<<< JPCERT/CC WEEKLY REPORT 2007-07-11 >>>

■07/01(日)〜07/07(土) のセキュリティ関連情報

目　次

【1】+Lhaca にバッファオーバーフローの脆弱性

【2】Java Web Start に脆弱性

【3】glibc に整数オーバーフローの脆弱性

【4】HP Instant Support の Driver Check に脆弱性

【5】gfax に脆弱性

【今週のひとくちメモ】送信ドメイン認証 その1

【1】+Lhaca にバッファオーバーフローの脆弱性

情報源

US-CERT Vulnerability Note VU#871497
Lhaca buffer overflow vulnerability
http://www.kb.cert.org/vuls/id/871497

概要

ファイル圧縮・解凍ツールの +Lhaca には、バッファオーバーフローの
脆弱性があります。結果として、遠隔の第三者が細工したファイルをユー
ザに開かせることで、任意のコードを実行する可能性があります。なお、
本件に関しては攻撃方法に関する情報が公開されています。

対象となるバージョンは以下の通りです。

- +Lhaca 1.23 より前のバージョン

この問題は、配布元が提供する修正済みのバージョン 1.23 に +Lhaca
を更新することで解決します。

関連文書 (日本語)

+Lhaca
http://park8.wakwak.com/~app/Lhaca/

Japan Vulnerability Notes JVNVU#871497
Lhaca におけるバッファオーバーフローの脆弱性
http://jvn.jp/cert/JVNVU%23871497/index.html

【2】Java Web Start に脆弱性

情報源

Sun Alert Notification #102957
Security Vulnerability With Java Web Start May Allow Application to Escalate Privileges
http://sunsolve.sun.com/search/document.do?assetkey=1-26-102957-1

概要

Sun が提供する Java Web Start には、権限昇格の脆弱性があります。
結果として、遠隔の第三者がユーザの権限で任意のコマンドを実行する
可能性があります。

Java Web Start は、Web を通じて Java アプリケーションを配布する
ためのツールであり、JRE (Java Runtime Environment) 等の Java 実
行環境に同梱されています。

対象となる製品とバージョンは以下の通りです。

- SDK 1.4.2 Update 13 およびそれ以前
- JDK 5 Update 11 およびそれ以前
- JRE 1.4.2 Update 13 およびそれ以前
- JRE 5 Update 11 およびそれ以前

この問題は、Sun が提供する修正済みのバージョンにそれぞれの製品を
更新することで解決します。

関連文書 (英語)

Advisories - Research - Next Generation Security Software
High Risk Vulnerability in Java Web Start
http://www.ngssoftware.com/advisories/high-risk-vulnerability-in-java-web-start/

Common Vulnerabilities and Exposures
CVE-2007-3504
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3504

【3】glibc に整数オーバーフローの脆弱性

情報源

National Vulnerability Database
Vulnerability Summary CVE-2007-3508
http://nvd.nist.gov/nvd.cfm?cvename=CVE-2007-3508

概要

glibc には整数オーバーフローの脆弱性があります。結果として、ロー
カルユーザが管理者権限で任意のコードを実行する可能性があります。

対象となるバージョンは以下の通りです。
- glibc 2.5-rc3 およびそれ以前

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに glibc を更新することで解決します。

なお Gentoo Linux では既に修正済みのパッケージが配布されています。
また RedHat Linux のセキュリティレスポンスチームは、この脆弱性が
攻撃に使用されることはないと発表しています。

関連文書 (英語)

RedHat Bugzilla Bug 247208
CVE-2007-3508 Glibc integer overflow
https://bugzilla.redhat.com/bugzilla/show_bug.cgi?id=247208

Gentoo Linux Documentation
GNU C Library: Integer overflow
http://www.gentoo.org/security/en/glsa/glsa-200707-04.xml

【4】HP Instant Support の Driver Check に脆弱性

情報源

CIAC Bulletin R-293
HP Instant Support - Driver Check Running on Windows XP
http://www.ciac.org/ciac/bulletins/r-293.shtml

概要

HP Instant Support の Driver Check の ActiveX コントロールには脆
弱性があります。結果として、遠隔の第三者が細工した HTML 文書をユー
ザに閲覧させることで任意のコマンドを実行する可能性があります。

対象となるバージョンは以下の通りです。

- Microsoft Windows XP で動作する Instant Support - Driver Check
  v1.5.0.3 より前のバージョン

この問題は、HP が提供する修正済みのバージョン v1.5.0.3 またはそれ
以降に HP Instant Support - Driver Check を更新することで解決しま
す。詳細については、HP が提供する情報を参照してください。

関連文書 (英語)

SUPPORT COMMUNICATION - SECURITY BULLETIN c01077597 (登録が必要です)
HPSBPI02228 SSRT071404 rev.1 - HP Instant Support - Driver Check Running on Windows XP, Remote Unauthorized Access
http://www2.itrc.hp.com/service/cki/docDisplay.do?docId=emr_na-c01077597-1

【5】gfax に脆弱性

情報源

CIAC Bulletin R-292
gfax
http://www.ciac.org/ciac/bulletins/r-292.shtml

概要

GNOME の FAX フロントエンドプログラムである gfax には、一時ファ
イルの取り扱いに起因する脆弱性があります。結果として、ローカルユー
ザが管理者権限で任意のコードを実行する可能性があります。

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに gfax を更新することで解決します。

関連文書 (英語)

Debian Security Advisory DSA-1329-1
gfax -- insecure temporary files
http://www.debian.org/security/2007/dsa-1329

■今週のひとくちメモ

○送信ドメイン認証 その1

メール配送プロトコル SMTP には、送信元メールアドレス詐称を防止す
る手段がなく、迷惑メールやフィッシングメールの多くは送信元を詐称
して送信されています。

組織のドメインが詐称されて悪意あるメールが送信されると、その組織
の信用が失われたり、フィッシングなどによって金銭的な被害が発生し
たりする可能性もあり、社会的に大きな問題になっています。

送信ドメイン認証とは、メール送信元のドメインが正当かどうかを認証
するため仕組みで、以下の二つの認証方式について標準化が進められて
います。

- IP アドレスにもとづく認証
  SPF、Sender ID
- 電子署名を用いた認証
  DKIM

この二つは、互いの欠点を補完する認証方式であり、競合するものでは
ありません。また PGP や S/MIME などのメッセージ署名と違いエンド
ユーザの手を煩わせることなく、メールサーバ上でメールを認証できる
という利点があります。現在は、導入が比較的容易なこともあり SPF 
の普及が進んでいます。

メールサーバ管理者は、迷惑メール対策やフィッシングメール対策のた
めに、また、組織の信用を失わないためにも、送信ドメイン認証の技術
を導入することをおすすめします。

参考文献 (日本語)

Japan Email Anti-Abuse Group
Sub Working Group: 送信ドメイン認証
http://jeag.jp/swg/senderauth/index.html

■JPCERT/CC からのお願い