JPCERT-WR-2007-4001 2007-10-17 2007-10-07 2007-10-13

US-CERT Technical Cyber Security Alert TA07-282A http://www.us-cert.gov/cas/techalerts/TA07-282A.html US-CERT Cyber Security Alert SA07-282A http://www.us-cert.gov/cas/alerts/SA07-282A.html CIAC Bulletin S-004 http://www.ciac.org/ciac/bulletins/s-004.shtml CIAC Bulletin S-005 http://www.ciac.org/ciac/bulletins/s-005.shtml CIAC Bulletin S-006 http://www.ciac.org/ciac/bulletins/s-006.shtml CIAC Bulletin S-007 http://www.ciac.org/ciac/bulletins/s-007.shtml CIAC Bulletin S-008 http://www.ciac.org/ciac/bulletins/s-008.shtml CIAC Bulletin S-009 http://www.ciac.org/ciac/bulletins/s-009.shtml

Microsoft 製品には、複数の脆弱性があります。結果として、遠隔の第 三者が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行っ たりする可能性があります。 詳細については、Microsoft が提供する情報を参照してください。 この問題は、Microsoft Update、Windows Update などを用いて、セキュ リティ更新プログラムを適用することで解決します。

2007 年 10 月のセキュリティ情報 http://www.microsoft.com/japan/technet/security/bulletin/ms07-oct.mspx マイクロソフト セキュリティ情報 MS07-055 - 緊急 http://www.microsoft.com/japan/technet/security/bulletin/ms07-055.mspx マイクロソフト セキュリティ情報 MS07-056 - 緊急 http://www.microsoft.com/japan/technet/security/bulletin/ms07-056.mspx マイクロソフト セキュリティ情報 MS07-057 - 緊急 http://www.microsoft.com/japan/technet/security/bulletin/ms07-057.mspx マイクロソフト セキュリティ情報 MS07-058 - 重要 http://www.microsoft.com/japan/technet/security/bulletin/ms07-058.mspx マイクロソフト セキュリティ情報 MS07-059 - 重要 http://www.microsoft.com/japan/technet/security/bulletin/ms07-059.mspx マイクロソフト セキュリティ情報 MS07-060 - 緊急 http://www.microsoft.com/japan/technet/security/bulletin/ms07-060.mspx Japan Vulnerability Notes JVNTA07-282A http://jvn.jp/cert/JVNTA07-282A/index.html JPCERT/CC Alert 2007-10-10 http://www.jpcert.or.jp/at/2007/at070021.txt @police http://www.cyberpolice.go.jp/important/2007/20071011_195327.html

OpenSSL http://www.openssl.org/news/secadv_20071012.txt

JPCERT/CC REPORT 2007-10-11 号【2】で紹介した「OpenSSL にバッファ オーバーフローの脆弱性」に関する追加情報です。 OpenSSL プロジェクトはこの問題の修正を含むアップデートとして OpenSSL 0.9.8f を公開しました。詳細については、OpenSSL プロジェ クトが提供する情報を参照してください。

JPCERT/CC REPORT 2007-10-11 http://www.jpcert.or.jp/wr/2007/wr073901.html#2

Japan Vulnerability Notes JVN#71872818 http://jvn.jp/jp/JVN%2371872818/index.html

複数のバッファロー製ルータには、クロスサイトリクエストフォージェ リの脆弱性があります。結果として、遠隔の第三者が、ウェブ設定画面 にログインした状態の管理者に悪意あるページを読み込ませることで、 パスワードなどの設定を変更する可能性があります。 対象となる製品およびバージョンは以下の通りです。 - WZR-RS-G54 ファームウェア Ver.2.46 およびそれ以前 - WZR-RS-G54HP ファームウェア Ver.2.43 およびそれ以前 - WHR2-G54V ファームウェア Ver.2.42 およびそれ以前 - BHR-4RV ファームウェア Ver.2.46 およびそれ以前 この問題は、バッファローが提供する修正済みのバージョンに該当する 製品のファームウェアを更新することで解決します。詳細については、 バッファローが提供する情報を参照してください。

バッファロー お客様への大切なお知らせ http://buffalo.jp/support_s/20071015.html 独立行政法人 情報処理推進機構 セキュリティセンター http://www.ipa.go.jp/security/vuln/documents/2007/JVN_71872818.html 独立行政法人 情報処理推進機構 セキュリティセンター http://www.ipa.go.jp/security/vuln/200710_AirStation.html

CIAC Bulletin S-011 http://www.ciac.org/ciac/bulletins/s-011.shtml

VMware 製品には、複数の脆弱性があります。結果として、遠隔の第三者 が任意のコードを実行するなどの可能性があります。 対象となる製品はおよびバージョンは以下の通りです。 - VMware Workstation 5.5.5 より前のバージョン - VMware Workstation 6.0.0 - VMware Player 1.0.5 より前のバージョン - VMware Player 2.0.0 - VMware ACE 1.0.4 より前のバージョン - VMware ACE 2.0.0 - VMware Server 1.0.4 より前のバージョン - upgrade patch 8 より前の VMware ESX 2.0.2 (Build# 52650) - upgrade patch 8 より前の VMware ESX 2.1.3 (Build# 53228) - upgrade patch 13 より前の VMware ESX 2.5.3 (Build# 52488) - upgrade patch 10 より前の VMware ESX 2.5.4 (Build# 53326) - ESX-4809553、ESX-1001204、ESX-1001206、ESX-1001212、 ESX-1001205、ESX-1001207、ESX-1001208、ESX-1001209、 ESX-1001210、ESX-1001211 の各パッチ未適用の VMware ESX 3.0.0 - ESX-8258730、ESX-1001213、ESX-1001691、ESX-1001723、 ESX-1001214、ESX-1001692、ESX-1001693、ESX-1001694、 ESX-8253547、ESX-8567382 の各パッチ未適用の VMware ESX 3.0.1 - ESX-1001725、ESX-1001731、ESX-1001726、ESX-1001727、 ESX-1001728、ESX-1001729、ESX-1001730 の各パッチ未適用の VMware ESX 3.0.2 この問題は、VMware 社が提供する修正済みのバージョンに該当する製 品を更新するすることで解決します。詳細については、VMware 社が提 供する情報を参照してください。

VMware Security Advisory VMSA-2007-0006 http://lists.vmware.com/pipermail/security-announce/2007/000001.html VMware Download Center http://www.vmware.com/download/

CERT/CC Current Activity Archive http://www.us-cert.gov/current/archive/2007/10/12/archive.html#ca_brightstor_arcserve_backup_vulnerabilities

CA の BrightStor ARCserve Backup には、複数の脆弱性があります。 結果として、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行ったり、 任意のコードを実行したりする可能性があります。 対象となる製品およびバージョンは以下の通りです。 - BrightStor ARCserve Backup r11.5 - BrightStor ARCserve Backup r11.1 - BrightStor ARCserve Backup r11 for Windows - BrightStor Enterprise Backup r10.5 - BrightStor ARCserve Backup v9.01 - CA Server Protection Suite r2 - CA Business Protection Suite r2 - CA Business Protection Suite for Microsoft Small Business Server Standard Edition r2 - CA Business Protection Suite for Microsoft Small Business Server Premium Edition r2a この問題は CA が提供するパッチを適用することで解決します。詳細に ついては、CA が提供する情報を参照してください。

CA SupportConnect http://supportconnectw.ca.com/public/storage/infodocs/basb-secnotice.asp

CIAC Bulletin S-010 http://www.ciac.org/ciac/bulletins/s-010.shtml

X.Org の X Font Server (xfs) には、整数オーバーフローの脆弱性が あります。結果として、遠隔の第三者が root 権限で任意のコードを実 行する可能性があります。 対象となるバージョンは以下の通りです。 - X Font Server 1.0.4 およびそれ以前のバージョン この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに X Font Server を更新するすることで解決します。詳細に ついては、ベンダや配布元が提供する情報を参照してください。

X.Org Security Advisory http://lists.freedesktop.org/archives/xorg-announce/2007-October/000416.html Debian Security Advisory DSA-1385-1 http://www.debian.org/security/2007/dsa-1385 Sun Alert Notification 103114 http://sunsolve.sun.com/search/document.do?assetkey=1-26-103114-1

CIAC Bulletin S-012 http://www.ciac.org/ciac/bulletins/s-012.shtml

HP プリンタなどの機器に対するドライバを提供する HPLIP (Hewlett-Packard Linux Imaging and Printing) パッケージの hpssd デーモンには、脆弱性があります。結果として、ローカルユーザが root 権限で任意のコードを実行する可能性があります。 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに HPLIP を更新するすることで解決します。詳細について は、ベンダや配布元が提供する情報を参照してください。

HP Linux Imaging and Printing http://hplip.sourceforge.net/ Red Hat Security Advisory RHSA-2007:0960-3 https://rhn.redhat.com/errata/RHSA-2007-0960.html

Japan Vulnerability Notes JVN#63304072 http://jvn.jp/jp/JVN%2363304072/index.html

Mozilla Firefox 用の拡張機能 MouseoverDictionary には、脆弱性が あります。結果として、遠隔の第三者が細工した Web ページをユーザ に閲覧させることで、ユーザのブラウザ上で任意のスクリプトを実行す る可能性があります。 対象となるバージョンは以下の通りです。 - バージョン 0.6.1 およびそれ以前 この問題は、配布元が提供する修正済みのバージョン 0.6.2 に MouseoverDictionary を更新することで解決します。

Mouseover Dictionary http://maru.bonyari.jp/mouseoverdictionary/ 独立行政法人 情報処理推進機構 セキュリティセンター http://www.ipa.go.jp/security/vuln/documents/2007/JVN_63304072.html

2007年9月の Sun の発表によると、これまで同一の脆弱性に対する修正 プログラムが Java のバージョンによって個別にリリースされていまし たが、同時にリリースされるようになります。 今後は以下の 3製品が常に同時に修正されるようになります。 JDK and JRE 6 JDK and JRE 5.0 SDK and JRE 1.4.2 また同発表では Sun が修正プログラムの事前情報提供を計画中である ことが、述べられています。計画の詳細は今後 Sun Security Blog で 発表される予定です。 Sun Developer Network http://java.sun.com/developer/technicalArticles/javase/security_adv/ Sun Security Community http://blogs.sun.com/security/