<<< JPCERT/CC WEEKLY REPORT 2009-02-04 >>>

■01/25(日)〜01/31(土) のセキュリティ関連情報

目　次

【1】Microsoft Windows 自動実行機能の無効化における注意点

【2】Sun Solaris 10 および OpenSolaris に脆弱性

【3】Autonomy Ultraseek に URL リダイレクションの脆弱性

【4】「C/C++ セキュアコーディングハーフデイキャンプ part2」参加者募集のお知らせ

【今週のひとくちメモ】インターネットセキュリティの歴史 第26回「日本国内の脆弱性関連情報流通調整機関として JPCERT/CC が指定」

【1】Microsoft Windows 自動実行機能の無効化における注意点

情報源

US-CERT Technical Cyber Security Alert TA09-020A
Microsoft Windows Does Not Disable AutoRun Properly
http://www.us-cert.gov/cas/techalerts/TA09-020A.html

概要

Microsoft Windows では自動実行機能を無効化することにより、リムー
バブルデバイスの接続時に意図しないコードの自動実行を防ぐことがで
きます。しかしながら Microsoft が提供する自動実行機能を無効化す
るためのドキュメント (文書番号: 953252) の手順では、対策が適用さ
れないケースが存在します。

自動実行機能を無効化する方法として、Microsoft のドキュメント (文
書番号: 953252) では、グループポリシーを変更する方法や Autorun 
および NoDriveTypeAutorun のレジストリキーを変更する方法が記載さ
れています。しかしながらこれらの変更を行っても、デバイスを表すア
イコンをクリックすると、Autorun.inf の記述にしたがったプログラム
が実行されてしまうケースが存在します。

回避策としては、Autorun.inf に対するマッピング情報を上書きする方
法があります。この対策を行うことで、リムーバブルデバイスや 
CD-ROM など全てのデバイスで自動実行が無効になります。この設定を
行わず自動実行を回避したい場合は、デバイスを表すアイコンを右クリッ
クしてエクスプローラーを選択するなどしてください。詳細については、
下記関連文書に示す CERT/CC が提供する Vulnerability Analysis
Blog の The Dangers of Windows AutoRun を参照してください。

関連文書 (日本語)

Japan Vulnerability Notes JVNTA09-020A
Microsoft Windows 自動実行機能の無効化における注意点
http://jvn.jp/cert/JVNTA09-020A/index.html

Microsoft サポートオンライン
Windows での強制の自動再生 (Autorun) レジストリ キーを無効に"修正する方法
http://support.microsoft.com/kb/953252/ja

関連文書 (英語)

CERT/CC Vulnerability Analysis Blog
The Dangers of Windows AutoRun
http://www.cert.org/blogs/vuls/2008/04/the_dangers_of_windows_autorun.html

Microsoft Support Online
How to correct "disable Autorun registry key" enforcement in Windows
http://support.microsoft.com/?scid=kb;en-us;953252

Microsoft TechNet
NoDriveTypeAutoRun
http://www.microsoft.com/technet/prodtechnol/windows2000serv/reskit/regentry/91525.mspx

US-CERT Vulnerability Note VU#889747
Microsoft Windows fails to properly handle the NoDriveTypeAutoRun registry value
http://www.kb.cert.org/vuls/id/889747

【2】Sun Solaris 10 および OpenSolaris に脆弱性

情報源

DOE-CIRC Technical Bulletin T-049
Sun Solaris IPv6 Packet Processing Denial of Service Vulnerability
http://www.doecirc.energy.gov/ciac/bulletins/t-049.shtml

概要

Sun Solaris には、IPv6 パケットの処理に起因する脆弱性があります。
結果として、遠隔の第三者が細工したパケットを処理させることでサー
ビス運用妨害 (DoS) 攻撃を行う可能性があります。なお、本件に関し
ては攻撃方法に関する情報が公開されています。

対象となる製品は以下の通りです。

- SPARC および x86 プラットフォームで動作する以下の製品
 - Solaris 10
 - ビルド snv_01 - snv_107 に基づく OpenSolaris

なお、この問題は IPv6 のインタフェースが有効になっている場合にの
み影響します。また、Solaris 8 および Solaris 9 はこの問題の影響
を受けません。

この問題は、Sun が提供する修正済みのバージョンに、該当する製品を
更新することで解決します。詳細については、Sun が提供する情報を参
照してください。

関連文書 (英語)

Sun Alert Notification 251006
A Security Vulnerability in Solaris IPv6 Implementation (ip6(7p)) May Cause a System Panic
http://sunsolve.sun.com/search/document.do?assetkey=1-66-251006-1

【3】Autonomy Ultraseek に URL リダイレクションの脆弱性

情報源

US-CERT Vulnerability Note VU#202753
Autonomy Ultraseek URL redirection vulnerability
http://www.kb.cert.org/vuls/id/202753

概要

Autonomy Ultraseek には、URL リダイレクションの脆弱性があります。
結果として、遠隔の第三者が細工した URL を参照させることで、ユー
ザを任意の Web サイトにリダイレクトする可能性があります。

この問題は、Autonomy が提供する修正済みのバージョンに Ultraseek
を更新することで解決します。詳細については、Autonomy が提供する
情報を参照してください。

関連文書 (日本語)

Autonomy Corp.
http://www.autonomy.co.jp/

株式会社デジタルガレージ
Ultraseek
http://www2.garage.co.jp/

関連文書 (英語)

Autonomy
Customer Support Site
http://customers.autonomy.com/

Ultraseek
Ultraseek Enterprise Search
http://www.ultraseek.com/

【4】「C/C++ セキュアコーディングハーフデイキャンプ part2」参加者募集のお知らせ

情報源

JPCERT/CC
C/C++ セキュアコーディング ハーフデイキャンプのご案内
https://www.jpcert.or.jp/event/half-day_Camp-seminar.html

概要

JPCERT コーディネーションセンターは、C/C++ 言語で脆弱性を含まな
い安全なプログラムをコーディングする具体的なテクニックとノウハウ
を学んでいただくためのセミナー「C/C++ セキュアコーディング ハー
フデイキャンプ」を 1月、2月、3月にわたり開催しています。参加費は
無料です。

多数のご参加をいただいた part1 に続き、part2 の参加申し込み受付
けを開始しました。

日時:   part2 ＜File I/O part1, part2, part3＞
        2009年2月26日 (木) 13:00〜18:00 (受付 12:30〜)
会場:   株式会社インターネットイニシアティブ　大会議室1
        東京都千代田区神田神保町1-105 神保町三井ビルディング 17階
受講料: 無料
定員:   80名

■今週のひとくちメモ

○インターネットセキュリティの歴史 第26回「日本国内の脆弱性関連情報流通調整機関として JPCERT/CC が指定」

ソフトウエアやハードウエアシステム等の脆弱性を発見した者が、その
脆弱性を修正できるベンダ (開発者) に直接情報を送付しても、その情
報が適切に取り扱われない、またはそもそも脆弱性情報の送付先が不明
であるために、その脆弱性が修正される前に攻撃に悪用されてしまうこ
とがあります。

そのような中で、米国 CERT/CC や英国 NISCC (現在の CPNI) は、公開
前の脆弱性情報をベンダと調整し、修正が完了した後に世界同時に公開
するという「脆弱性情報ハンドリング」を行なっており、一定の成果を
挙げていました。しかし、日本のベンダとの調整については、時差や言
語、文化の違いなどからスムースに進まないことがあったことから、
JPCERT/CC は 2002年より CERT/CC および NISCC と協力し、日本国内
ベンダとの調整業務を行っていました。

このような実績を踏まえ、日本国内の脆弱性情報流通の枠組みを整備す
る動きが生まれました。そして 2004年7月7日、経済産業省より公示さ
れた「ソフトウエア等脆弱性関連情報取扱基準」において、JPCERT/CC 
が、日本国内の脆弱性関連情報流通のための調整機関として指定されま
した。また同指定告示により、脆弱性関連情報の受付機関として指定を
受けた独立行政法人情報処理推進機構 (IPA) と連携し、日本国内にお
ける脆弱性関連情報流通を行なうことになりました。

参考文献 (日本語)

JPCERT/CC
脆弱性情報ハンドリング
http://www.jpcert.or.jp/vh/

独立行政法人情報処理推進機構
脆弱性関連情報に関する届出について
http://www.ipa.go.jp/security/vuln/report/index.html

■JPCERT/CC からのお願い