<<< JPCERT/CC WEEKLY REPORT 2007-06-20 >>>
■06/10(日)〜06/16(土) のセキュリティ関連情報
目 次
【1】2007年6月 Microsoft セキュリティ情報 (緊急4件含) について
【2】IPv6 Type 0 ルーティングヘッダの仕様に脆弱性
【3】Yahoo!メッセンジャーに複数の脆弱性
【4】libexif に整数オーバーフローの脆弱性
【5】Apache Tomcat に複数のクロスサイトスクリプティングの脆弱性
【6】OpenOffice.org にヒープオーバーフローの脆弱性
【7】dotProject にクロスサイトスクリプティングの脆弱性
【8】「組織内 CSIRT 構築支援マテリアル」公開について
【9】「グッド・プラクティス・ガイド プロセス・制御と SCADA セキュリティ」公開について
【今週のひとくちメモ】ソーシャルエンジニアリング
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2007/wr072301.txt
https://www.jpcert.or.jp/wr/2007/wr072301.xml
【1】2007年6月 Microsoft セキュリティ情報 (緊急4件含) について
情報源
US-CERT Technical Cyber Security Alert TA07-163A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA07-163A.htmlUS-CERT Cyber Security Alert SA07-163A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/alerts/SA07-163A.htmlUS-CERT Vulnerability Notes Database
Search Results [ms07-jun] (全5件・2007年6月19日現在)
http://www.kb.cert.org/vuls/byid?searchview&query=ms07-junCIAC Bulletin R-268
Vulnerability in Win 32 API (935839)
http://www.ciac.org/ciac/bulletins/r-268.shtmlCIAC Bulletin R-269
Cumulative Security Update for Outlook Express and Windows Mail (929123)
http://www.ciac.org/ciac/bulletins/r-269.shtmlCIAC Bulletin R-270
Cumulative Security Update for Internet Explorer (933566)
http://www.ciac.org/ciac/bulletins/r-270.shtmlCIAC Bulletin R-271
Vulnerability in the Windows Schannel Security Package (935840)
http://www.ciac.org/ciac/bulletins/r-271.shtmlCIAC Bulletin R-272
Vulnerabilities in Microsoft Visio (927051)
http://www.ciac.org/ciac/bulletins/r-272.shtmlCIAC Bulletin R-273
Vulnerability in Windows Vista (931213)
http://www.ciac.org/ciac/bulletins/r-273.shtml
概要
Microsoft 製品には、複数の脆弱性があります。結果として、遠隔の第 三者が任意のコードを実行するなどの可能性があります。 詳細については、Microsoft が提供する情報を参照してください。 この問題は、Microsoft Update、Windows Update、Office Update など を用いて、セキュリティ更新プログラムを適用することで解決します。
関連文書 (日本語)
2007 年 6 月のセキュリティ情報
http://www.microsoft.com/japan/technet/security/bulletin/ms07-jun.mspxマイクロソフト セキュリティ情報 MS07-030 - 重要
Microsoft Visio の脆弱性により、リモートでコードが実行される (927051)
http://www.microsoft.com/japan/technet/security/bulletin/ms07-030.mspxマイクロソフト セキュリティ情報 MS07-031 - 緊急
Microsoft Windows Schannel のセキュリティ パッケージの脆弱性により、リモートでコードが実行される (935840)
http://www.microsoft.com/japan/technet/security/bulletin/ms07-031.mspxマイクロソフト セキュリティ情報 MS07-032 - 警告
Windows Vista の脆弱性により、情報漏えいが起こる (931213)
http://www.microsoft.com/japan/technet/security/bulletin/ms07-032.mspxマイクロソフト セキュリティ情報 MS07-033 - 緊急
Internet Explorer 用の累積的なセキュリティ更新プログラム (933566)
http://www.microsoft.com/japan/technet/security/bulletin/ms07-033.mspxマイクロソフト セキュリティ情報 MS07-034 - 緊急
Outlook Express および Windows メール用の累積的なセキュリティ更新プログラム (929123)
http://www.microsoft.com/japan/technet/security/bulletin/ms07-034.mspxマイクロソフト セキュリティ情報 MS07-035 - 緊急
Win32 API の脆弱性により、コードが実行される (935839)
http://www.microsoft.com/japan/technet/security/bulletin/ms07-035.mspxJapan Vulnerability Notes JVNTA07-163A
Microsoft 製品における複数の脆弱性
http://jvn.jp/cert/JVNTA07-163A/index.htmlJPCERT/CC Alert 2007-06-13
2007年6月 Microsoft セキュリティ情報 (緊急 4件含) に関する注意喚起
http://www.jpcert.or.jp/at/2007/at070014.txt@police
マイクロソフト社のセキュリティ修正プログラムについて(MS07-030,031,032,033,034,035)(6/13)
http://www.cyberpolice.go.jp/important/2007/20070613_064528.html
【2】IPv6 Type 0 ルーティングヘッダの仕様に脆弱性
情報源
US-CERT Vulnerability Note VU#267289
IPv6 Type 0 Route Headers allow sender to control routing
http://www.kb.cert.org/vuls/id/267289
概要
IPv6 Type 0 ルーティングヘッダの仕様には脆弱性があります。結果と して、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行う可能性があ ります。 2007年6月19日現在、この問題を解決するため、IETF で IPv6 Type 0 ルーティングヘッダの仕様変更について議論されています。 この問題の回避策としては、IPv6 機能が有効なホストおよびルータで、 IPv6 Type 0 ルーティングヘッダの処理を無効に設定する方法がありま す。詳細については、各ベンダが提供する情報を参照してください。
関連文書 (日本語)
Japan Vulnerability Notes JVNVU#267289
IPv6 Type0 ルーティングヘッダの問題
http://jvn.jp/cert/JVNVU%23267289/index.htmlIIJ SEILシリーズ セキュリティ/脆弱性 情報
IPv6プロトコル仕様の脆弱性のSEILシリーズへの影響について
http://www.seil.jp/seilseries/news/snote/snote_200705_01.htmlNEC製品セキュリティ情報
IPv6 Type 0 ルーティングヘッダに関する問題
http://www.nec.co.jp/psirt/secinfo/nv07-001.html
関連文書 (英語)
IETF
Deprecation of Type 0 Routing Headers in IPv6
http://www.ietf.org/internet-drafts/draft-ietf-ipv6-deprecate-rh0-00.txtIETF
IPv6 Type 0 Routing Header Processing
http://www.ietf.org/internet-drafts/draft-savola-ipv6-rtheader-00.txtRed Hat Security Advisory RHSA-2007:0347-2
Important: kernel security and bug fix update
http://rhn.redhat.com/errata/RHSA-2007-0347.htmlCisco Security Advisory 72372
IPv6 Routing Header Vulnerability
http://www.cisco.com/en/US/products/products_security_advisory09186a00807cb0fd.shtmlCisco Applied Intelligence Response 81722
Identifying and Mitigating Exploitation of the IPv6 Routing Header Vulnerability
http://www.cisco.com/en/US/products/products_security_response09186a00807cb0df.htmlSun Security Community SECURIY BLOG
IPv6 Routing Header Issues
http://blogs.sun.com/security/entry/ipv6_routing_header_issuesThe FreeBSD Project Security Advisory FreeBSD-SA-07:03.ipv6
IPv6 Routing Header 0 is dangerous
http://security.freebsd.org/advisories/FreeBSD-SA-07:03.ipv6.ascOpenBSD 4.0 errata
012: SECURITY FIX: April 23, 2007
http://openbsd.org/errata40.html#012_route6OpenBSD 3.9 errata
022: SECURITY FIX: April 23, 2007
http://openbsd.org/errata39.html#022_route6Linux
Linux Kernel ChangeLog 2.6.20.9
http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.20.9Linux
Linux Kernel ChangeLog 2.6.21
http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.21
【3】Yahoo!メッセンジャーに複数の脆弱性
情報源
US-CERT Vulnerability Note VU#932217
Yahoo! Webcam view utilities ActiveX control vulnerable to arbitrary code execution
http://www.kb.cert.org/vuls/id/932217US-CERT Vulnerability Note VU#949817
Yahoo! Webcam image upload ActiveX control vulnerable to arbitrary code execution
http://www.kb.cert.org/vuls/id/949817
概要
Yahoo!メッセンジャーに含まれる複数の ActiveX コントロールには、 バッファオーバーフローの脆弱性があります。結果として、遠隔の第三 者が細工した HTML 文書をユーザに閲覧させることで任意のコードを実 行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があり ます。 対象となるバージョンは、以下のとおりです。 - 2007年6月8日以前にダウンロードされた Windows プラットフォーム 向けの Yahoo!メッセンジャー この問題は、Yahoo が提供する修正済みのバージョンに Yahoo!メッセ ンジャーを更新することで解決します。
関連文書 (日本語)
Yahoo!メッセンジャー
アップデートのお知らせ
http://messenger.yahoo.co.jp/notice/security070608.htmlJapan Vulnerability Notes JVNVU#949817
Yahoo! Messenger の Yahoo! Webcam image upload ActiveX コントロールにバッファオーバーフローの脆弱性
http://jvn.jp/cert/JVNVU%23949817/index.htmlJapan Vulnerability Notes JVNVU#932217
Yahoo! Messenger の Yahoo! Webcam view utilities ActiveX コントロールにバッファオーバーフローの脆弱性
http://jvn.jp/cert/JVNVU%23932217/index.html
【4】libexif に整数オーバーフローの脆弱性
情報源
Common Vulnerabiliities and Exposures
CVE-2006-4168
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4168
概要
libexif には、整数オーバーフローの脆弱性があります。結果として、 遠隔の第三者が細工した画像ファイルをユーザに開かせることで任意の コードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - libexif 0.6.16 より前のバージョン この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに libexif を更新することで解決します。
関連文書 (英語)
The libexif C EXIF library
http://libexif.sourceforge.net/
【5】Apache Tomcat に複数のクロスサイトスクリプティングの脆弱性
情報源
Japan Vulnerability Notes JVN#07100457
Apache Tomcat におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN%2307100457/index.htmlJapan Vulnerability Notes JVN#64851600
Apache Tomcat 付属のサンプルプログラムにおけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN%2364851600/index.html
概要
Apache Tomcat の Web Application Manager および付属のサンプルプ ログラム jsp-examples には、複数のクロスサイトスクリプティングの 脆弱性があります。結果として、遠隔の第三者がユーザのブラウザ上で 任意のスクリプトを実行する可能性があります。 対象となるバージョンは以下のとおりです。 - Apache Tomcat 4.0.0 から 4.0.6 - Apache Tomcat 4.1.0 から 4.1.36 - Apache Tomcat 5.0.0 から 5.0.30 - Apache Tomcat 5.5.0 から 5.5.24 - Apache Tomcat 6.0.0 から 6.0.13 2007年6月19日現在、この問題に対する修正プログラムは提供されてい ません。回避策など詳細については、ベンダや配布元が提供する情報を 参照してください。
関連文書 (日本語)
独立行政法人 情報処理推進機構 セキュリティセンター
JVN#07100457 「Apache Tomcat」におけるクロスサイト・スクリプティングの脆弱性
http://www.ipa.go.jp/security/vuln/documents/2007/JVN_07100457.html独立行政法人 情報処理推進機構 セキュリティセンター
JVN#64851600 「Apache Tomcat」付属のサンプルプログラムにおけるクロスサイト・スクリプティングの脆弱性
http://www.ipa.go.jp/security/vuln/documents/2007/JVN_64851600.html
関連文書 (英語)
Apache Tomcat
Apache Tomcat 4.x vulnerabilities
http://tomcat.apache.org/security-4.htmlApache Tomcat
Apache Tomcat 5.x vulnerabilities
http://tomcat.apache.org/security-5.htmlApache Tomcat
Apache Tomcat 6.x vulnerabilities
http://tomcat.apache.org/security-6.html
【6】OpenOffice.org にヒープオーバーフローの脆弱性
情報源
CIAC Bulletin R-275
OpenOffice.org Heap Overflow
http://www.ciac.org/ciac/bulletins/r-275.shtml
概要
OpenOffice.org には、ヒープオーバーフローの脆弱性があります。結 果として、第三者が細工した RTF 文書をユーザに開かせることで任意 のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - OpenOffice.org 2.2.1 より前のバージョン この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに OpenOffice.org を更新することで解決します。なお、 2007年6月19日現在、日本語版の修正済みのバージョンは公開されてい ません。詳細については、ベンダや配布元が提供する情報を参照してく ださい。
関連文書 (英語)
OpenOffice.org Security Bulletin
Manipulated RTF files can lead to heap overflows and arbitrary code execution
http://www.openoffice.org/security/CVE-2007-0245.htmlRed Hat Security Advisory RHSA-2007:0406-5
Important: openoffice.org security update
http://rhn.redhat.com/errata/RHSA-2007-0406.htmlDebian Security Advisory DSA-1307-1
openoffice.org -- heap overflow
http://www.debian.org/security/2007/dsa-1307
【7】dotProject にクロスサイトスクリプティングの脆弱性
情報源
Japan Vulnerability Notes JVN#63602912
dotProject におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN%2363602912/index.html
概要
プロジェクト管理ツールである dotProject には、クロスサイトスクリ プティングの脆弱性があります。結果として、遠隔の第三者がユーザの ブラウザ上で任意のスクリプトを実行したり、セッション・ハイジャッ クを行ったりする可能性があります。 対象となるバージョンは以下の通りです。 - dotProject 2.0.4 およびそれ以前のバージョン この問題は、配布元が提供する修正済みのバージョン 2.1 RC2 に dotProject を更新することで解決します。
関連文書 (日本語)
独立行政法人 情報処理推進機構 セキュリティセンター
JVN#63602912 「dotProject」におけるクロスサイト・スクリプティングの脆弱性
http://www.ipa.go.jp/security/vuln/documents/2007/JVN_63602912.html
関連文書 (英語)
dotProject.net
dotProject 2.1.0 rc2 Released 21st May
http://www.dotproject.net/index.php?name=News&file=article&sid=135dotProject.net
Release Notes - 2.1.0 - rc2
http://docs.dotproject.net/index.php/Release_Notes_-_2.1.0_-_rc2
【8】「組織内 CSIRT 構築支援マテリアル」公開について
情報源
JPCERT Coordination Center
組織内 CSIRT 構築支援マテリアル
http://www.jpcert.or.jp/csirt_material/
概要
JPCERT/CC は 2007年6月14日、組織的なインシデント対応体制である 「組織内 CSIRT」の構築を支援する目的で「組織内 CSIRT 構築支援マ テリアル」を公開しました。 このマテリアルでは、「認知」で組織内 CSIRT の必要性を把握し、 「理解」で全体的なイメージをつかみ、「実践」で実際に構築活動を行 なえるように 3つのカテゴリで構成しています。
【9】「グッド・プラクティス・ガイド プロセス・制御と SCADA セキュリティ」公開について
情報源
JPCERT Coordination Center
グッド・プラクティス・ガイド プロセス・制御と SCADA セキュリティ
http://www.jpcert.or.jp/research/index.html#scada
概要
JPCERT/CC は 2007年6月14日、制御系システムの開発・設計ならびにユー ザーが SCADA を使用するにあたってセキュリティ要件と仕様のガイド となり、また、制御系システム開発者がオープン系システムを取り込も うとする場合の手引きともなる「グッド・プラクティス・ガイド プロ セス・制御と SCADA セキュリティ」を公開しました。
■今週のひとくちメモ
○ソーシャルエンジニアリング
ソーシャルエンジニアリングとは、コンピュータに侵入するためなどに、 人の心理的・社会的な弱点や盲点を使用する手法です。 電話やメールで、企業の従業員に対して同僚や情報システム管理者など の関係者を名乗り、ID やパスワードを詐取する「なりすまし」や、事 務所の廃棄物から情報を詐取する「ごみあさり」などが代表的です。 ソーシャルエンジニアリングは古くからある手法ですが、最近でも、特 定の企業に対して社内の関係者を装ったウイルス付きメールを送信する などのソーシャルエンジニアリングを用いた攻撃が発生しています。引 き続き、このような攻撃には注意が必要です。
参考文献 (日本語)
JPCERT/CC Alert 2007-06-14
ID やパスワードを聞き出そうとする電話に関する注意喚起
http://www.jpcert.or.jp/at/2007/at070015.txt総務省 社員・職員全般のための情報セキュリティ対策
ソーシャルエンジニアリングの対策
http://www.soumu.go.jp/joho_tsusin/security/business/work05.htm独立行政法人 情報処理推進機構
国内におけるソーシャル・エンジニアリングの実態調査 (PDF)
http://www.ipa.go.jp/security/fy11/report/contents/intrusion/socialeng/socialeng.pdf
■JPCERT/CC からのお願い
-
本レポートに関するお問い合わせは
editor@jpcert.or.jp 宛
にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/ -
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html -
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/