JPCERT-WR-2007-4701 2007-12-05 2007-11-25 2007-12-01

US-CERT Technical Cyber Security Alert TA07-334A http://www.us-cert.gov/cas/techalerts/TA07-334A.html US-CERT Cyber Security Alert SA07-334A http://www.us-cert.gov/cas/alerts/SA07-334A.html US-CERT Vulnerability Note VU#659761 http://www.kb.cert.org/vuls/id/659761 CIAC Bulletin S-060 http://www.ciac.org/ciac/bulletins/s-060.shtml

Apple QuickTime の Real Time Streaming Protocol (RTSP) ストリー ムの処理には、バッファオーバフローの脆弱性があります。結果として、 遠隔の第三者が細工した RTSP ストリームをユーザに閲覧させることで、 任意のコードやコマンドを実行したり、サービス運用妨害 (DoS) 攻撃 を行ったりする可能性があります。なお、本件に関しては攻撃方法に関 する情報が公開されています。 対象となる製品は以下の通りです。 - Microsoft Windows版 および Mac OS X 版の - QuickTime 4.0 から 7.3 なお、iTunes など QuickTime を使用するソフトウェアをインストール している場合も影響を受けます。 2007年12月4日現在、この問題に対する修正プログラムは提供されていま せん。回避策としては以下の方法があります。 - Web プロキシサーバにおいて RTSP プロトコルの URI へのアクセスを 制限する - ファイアウォールなどで RTSP ストリームを制限する (デフォルトでは 554/tcp、6970-6999/udp ) - QuickTime ファイルへのアプリケーションの関連付けを無効にする - Web ブラウザにおいて QuickTime プラグインや ActiveX コントロー ルを使わないようにする

Japan Vulnerability Notes JVNVU#659761 http://jvn.jp/cert/JVNVU%23659761/index.html Japan Vulnerability Notes JVNTA07-334A http://jvn.jp/cert/JVNTA07-334A/index.html JPCERT/CC Alert 2007-11-30 http://www.jpcert.or.jp/at/2007/at070023.txt

US-CERT Vulnerability Note VU#433819 http://www.kb.cert.org/vuls/id/433819

Apple Mail には、脆弱性があります。結果として遠隔の第三者が細工 した電子メール添付ファイルをユーザに開かせることで、そのユーザの 権限で任意のコマンドを実行する可能性があります。 対象となるプラットフォームは以下の通りです。 - Mac OS X 10.5 (Leopard) 2007年12月4日現在、この問題に対する修正プログラムは提供されてい ません。Apple Mail を使用する場合は、不審な添付ファイルを開かな いようにしてください。 なお、この問題は Mac OS X 10.4 以前では修正されています。

Japan Vulnerability Notes JVNVU#433819 http://jvn.jp/cert/JVNVU%23433819/index.html

CIAC Bulletin S-062 http://www.ciac.org/ciac/bulletins/s-062.shtml

OpenSSH による X11 クッキーの処理には、脆弱性があります。結果と して、遠隔の第三者がアクセス制限を回避する可能性があります。 対象となるバージョンは以下の通りです。 - OpenSSH 4.6 およびそれ以前 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに OpenSSH を更新することで解決します。詳細については、 ベンダや配布元が提供する情報を参照してください。

OpenSSH http://www.openssh.com/txt/release-4.7 HP Support document c01271085 http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c01271085 Hewlett-Packard Co. http://h20293.www2.hp.com/portal/swdepot/displayProductInfo.do?productNumber=T1471AA

Mozilla Firefox は Mozilla Foundation が開発しているオープンソー スの Web ブラウザです。現在、Windows、Mac OS X 及び Linux をはじ めとする Unix 系 OS 上で使用することが可能です。 Mozilla Firefox はユーザが拡張機能をインストールすることで、標準 では備わっていない様々な機能を使用することができます。ここでは、 セキュリティ強化に役立つ拡張機能をご紹介します。 NoScript は信頼するサイトに置かれている JavaScript のみを実行す るための拡張機能です。ユーザの操作によりドメイン名のホワイトリス トを作り、リストに記載されたサイトにある場合のみ JavaScript の実 行を許可します。ホワイトリストへの追加削除は Firefox の GUI で簡 単に行うことが可能です。 また JavaScript 以外にも Java, Flash, Microsoft Silverlight など の実行を JavaScript と同様の原理で制限することが可能です。 例えば Mpack などのように、JavaScript を使った攻撃に対して有効で す。 Mozilla Firefox Add-ons https://addons.mozilla.org/ja/firefox/addon/722 JPCERT/CC Alert 2007-06-28 http://www.jpcert.or.jp/at/2007/at070016.txt NoScript http://noscript.net/