-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2009-0401 JPCERT/CC 2009-01-28 <<< JPCERT/CC REPORT 2009-01-28 >>> ―――――――――――――――――――――――――――――――――――――― ■01/18(日)〜01/24(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】Apple QuickTime 製品に複数の脆弱性 【2】Cisco Security Manager に認証回避の脆弱性 【3】Sun SPARC Enterprise Server に認証回避の脆弱性 【4】futomi's CGI Cafe の全文検索CGI に管理者権限奪取の脆弱性 【今週のひとくちメモ】ソフトウエア難読化 (Software Obfuscation) ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 http://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 http://www.jpcert.or.jp/wr/2009/wr090401.html http://www.jpcert.or.jp/wr/2009/wr090401.xml ============================================================================ 【1】Apple QuickTime 製品に複数の脆弱性 情報源 US-CERT Technical Cyber Security Alert TA09-022A Apple QuickTime Updates for Multiple Vulnerabilities http://www.us-cert.gov/cas/techalerts/TA09-022A.html US-CERT Cyber Security Alert SA09-022A Apple QuickTime Updates for Multiple Vulnerabilities http://www.us-cert.gov/cas/alerts/SA09-022A.html DOE-CIRC Technical Bulletin T-043 Apple QuickTime Memory Corruption and Buffer Overflow Vulnerabilities http://www.doecirc.energy.gov/ciac/bulletins/t-043.shtml 概要 Apple QuickTime には、複数の脆弱性があります。結果として、遠隔の 第三者が細工した URL にアクセスさせたり、ムービーファイルを閲覧 させたりすることで、任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があります。 対象となる製品およびバージョンは以下の通りです。 - Apple Mac OS X 版 QuickTime 7.5 およびそれ以前 - Microsoft Windows 版 QuickTime 7.5 およびそれ以前 なお、iTunes など QuickTime を使用するソフトウェアをインストール している場合も影響を受けます。詳細については、Apple が提供する情 報を参照してください。 この問題は、Apple が提供する修正済みのバージョン 7.6 に QuickTime を更新することで解決します。 関連文書 (日本語) Japan Vulnerability Notes JVNTA09-022A Apple QuickTime における複数の脆弱性に対するアップデート http://jvn.jp/cert/JVNTA09-022A/index.html アップル QuickTime - ダウンロード http://www.apple.com/jp/quicktime/download/ 関連文書 (英語) Apple Support HT3403 About the security content of QuickTime 7.6 http://support.apple.com/kb/HT3403 Apple security-announce Mailing List APPLE-SA-2009-01-21 QuickTime 7.6 http://lists.apple.com/archives/security-announce/2009/Jan/msg00000.html 【2】Cisco Security Manager に認証回避の脆弱性 情報源 US-CERT Current Activity Archive Cisco Releases Security Advisory for Cisco Security Manager http://www.us-cert.gov/current/archive/2009/01/23/archive.html#cisco_releases_security_advisory_for6 概要 Cisco Security Manager には、認証回避の脆弱性があります。結果と して、遠隔の第三者が root 権限で IEV データベースおよび IEV サー バにアクセスする可能性があります。 対象となる製品およびバージョンは以下の通りです。 - Cisco Security Manager 3.1 系の各バージョン - Cisco Security Manager 3.2.2 より前の 3.2 系の各バージョン なお、対象のシステムで IEV が使用されていない場合、Cisco Security Manager は本脆弱性の影響を受けません。 この問題は、Cisco が提供するパッチを該当する製品に適用することで 解決します。詳細については Cisco が提供する情報を参照してくださ い。 関連文書 (英語) Cisco Security Advisory 109370 Cisco Security Manager Vulnerability http://www.cisco.com/warp/public/707/cisco-sa-20090121-csm.shtml 【3】Sun SPARC Enterprise Server に認証回避の脆弱性 情報源 DOE-CIRC Technical Bulletin T-040 Sun SPARC Enterprise Server Authentication Bypass Vulnerability http://www.doecirc.energy.gov/ciac/bulletins/t-040.shtml 概要 Sun SPARC Enterprise Server には、出荷時の設定に起因する認証回避 の脆弱性があります。結果として、遠隔の第三者が root 権限で eXtended System Control Facility Unit (XSCFU) にログインする可能 性があります。 対象となる製品は以下の通りです。 - 2008年に製造されたシリアル番号の週表示部分が 38 から 49 までの SPARC Enterprise M4000/M5000 Server この問題は、Sun が提供する設定情報を適用することで解決します。詳 細については、Sun が提供する情報を参照してください。 関連文書 (英語) Sun Alert Notification 249126 Incorrect Software Setting Prior to Shipping on Certain Sun SPARC M4000/M5000 Servers May Allow Unauthorized Access http://sunsolve.sun.com/search/document.do?assetkey=1-66-249126-1 【4】futomi's CGI Cafe の全文検索CGI に管理者権限奪取の脆弱性 情報源 Japan Vulnerability Notes JVN#80771386 futomi's CGI Cafe 製全文検索CGI における管理者権限奪取の脆弱性 http://jvn.jp/jp/JVN80771386/index.html 概要 futomi's CGI Cafe の全文検索CGI には、管理者権限が奪取可能である 脆弱性があります。結果として、遠隔の第三者が全文検索CGI の管理者 になりすます可能性があります。 対象となるバージョンは以下の通りです。 - 全文検索CGI Ver. 1.1.2 およびそれ以前 この問題は、配布元が提供する修正済みのバージョンに全文検索CGI を 更新することで解決します。 関連文書 (日本語) futomi's CGI Cafe 全文検索CGI 新バージョンの提供について http://www.futomi.com/library/info/2009/20090123.html ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○ソフトウエア難読化 (Software Obfuscation) ソフトウエアの本来の機能を保持したまま、そのソフトウエアを解析さ れることを防ぐためにソフトウエア難読化が行われることがあります。 不要なコードを紛れ込ませたり、コードの順番を入れかえたり、ソース コード自身に特殊なエンコードを行ったりしてソフトウエアの挙動を隠 ぺいします。 ソフトウエアのアイデアやノウハウなどを保護する目的で研究されてい ましたが、現在では攻撃者が難読化された JavaScript やマルウエアを 使用する例が増えています。これにはパターンマッチによる検知を防い だり、マルウエア作者の意図を秘匿する狙いがあると考えられています。 参考文献 (日本語) msdn Visual Studio 2008 Developer Center Dotfuscator Community Edition 4.0 http://msdn.microsoft.com/ja-jp/library/ms227240.aspx ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 http://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 http://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 http://www.jpcert.or.jp/form/ 以上。 __________ 2009 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQCVAwUBSX+xbYx1ay4slNTtAQgsmAP/UBLy3u+eFszEBJg886BwzK+lC6I1vceb +yPGdL/JfhzNdkV8HTtK+tZNn5ogGPVdtOYG4zJNmpVtZDG9ZGt7UpfP/GKHqwcM QxNyOZkurXTViUSFnrDQxPwM7xmbYQ47LEn9ib/ILi3br3GDai28DHMXYUfp+u6P rj8atRyQkw8= =I+5k -----END PGP SIGNATURE-----