JPCERT-WR-2008-2701

JPCERT/CC

2008-07-16

<<< JPCERT/CC WEEKLY REPORT 2008-07-16 >>>

■07/06(日)〜07/12(土) のセキュリティ関連情報

目　次

【1】2008年7月 Microsoft セキュリティ情報について

【2】複数の DNS 実装にキャッシュポイズニングの脆弱性

【3】Java Runtime Environment (JRE) に複数の脆弱性

【4】Microsoft Office Snapshot Viewer ActiveX コントロールに脆弱性

【5】PCRE にバッファオーバーフローの脆弱性

【6】Redmine にクロスサイトスクリプティングの脆弱性

【今週のひとくちメモ】J2SE 5.0 サポート終了移行期間について

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2008/wr082701.txt
https://www.jpcert.or.jp/wr/2008/wr082701.xml

【1】2008年7月 Microsoft セキュリティ情報について

情報源

US-CERT Technical Cyber Security Alert TA08-190A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA08-190A.html

US-CERT Cyber Security Alert SA08-190A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/alerts/SA08-190A.html

US-CERT Vulnerability Notes Database
Search Results [ms08-jul] (全2件・2008年7月15日現在)
http://www.kb.cert.org/vuls/byid?searchview&query=ms08-jul

CIAC Bulletin S-332
Vulnerabilities in DNS
http://www.ciac.org/ciac/bulletins/s-332.shtml

CIAC Bulletin S-333
Vulnerability in Windows Explorer
http://www.ciac.org/ciac/bulletins/s-333.shtml

CIAC Bulletin S-334
Vulnerabilities in Microsoft SQL Server
http://www.ciac.org/ciac/bulletins/s-334.shtml

概要

Microsoft Windows、Microsoft Windows Server、Microsoft SQL
Server、Microsoft Outlook Web Access 各製品には、複数の脆弱性が
あります。結果として、遠隔の第三者が任意のコードを実行したり、管
理者権限を取得したり、サービス運用妨害 (DoS) 攻撃を行ったりする
可能性があります。

詳細については、Microsoft が提供する情報を参照してください。

この問題は、Microsoft Update などを用いて、セキュリティ更新プロ
グラムを適用することで解決します。

【2】複数の DNS 実装にキャッシュポイズニングの脆弱性

情報源

US-CERT Technical Cyber Security Alert TA08-190B
Multiple DNS implementations vulnerable to cache poisoning
http://www.us-cert.gov/cas/techalerts/TA08-190B.html

US-CERT Vulnerability Note VU#800113
Multiple DNS implementations vulnerable to cache poisoning
http://www.kb.cert.org/vuls/id/800113

CIAC Bulletin S-332
Vulnerabilities in DNS
http://www.ciac.org/ciac/bulletins/s-332.shtml

概要

DNS プロトコルと複数の DNS サーバ製品にはキャッシュポイズニング
攻撃を許す脆弱性があります。結果として、遠隔の第三者が DNS キャッ
シュサーバを偽の DNS 情報で汚染する可能性があります。

影響を受ける主要な製品は以下の通りです。

- ISC BIND の全てのバージョン (BIND 8 を含む) 
- Microsoft DNS サーバ
- 複数の Cisco 製品
- 複数の Juniper 製品 (Netscreen 社製品を含む)

詳細については、各配布元やベンダが提供する情報を参照してください。

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに、該当する製品を更新することで影響を緩和することがで
きます。なお、DNS サーバにクエリを投げる側のノードに対しても修正
プログラムが提供されていないか確認してください。

Debian GNU/Linux など一部の Linux システムのパッケージに含まれて
いる設定ファイルでは、DNS クエリのソースポートを固定する設定が行
われている可能性があります。この場合、BIND をバージョンアップす
るとともに DNS クエリのソースポートを固定しないように設定ファイ
ルを更新する必要があります。変更方法については各ベンダからの情報
を参照して下さい。

【3】Java Runtime Environment (JRE) に複数の脆弱性

情報源

US-CERT Technical Cyber Security Alert TA08-193A
Sun Java Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA08-193A.html

US-CERT Cyber Security Alert SA08-193A
Sun Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/alerts/SA08-193A.html

概要

Java Runtime Environment (JRE) には、複数の脆弱性があります。結
果として、遠隔の第三者が任意のコードを実行したり、権限を昇格した
り、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可能性があり
ます。

対象となる製品およびバージョンは以下の通りです。

- JDK/JRE 6 Update 6 およびそれ以前
- JDK/JRE 5.0 Update 15 およびそれ以前
- SDK/JRE 1.4.2_17 およびそれ以前
- SDK/JRE 1.3.1_22 およびそれ以前

この問題は、Sun が提供する修正済みのバージョンに、該当する製品を
更新することで解決します。

【4】Microsoft Office Snapshot Viewer ActiveX コントロールに脆弱性

情報源

US-CERT Technical Cyber Security Alert TA08-189A
Microsoft Office Snapshot Viewer ActiveX Vulnerability
http://www.us-cert.gov/cas/techalerts/TA08-189A.html

US-CERT Vulnerability Note VU#837785
Microsoft Office Snapshot Viewer ActiveX control race condition
http://www.kb.cert.org/vuls/id/837785

CIAC Bulletin S-337
Vulnerability in the ActiveX Control for the Snapshot Viewer for Microsoft Access
http://www.ciac.org/ciac/bulletins/s-337.shtml

概要

Microsoft Office Snapshot Viewer ActiveX コントロールには脆弱性
があります。結果として、遠隔の第三者が細工した HTML 文書を閲覧さ
せることで、そのユーザの権限で任意のコードを実行する可能性があり
ます。

なお、本脆弱性に対する攻撃活動が行われていると報告されています。

対象となる製品は以下の通りです。

- Microsoft Office Access 2000
- Microsoft Office Access XP
- Microsoft Office Access 2003
- Microsoft Office Snapshot Viewer

2008年7月15日現在、この問題に対するセキュリティ更新プログラムは
確認されていません。

回避策としては、kill bit を設定する、インターネットゾーンにおけ
る Active X コントロールの実行を無効にするなどの方法があります。

【5】PCRE にバッファオーバーフローの脆弱性

情報源

CIAC Bulletin S-336
PCRE3 Vulnerability
http://www.ciac.org/ciac/bulletins/s-336.shtml

概要

Perl 互換の正規表現ライブラリ PCRE には、バッファオーバーフロー
の脆弱性があります。結果として、遠隔の第三者が細工した正規表現を
処理させることでサービス運用妨害 (DoS) 攻撃を行ったり、任意のコー
ドを実行したりする可能性があります。

対象となるバージョンは以下の通りです。

- PCRE 7.7

この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに PCRE ライブラリを更新することで解決します。

【6】Redmine にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#00945448
Redmine におけるクロスサイトスクリプティングの脆弱性
http://jvn.jp/jp/JVN00945448/index.html

概要

オープンソースのプロジェクト管理ソフトウェア Redmine には、クロ
スサイトスクリプティングの脆弱性があります。結果として、遠隔の第
三者がユーザのブラウザ上で任意のスクリプトを実行する可能性があり
ます。 

対象となるバージョンは以下の通りです。

- Redmine 0.7.2 およびそれ以前

この問題は、配布元が提供する修正済みのバージョンに Redmine を更
新することで解決します。

■今週のひとくちメモ

○J2SE 5.0 サポート終了移行期間について

Sun は J2SE 5.0 のサポートを 2009年10月30日までと発表しており、
2008年4月8日から 2009年10月30日の期間をサポート終了移行期間 (End
of Life transition period) としています。

J2SE 5.0 を使用したサービス提供者や開発者は、サポート終了日まで
に移行完了するように移行計画を立てることを推奨します。

また、現在の最新バージョンである Java SE 6 についてもおおまかな
サポート終了移行期間がすでに提示されています。将来の Java SE 6 
からの移行についても可能なかぎり考慮しておくことをお勧めします。

参考文献 (日本語)

JPCERT/CC REPORT 2008-04-16
【今週のひとくちメモ】J2SE 1.4.2 サポート終了
http://www.jpcert.or.jp/wr/2008/wr081501.html#Memo

Sun Products and Technologies Technical Topics
Java SE 6 の互換性
http://java.sun.com/javase/ja/6/webnotes/compatibility.html

参考文献 (英語)

Sun Developer Network
Java SE & Java SE for Business Support Road Map
http://java.sun.com/products/archive/eol.policy.html

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2008-07-16号

<<< JPCERT/CC WEEKLY REPORT 2008-07-16 >>>

■07/06(日)〜07/12(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

○J2SE 5.0 サポート終了移行期間について

参考文献 (日本語)

参考文献 (英語)

■JPCERT/CC からのお願い

目　次