JPCERT-WR-2007-3401 2007-09-05 2007-08-26 2007-09-01

US-CERT Vulnerability Note VU#166521 http://www.kb.cert.org/vuls/id/166521 CIAC Bulletin R-332 http://www.ciac.org/ciac/bulletins/r-332.shtml

MSN メッセンジャーおよび Windows Live メッセンジャーの webcam ス トリームの処理には、ヒープオーバーフローの脆弱性があります。結果 として、遠隔の第三者が細工した webcam ストリームをユーザに受け入 れさせることで、ユーザの権限で任意のコードを実行する可能性があり ます。なお、本件に関しては攻撃方法に関する情報が公開されています。 対象となるバージョンは以下の通りです。 - MSN メッセンジャー 7.x およびそれ以前 - Windows Live メッセンジャー 8.1 より前のバージョン この問題は、マイクロソフトが提供する修正済みの Windows Live メッ センジャー 8.1 に該当する製品を更新することで解決します。 なお、Windows Live メッセンジャーは、Windows 2000 には対応してい ません。Windows 2000 において MSN メッセンジャーを使用する場合に は、送信元に関わらず webcam の招待を受け入れないよう注意してくだ さい。

マイクロソフト http://messenger.live.jp/download/ マイクロソフト ダウンロード センター http://www.microsoft.com/downloads/details.aspx?FamilyID=d78f2ff1-79ea-4066-8ba0-ddbed94864fc&DisplayLang=ja Japan Vulnerability Notes JVNVU#166521 http://jvn.jp/cert/JVNVU%23166521/index.html

US-CERT Vulnerability Note VU#515968 http://www.kb.cert.org/vuls/id/515968

Windows 版 Yahoo! メッセンジャーの webcam ストリームの処理には、 ヒープオーバーフローの脆弱性があります。結果として、遠隔の第三者 が細工した webcam ストリームをユーザに受け入れさせることで、ユー ザの権限で任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃 を行ったりする可能性があります。なお、本件に関しては攻撃方法に関 する情報が公開されています。 対象となるバージョンは以下の通りです。 - 2007年8月22日以前にダウンロードした Windows 版の Yahoo! メッセ ンジャー この問題は、Yahoo! が提供する修正済みのバージョンに Yahoo! メッセ ンジャーを更新することで解決します。

Yahoo!メッセンジャー - お知らせ http://messenger.yahoo.co.jp/notice/security.html?date=20070822 Japan Vulnerability Notes JVNVU#515968 http://jvn.jp/cert/JVNVU%23515968/index.html Security Update - Yahoo! Messenger http://messenger.yahoo.com/security_update.php?id=082107

CIAC Bulletin R-336 http://www.ciac.org/ciac/bulletins/r-336.shtml

Cisco の CallManager および Unified Communications Manager のロ グオンページには、SQL インジェクションおよびクロスサイトスクリプ ティングの脆弱性があります。結果として、遠隔の第三者が機密情報を 取得したり、細工した HTML 文書をユーザに閲覧させることで、ユーザ のブラウザ上で任意のスクリプトを実行したりする可能性があります。 対象となるバージョンは以下の通りです。 - CallManager および Unified Communications Manager の以下のバージョン - 3.3(5)sr2b 以前 - 4.1(3)sr5 以前 - 4.2(3)sr2 以前 - 4.3(1)sr1 以前 この問題は、Cisco が提供する修正済みのバージョンに該当する製品を 更新することで解決します。詳細については Cisco が提供する情報を参 照してください。

Cisco Security Advisories 96082 http://www.cisco.com/en/US/products/products_security_advisory09186a00808ae327.shtml

US-CERT Vulnerability Note VU#927905 http://www.kb.cert.org/vuls/id/927905 CIAC Bulletin R-333 http://www.ciac.org/ciac/bulletins/r-333.shtml

BIND 8 の乱数生成には脆弱性があります。結果として、遠隔の第三者が DNS キャッシュを汚染する可能性があります。 対象となるバージョンは以下の通りです。 - BIND 8.4.7 およびそれ以前 BIND 8 のサポートは 2007年8月で終了しており、ISC では BIND 9 の 最新版へ更新することを強く推奨しています。なお、BIND 9 への更新 がすぐにできない場合は、ISC から提供されている BIND8.4.7-p1.patch を適用してください。

Japan Vulnerability Notes JVNVU#927905 http://jvn.jp/cert/JVNVU%23927905/index.html JPCERT/CC REPORT 2007-08-22 http://www.jpcert.or.jp/wr/2007/wr073201.html#Memo Internet Systems Consortium http://www.isc.org/index.pl?/sw/bind/bind8-eol.php

WHOIS データベースにて公開されているドメイン名の管理者に対して、 ドメイン名の更新料支払いを促すメールが送付されていることが確認さ れています。なお、送付されるメールの送信者は、ドメイン名のレジス トラやリセラーとは関係のない組織となっています。JPCERT/CC では、 この問題についての報告を複数受領しています。 現在、確認されているメールの内容は以下のとおりです。 - 差出人: no-reply@domainrenewal-online.com - 件名: 所有しているドメイン名 また、メール本文には、メールアドレスやクレジットカード番号などの 個人情報の入力を求める Web サイトへの URL が記載されています。 上記のメールを受け取った際には、メールからリンクされている Web サイトで情報を入力しないようにしてください。また、上記以外の更新 料支払いを促すメールを受け取った際には、レジストラやリセラーに確 認するなど慎重な対応をお願いします。

ムームードメイン - インフォメーション http://muumuu-domain.com/?mode=info#1914 ドメイン 取るならお名前.com http://www.onamae.com/news/domain/070828.html

US-CERT Vulnerability Note VU#474433 http://www.kb.cert.org/vuls/id/474433 CIAC Bulletin R-334 http://www.ciac.org/ciac/bulletins/r-334.shtml

Oracle JInitiator の ActiveX コントロールには、複数のスタックバッ ファオーバーフローの脆弱性があります。結果として、遠隔の第三者が 細工した HTML 文書をユーザに閲覧させることで、ユーザの権限で任意 のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Oracle JInitiator 1.1.8.16 およびそれ以前 なお、JInitiator 1.3.1.x はこの脆弱性の影響を受けません。 2007年9月4日現在、この問題に対する修正プログラムは提供されており ません。なお、JInitiator 1.3.1.x を導入しても古いバージョンは削 除されないため、今回の問題は解決されないことに注意してください。 Internet Explorer での回避策として、Kill Bit を設定する、インター ネットゾーンで ActiveX コントロールを無効にするなどの方法がありま す。詳細については、下記関連文書を参照してください。

マイクロソフト サポートオンライン http://support.microsoft.com/kb/240797/ja

CIAC Bulletin R-337 http://www.ciac.org/ciac/bulletins/r-337.shtml

HP OpenView Performance Manager (OVPM) には脆弱性があります。結果 として、遠隔の第三者が任意のコードを実行する可能性があります。 対象となるプラットフォームおよびバージョンは以下の通りです。 - 以下のプラットフォームで動作する HP OpenView Performance Manager (OVPM) 5.x および 6.x - HP-UX PA-RISC および IPF B.11.11、B.11.23 - Solaris 7, 8, 9 - Windows 2000、Windows Server 2003 および Windows XP この問題は、HP が提供する修正済みのバージョンに HP OpenView Performance Manager を更新することで解決します。

SUPPORT COMMUNICATION - SECURITY BULLETIN c01109171 (登録が必要です) http://www2.itrc.hp.com/service/cki/docDisplay.do?docId=emr_na-c01109171

CIAC Bulletin R-335 http://www.ciac.org/ciac/bulletins/r-335.shtml

rsync には脆弱性があります。結果として、遠隔の第三者が細工したディ レクトリ名を rsync に処理させることで、ユーザの権限で任意のコー ドを実行する可能性があります。 対象となるバージョンは以下の通りです。 - rsync 2.6.9 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに rsync を更新することで解決します。詳細については、 ベンダや配布元が提供する情報を参照してください。

rsync http://rsync.samba.org/ Debian Security Advisory DSA-1360-1 http://www.debian.org/security/2007/dsa-1360

CIAC Bulletin R-330 http://www.ciac.org/ciac/bulletins/r-330.shtml

ソフトウェア PBX の Asterisk には複数の脆弱性があります。結果とし て、遠隔の第三者が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったり、機密情報を取得したりする可能性があります。 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに Asterisk を更新することで解決します。詳細については、 ベンダや配布元が提供する情報を参照してください。

Asterisk :: The Open Source Telephony Platform http://www.asterisk.org/ Debian Security Advisory DSA-1358-1 http://www.debian.org/security/2007/dsa-1358

CIAC Bulletin R-338 http://www.ciac.org/ciac/bulletins/r-338.shtml

Postfix 用のスパム対策プラグイン policyd には、バッファオーバーフ ローの脆弱性があります。結果として、遠隔の第三者が任意のコードを 実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があり ます。 対象となるバージョンは以下の通りです。 - policyd 1.81 より前のバージョン この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに policyd を更新することで解決します。詳細については、 ベンダや配布元が提供する情報を参照してください。

policyd File Release Notes and Changelog https://sourceforge.net/project/shownotes.php?release_id=522366&group_id=133598 Debian Security Advisory DSA-1361-1 http://www.debian.org/security/2007/dsa-1361

US-CERT Vulnerability Note VU#281977 http://www.kb.cert.org/vuls/id/281977 CIAC Bulletin R-339 http://www.ciac.org/ciac/bulletins/r-339.shtml

Quiksoft EasyMail の ActiveX コントロールには、複数のスタックバッ ファオーバーフローの脆弱性があります。結果として、遠隔の第三者が 細工した HTML 文書をユーザに閲覧させることで、ユーザの権限で任意 のコードを実行する可能性があります。なお、本件に関しては攻撃方法 に関する情報が公開されています。 2007年9月4日現在、この問題に対する修正プログラムは提供されており ません。 詳細については、Quiksoft が提供する情報を参照してくださ い。 Internet Explorer での回避策として、Kill Bit を設定する、インター ネットゾーンで ActiveX コントロールを無効にするなどの方法がありま す。詳細については、下記関連文書を参照してください。

マイクロソフト サポートオンライン http://support.microsoft.com/kb/240797/ja Quiksoft http://www.quiksoftcorp.com/objects/ Quiksoft http://www.quiksoftcorp.com/clients/whouses.asp

Japan Vulnerability Notes JVN#82276964 http://jvn.jp/jp/JVN%2382276964/index.html

Tuigwaa プロジェクトが提供する Web アプリケーション開発支援ソフト ウェア Tuigwaa には、クロスサイトスクリプティングの脆弱性がありま す。結果として、遠隔の第三者がユーザのブラウザ上で任意のスクリプト を実行する可能性があります。 対象となるバージョンは以下の通りです。 - Tuigwaa 1.0 から 1.0.4 この問題は、Tuigwaa プロジェクトが提供する修正済みのバージョン 1.0.5 に Tuigwaa を更新することで解決します。

Tuigwaa http://tuigwaa.sandbox.seasar.org/index.html 独立行政法人 情報処理推進機構 セキュリティセンター http://www.ipa.go.jp/security/vuln/documents/2007/JVN_82276964.html

Japan Vulnerability Notes JVN#38199598 http://jvn.jp/jp/JVN%2338199598/index.html

Seasar プロジェクトが提供する Java 用テンプレートエンジン Mayaa には、クロスサイトスクリプティングの脆弱性があります。結果として、 遠隔の第三者がユーザのブラウザ上で任意のスクリプトを実行する可能性 があります。 対象となるバージョンは以下の通りです。 - Mayaa 1.1.11 およびそれ以前 この問題は、Seasar プロジェクトが提供する修正済みのバージョン 1.1.12 またはそれ以降に Mayaa を更新し、設定を変更することで解決 します。詳細については、Seasar プロジェクトが提供する情報を参照 してください。

Seasar http://mayaa.seasar.org/news/vulnerability20070816.html 独立行政法人 情報処理推進機構 セキュリティセンター http://www.ipa.go.jp/security/vuln/documents/2007/JVN_38199598.html

Japan Vulnerability Notes JVN#20452446 http://jvn.jp/jp/JVN%2320452446/index.html

CGI RESCUE が提供するショッピングカート用のソフトウェアのショッピ ングバスケットプロには、ディレクトリトラバーサルの脆弱性がありま す。結果として、遠隔の第三者がショッピングバスケットプロの設置さ れているサーバ内のファイル名、ディレクトリ名の一覧を取得する可能 性があります。 対象となるバージョンは以下の通りです。 - ショッピングバスケットプロ v7.51 およびそれ以前 この問題は、CGI RESCUE が提供する修正済みのバージョン 7.52 にショッ ピングバスケットプロを更新することで解決します。

CGI RESCUE 新着案内板 http://www.rescue.ne.jp/whatsnew/blog.cgi/permalink/20070823212803 独立行政法人 情報処理推進機構 セキュリティセンター http://www.ipa.go.jp/security/vuln/documents/2007/JVN_20452446.html

2000年2月13日、「不正アクセス行為の禁止等に関する法律」が施行さ れました。この法律の施行により、ID・パスワードの不正使用など直接 的な被害を伴わない不正アクセスを禁止・処罰することが可能になりま した。 この法律は「不正アクセス行為等の禁止・処罰」と「防護側の対策」と いう 2点から構成されています。不正アクセス行為は「電気通信回線 (ネットワーク)を通じて行われる行為」に限定されていますが、この法 律では、パスワード等を第三者に提供するなど不正アクセス行為を助長 する行為をも含めて禁止しています。 また、第7条にもとづき、毎年不正アクセス行為の発生状況などの情報 が公表されるようになりました。2006年の情報については、以下の参考 文献を参照してください。 警察庁 サイバー犯罪対策 http://www.npa.go.jp/cyber/legislation/gaiyou/main.htm 警察庁 サイバー犯罪対策 http://www.npa.go.jp/cyber/legislation/gaiyou/gaiyou.htm 経済産業省 http://www.meti.go.jp/press/20070222002/20070222002.html