<<< JPCERT/CC WEEKLY REPORT 2009-11-18 >>>

■11/08(日)〜11/14(土) のセキュリティ関連情報

目　次

【1】2009年11月 Microsoft セキュリティ情報について

【2】Apple の複数の製品に脆弱性

【3】SSL および TLS プロトコルに脆弱性

【4】Windows 7 / Windows Server 2008 R2 の SMB の処理に脆弱性

【5】HP Power Manager にバッファオーバーフローの脆弱性

【6】Internet Week 2009 のお知らせ

【今週のひとくちメモ】迷惑メールにご注意

【1】2009年11月 Microsoft セキュリティ情報について

情報源

US-CERT Technical Cyber Security Alert TA09-314A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA09-314A.html

US-CERT Cyber Security Alert SA09-314A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/alerts/SA09-314A.html

概要

Microsoft Windows、Windows Server、Office などの製品および関連コ
ンポーネントには、複数の脆弱性があります。結果として、遠隔の第三
者が任意のコードを実行したり、権限を昇格したり、サービス運用妨害
(DoS) 攻撃を行ったりする可能性があります。

詳細については、マイクロソフトが提供する情報を参照してください。

この問題は、Microsoft Update などを用いて、セキュリティ更新プロ
グラムを適用することで解決します。

関連文書 (日本語)

2009 年 11 月のセキュリティ情報
http://www.microsoft.com/japan/technet/security/bulletin/ms09-nov.mspx

Japan Vulnerability Notes JVNTA09-314A
Microsoft 製品における複数の脆弱性に対するアップデート
https://jvn.jp/cert/JVNTA09-314A/index.html

@police
マイクロソフト社のセキュリティ修正プログラムについて(MS09-063,064,065,066,067,068)(11/11)
http://www.cyberpolice.go.jp/important/2009/20091111_103247.html

JPCERT/CC Alert 2009-11-11 JPCERT-AT-2009-0024
2009年11月 Microsoft セキュリティ情報 (緊急 3件) に関する注意喚起
https://www.jpcert.or.jp/at/2009/at090024.txt

【2】Apple の複数の製品に脆弱性

情報源

US-CERT Current Activity Archive
Apple Releases Mac OS X v10.6.2 and Security Update 2009-006
http://www.us-cert.gov/current/archive/2009/11/13/archive.html#apple_releases_mac_os_x2

US-CERT Current Activity Archive
Apple Releases Safari 4.0.4
http://www.us-cert.gov/current/archive/2009/11/13/archive.html#apple_releases_safari_4_03

概要

Apple の複数の製品には、脆弱性があります。結果として、遠隔の第三
者が任意のコードを実行したり、権限を昇格したり、ユーザのブラウザ
上で任意のスクリプトを実行したりする可能性があります。

対象となる製品及びバージョンは以下の通りです。

- Mac OS X 10.6 および 10.6.1
- Mac OS X Server 10.6 および 10.6.1
- Mac OS X 10.5.8
- Mac OS X Server 10.5.8
- Safari 4 (Mac OS X 10.6)
- Safari 4 (Mac OS X 10.5)
- Safari 4 (Windows)

この問題は、Apple が提供する修正済みのバージョンに、該当する製品
を更新することで解決します。詳細については、Apple が提供する情報
を参照してください。

関連文書 (日本語)

Apple Support HT3937
セキュリティアップデート 2009-006 / Mac OS X v10.6.2 について
http://support.apple.com/kb/HT3937?viewlocale=ja_JP

Apple Support HT3949
Safari 4.0.4 のセキュリティコンテンツについて
http://support.apple.com/kb/HT3949?viewlocale=ja_JP

関連文書 (英語)

Apple Support HT3937
About Security Update 2009-006 / Mac OS X v10.6.2
http://support.apple.com/kb/HT3937

Apple Support HT3949
About the security content of Safari 4.0.4
http://support.apple.com/kb/HT3949

Apple Mailing List APPLE-SA-2009-11-09-1
Security Update 2009-006 / Mac OS X v10.6.2
http://lists.apple.com/archives/security-announce/2009/Nov/msg00000.html

Apple Mailing List APPLE-SA-2009-11-11-1
Safari 4.0.4
http://lists.apple.com/archives/security-announce/2009/Nov/msg00001.html

【3】SSL および TLS プロトコルに脆弱性

情報源

US-CERT Vulnerability Note VU#120541
SSL and TLS protocols renegotiation vulnerability
http://www.kb.cert.org/vuls/id/120541

US-CERT Current Activity Archive
SSL and TLS Vulnerable to Man-in-the-middle Attacks
http://www.us-cert.gov/current/archive/2009/11/06/archive.html#ssl_and_tls_vulnerable_to

DOE-CIRC Technical Bulletin T-269
Multiple Vendor TLS Protocol Session Renegotiation Security Vulnerability
http://www.doecirc.energy.gov/bulletins/t-269.shtml

概要

Secure Sockets Layer (SSL) および Transport Layer Security (TLS) 
プロトコルの renegotiation 機能には、特定の条件において通信デー
タの先頭に任意のデータを挿入できる脆弱性があります。結果として、
通信を中継可能な第三者が HTTP リクエストを挿入してサーバに送信す
るなどの可能性があります。

対象は以下の通りです。

- Secure Sockets Layer (SSL) 3.0 およびそれ以降
- Transport Layer Security (TLS) 1.0 およびそれ以降

2009年11月17日現在、この問題に対する解決策は提供されていません。

回避策としては、renegotiation 機能を無効にするなどの方法がありま
す。詳細については、各ベンダや配布元が提供する情報を参照してくだ
さい。

なお、現在 IETF の TLS Working Group では、本件の対策に関する議
論が行われています。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#120541
SSL および TLS プロトコルに脆弱性
https://jvn.jp/cert/JVNVU120541/index.html

関連文書 (英語)

IETF
MITM attack on delayed TLS-client auth through renegotiation
http://www.ietf.org/mail-archive/web/tls/current/msg03928.html

OpenSSL
OpenSSL Security Advisory [11-Nov-2009]
http://www.openssl.org/news/secadv_20091111.txt

Red Hat Security Advisory RHSA-2009:1580-1
Moderate: httpd security update
https://rhn.redhat.com/errata/RHSA-2009-1580.html

Red Hat Security Advisory RHSA-2009:1579-1
Moderate: httpd security update
https://rhn.redhat.com/errata/RHSA-2009-1579.html

Cisco Security Advisory cisco-sa-20091109-tls
Transport Layer Security Renegotiation Vulnerability
http://www.cisco.com/warp/public/707/cisco-sa-20091109-tls.shtml

【4】Windows 7 / Windows Server 2008 R2 の SMB の処理に脆弱性

情報源

マイクロソフト セキュリティ アドバイザリ (977544)
SMB の脆弱性により、サービス拒否が起こる
http://www.microsoft.com/japan/technet/security/advisory/977544.mspx

概要

Microsoft Windows 7 / Windows Server 2008 R2 には SMB の処理に脆
弱性があります。結果として、遠隔の第三者により、サービス運用妨害
(DoS) 攻撃を受ける可能性があります。

対象となるバージョンは以下の通りです。

- Windows 7
- Windows Server 2008 R2

2009年11月17日現在、この問題に対する修正プログラムは提供されてい
ません。

回避策としては、ファイアウォールで TCP ポート 139 および 445 を
ブロックするなどの方法があります。詳細については、Microsoft が提
供する情報を参照してください。

【5】HP Power Manager にバッファオーバーフローの脆弱性

情報源

DOE-CIRC Technical Bulletin T-268
HP Power Manager Management Web Server Login Remote Code Execution Vulnerability
http://www.doecirc.energy.gov/bulletins/t-268.shtml

概要

HP Power Manager には、バッファオーバーフローの脆弱性があります。
結果として、遠隔の第三者が SYSTEM の権限で任意のコードを実行する
可能性があります。

対象となるバージョンは以下の通りです。

- HP Power Manager のすべてのバージョン

2009年11月17日現在、この問題に対する解決策は提供されていません。

回避策としては、HP Power Manager へのアクセスを信頼できるユーザ
に限定するなどの方法があります。詳細については、HP が提供する情
報を参照してください。

関連文書 (英語)

HP Support document c01905743
HPSBMA02474 SSRT090107 rev.1 - HP Power Manager, Remote Execution of Arbitrary Code
http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c01905743

【6】Internet Week 2009 のお知らせ

情報源

JPCERT/CC イベント情報
Internet Week 2009
https://www.jpcert.or.jp/event/internetweek2009.html

概要

2009年11月24日(火) より 11月27日(金) まで、秋葉原コンベンション
ホールにおいて JPNIC 主催の Internet Week 2009 が開催されます。

Internet Week は、インターネットに関する技術の研究・開発、構築・
運用・サービスに関わる人々が一堂に会し、主にインターネットの基盤
技術の基礎知識や最新動向を学び、議論し、理解と交流を深めるための
イベントです。

割引料金でご参加いただける、事前登録受付けの締切りが、一部プログ
ラムについて延長になりました。

事前登録受付締切：11月18日(水) 17:00 まで

[事前登録受付を延長するプログラム]

インターネットセキュリティ2009  https://internetweek.jp/program/h1/
DNSSECチュートリアル            https://internetweek.jp/program/h3/
クラウドの虚像と実像 〜クラウドの本質を正しく理解する3時間〜
                                https://internetweek.jp/program/h6/

関連文書 (日本語)

Internet Week 2009
Internet Week 2009 お申し込みに関して
https://internetweek.jp/apply/

■今週のひとくちメモ

○迷惑メールにご注意

JPCERT/CC では、2009年10月20日に「マイクロソフト社を騙るマルウエ
ア添付メールに関する注意喚起」を発行しましたが、その後もマルウエ
アを添付したメールや不正なサイトへ誘導するメールを多数確認してい
ます。これらのメールでは差出人を偽装して知人を装ったり、社会的に
注目が集まっている話題を件名に記載したりといった手法が見られます。
不用意に添付ファイルを展開したり、記載されたリンクを開いたりしな
いようご注意下さい。

参考文献 (日本語)

財団法人日本データ通信協会
迷惑メール対策ハンドブック2009
http://www.dekyo.or.jp/soudan/anti_spam/index.html#hb

McAfee
McAfee脅威レポート：2009年第３四半期
http://www.mcafee.com/japan/security/threatreport09q3.asp

■JPCERT/CC からのお願い