computer Associates Anti-Virus engine fails to properly handle long file names in CAB archives
http://www.kb.cert.org/vuls/id/739409

CIAC Bulletin R-267
Security Notice for CA Products Implementing the Anti-Virus Engine
http://www.ciac.org/ciac/bulletins/r-267.shtml

概要

CA 製品に実装されている CA Anti-Virus エンジンには複数の脆弱性が
あります。結果として、遠隔の第三者が任意のコードを実行したり、サー
ビス運用妨害 (DoS) 攻撃を行ったりする可能性があります。

対象となる製品およびバージョンについては、CA が提供する情報を参
照してください。

この問題は、製品のコンテント アップデート機能を用いて、修正済み
のバージョンに、該当する製品を更新することで解決します。詳細につ
いては、CA が提供する情報を参照してください。

【4】Sun Java System Web Server に脆弱性

情報源

CIAC Bulletin R-260
Security Vulnerability in Sun Java System Web Server
http://www.ciac.org/ciac/bulletins/r-260.shtml

概要

Sun Java System Web Server には脆弱性があります。結果として、遠
隔の第三者が Sun Java System Web Server を実行しているホスト上の
データにアクセスできる可能性があります。

対象となるバージョンは以下の通りです。詳細については、Sun が提供
する情報を参照してください。

- 以下のバージョンの一部
  - Sun Java System Web Server 6.0
  - Sun Java System Web Server 6.1

なお、Sun Java System Web Server 7.0 は本脆弱性の影響を受けませ
ん。

この問題は、Sun が提供するサービスパックまたはパッチを適用するこ
とで解決します。詳細については、Sun が提供する情報を参照してくだ
さい。

【5】Solaris Management Console に複数の脆弱性

情報源

CIAC Bulletin R-263
Security Vulnerability in the Logging Mechanism for Solaris Management Console (SMC)
http://www.ciac.org/ciac/bulletins/r-263.shtml

CIAC Bulletin R-264
Security Vulnerability in the Authentication Mechanism for Solaris Management Console (SMC)
http://www.ciac.org/ciac/bulletins/r-264.shtml

概要

Solaris Management Console には複数の脆弱性があります。結果とし
て、遠隔の第三者が管理者権限で Solaris システムにアクセスする可
能性があります。

対象となる製品およびバージョンについては、Sun が提供する情報を参
照してください。
 
この問題は、Sun が提供する修正済みのバージョンに、該当する製品を
更新することで解決します。

【6】Authentium Command Antivirus に複数の脆弱性

情報源

US-CERT Vulnerability Note VU#563401
Authentium Command Antivirus odapi.dll multiple ActiveX buffer overflows
http://www.kb.cert.org/vuls/id/563401

CIAC Bulletin R-259
Authentium Command Antivirus Vulnerability
http://www.ciac.org/ciac/bulletins/r-259.shtml

概要

Authentium Command Antivirus の ActiveX コントロールには、複数の
脆弱性があります。結果として、遠隔の第三者が、細工した HTML 文書
をユーザに閲覧させることで任意のコードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- Command Antivirus 4.93.8 より前のバージョン

この問題は、Authentium が提供する修正済みのバージョン 4.93.8 ま
たはそれ以降に Command Antivirus を更新することで解決します。

【7】CREDANT Mobile Guardian Shield に脆弱性

情報源

US-CERT Vulnerability Note VU#821865
CREDANT Mobile Guardian Shield fails to remove credentials from memory
http://www.kb.cert.org/vuls/id/821865

CIAC Bulletin R-262
CREDANT Mobile Guardian Shield Vulnerability
http://www.ciac.org/ciac/bulletins/r-262.shtml

概要

CREDANT Mobile Guardian (CMG) Enterprise Edition の Mobile
Guardian Shield には脆弱性があります。結果として、ローカルユーザ
がメモリに残っている他のユーザの認証情報を取得する可能性がありま
す。

対象となるバージョンは以下の通りです。

- CREDANT Mobile Guardian Enterprise Edition 5.2.1 SP1 より前の
  バージョン

この問題は、CREDANT Technologies が提供する修正済みのバージョン
に CMG Enterprise Edition を更新することで解決します。

【8】ADPLAN にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#23891849
ADPLAN におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN%2323891849/index.html

概要

株式会社オプトのウェブアクセス測定システムである ADPLAN Version
3 の SEO モジュールには、クロスサイトスクリプティングの脆弱性が
あります。結果として、遠隔の第三者がユーザのブラウザ上で任意のス
クリプトを実行する可能性があります。

対象となるバージョンは以下の通りです。

- ADPLAN Version 3 の SEO モジュール

なお、ADPLAN Version 4 は本脆弱性の影響を受けません。

この問題は、株式会社オプトが提供する修正済みのバージョンに 
ADPLAN の SEO モジュールを更新することで解決します。

■今週のひとくちメモ

○偽セキュリティ対策ソフトに注意

セキュリティ対策ソフトを装い、ユーザに代金を支払わせようとしたり、
悪意あるプログラムをインストールさせたりする、いわゆる「偽セキュ
リティ対策ソフト」には注意が必要です。

偽セキュリティ対策ソフトは、ベンダが運営しているように見せかけた
Web サイトで配布され、Web 広告などを用いてユーザを誘導し導入を促
します。また、実際にはセキュリティ対策機能が備わっていないソフト
ウェアがほとんどで、悪意あるプログラムをインストールさせる場合が
あります。

初めて導入するソフトウェアについては、信頼できるセキュリティ対策
組織の Web サイトやニュースサイトなどに危険を警告する情報が記載
されていないか、導入前に調べることをお勧めします。

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2007-06-13号

<<< JPCERT/CC WEEKLY REPORT 2007-06-13 >>>

■06/03(日)〜06/09(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

○偽セキュリティ対策ソフトに注意

■JPCERT/CC からのお願い

目　次