JPCERT-WR-2008-3502
2008-09-10
2008-08-31
2008-09-06
Google Apps 向け SAML Single Sign-On (SSO) Service に脆弱性
Google Apps 向けの SAML Single Sign-On (SSO) Service には、認証
処理に起因する脆弱性がありました。結果として、サービスプロバイダ
が自身のサイトにユーザをログインさせることができた場合には、その
ユーザの Google アカウントへのアクセスや、他のサービスプロバイダ
へのなりすまし攻撃が可能になっていました。
Google は、既に修正済みの SAML SSO Service を提供しています。
Google Apps APIs
SAML Single Sign-On (SSO) Service for Google Apps
http://code.google.com/apis/apps/sso/saml_reference_implementation.html
NetBSD の ICMPv6 MLD クエリパケットの処理に脆弱性
NetBSD の ICMPv6 MLD クエリパケットの処理には脆弱性があります。
結果として、同一セグメント上の第三者が、細工した ICMPv6 MLD クエ
リパケットを送信することで、サービス運用妨害 (DoS) 攻撃を行う可
能性があります。
対象となるバージョンは以下の通りです。
- NetBSD 4.0
- NetBSD-current August 22, 2008 より前のバージョン
この問題は、配布元が提供する修正済みのバージョンに NetBSD を更新
することで解決します。詳細については、配布元が提供する情報を参照
してください。
Japan Vulnerability Notes JVNVU#817940
NetBSD の MLD query パケット処理にサービス運用妨害(DoS)の脆弱性
http://jvn.jp/cert/JVNVU817940/index.html
NetBSD Security Advisory 2008-011
ICMPv6 MLD query
http://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2008-011.txt.asc
ディーアイシー製 shop_v50 および shop_v52 にクロスサイトスクリプティングの脆弱性
ディーアイシーのショッピングカート用ソフトウェア shop_v50 および
shop_v52 には、クロスサイトスクリプティングの脆弱性があります。
結果として、遠隔の第三者がユーザのブラウザ上で任意のスクリプトを
実行する可能性があります。
対象となる製品およびバージョンは以下の通りです。
- shop_v50 バージョン3.0 およびそれ以前
- shop_v52 バージョン2.0 およびそれ以前
この問題は、ディーアイシーが提供する修正済みのバージョンに該当す
る製品を更新することで解決します。
ディーアイシー
shop_v50
http://www.d-ic.com/free/05/shop_v50.html
ディーアイシー
shop_v52
http://www.d-ic.com/free/05/shop_v52.html
DNSSEC Lookaside Validation (DLV)
DNSSEC では、各ゾーンの権威 (authoritative) サーバが使う鍵は上位
ゾーンの権威サーバによって署名され保証されます。
DNS ツリーのルート以下全てのゾーンが DNSSEC に対応していれば、リ
ゾルバが持つべき鍵はルートゾーンの署名に使われる鍵ひとつとなりま
す。しかし DNSSEC が普及していない現状では、DNSSEC に対応してい
る個々のゾーンの鍵を各リゾルバが持っておく必要があり、DNSSEC に
対応したゾーンが増えればそれだけ鍵の管理の手間も大きくなります。
このような状況に対応するための暫定的な仕組みとして、ISC
(Internet Systems Consortium) では DNSSEC Lookaside Validation
(DLV) という技術を提唱しています。
DLV に対応したリゾルバは、上位のゾーンで提供されるべき DS
(Delegation Signer) レコードが見つからない場合に、あらかじめ設定
しておいたドメインから DLV レコードを参照して DS レコードの代わ
りに使います。このようにして、トップレベルドメインまで DNSSEC 対
応が完了していない状態でも、リゾルバ側ではごく少数の鍵を持つだけ
で署名を検証できるようにする仕組みを実現しています。
ISC では、BIND のバージョン 9.3.3 以降で DLV に対応するとともに、
DLV Registry を運用しています。
JPCERT/CC REPORT 2008-09-03
【今週のひとくちメモ】DNSSEC (Domain Name System Security Extensions)
http://www.jpcert.or.jp/wr/2008/wr083401.html#Memo
ISC
ISC's DLV registry
https://secure.isc.org/ops/dlv/
RFC4431: The DNSSEC Lookaside Validation (DLV) DNS Resource Record
http://tools.ietf.org/html/rfc4431
RFC5074: DNSSEC Lookaside Validation (DLV)
http://tools.ietf.org/html/rfc5074