JPCERT-WR-2009-44012009-11-182009-11-082009-11-142009年11月 Microsoft セキュリティ情報について
Microsoft Windows、Windows Server、Office などの製品および関連コ
ンポーネントには、複数の脆弱性があります。結果として、遠隔の第三
者が任意のコードを実行したり、権限を昇格したり、サービス運用妨害
(DoS) 攻撃を行ったりする可能性があります。
詳細については、マイクロソフトが提供する情報を参照してください。
この問題は、Microsoft Update などを用いて、セキュリティ更新プロ
グラムを適用することで解決します。2009 年 11 月のセキュリティ情報http://www.microsoft.com/japan/technet/security/bulletin/ms09-nov.mspxJapan Vulnerability Notes JVNTA09-314AMicrosoft 製品における複数の脆弱性に対するアップデートhttps://jvn.jp/cert/JVNTA09-314A/index.html@policeマイクロソフト社のセキュリティ修正プログラムについて(MS09-063,064,065,066,067,068)(11/11)http://www.cyberpolice.go.jp/important/2009/20091111_103247.htmlJPCERT/CC Alert 2009-11-11 JPCERT-AT-2009-00242009年11月 Microsoft セキュリティ情報 (緊急 3件) に関する注意喚起https://www.jpcert.or.jp/at/2009/at090024.txtApple の複数の製品に脆弱性
Apple の複数の製品には、脆弱性があります。結果として、遠隔の第三
者が任意のコードを実行したり、権限を昇格したり、ユーザのブラウザ
上で任意のスクリプトを実行したりする可能性があります。
対象となる製品及びバージョンは以下の通りです。
- Mac OS X 10.6 および 10.6.1
- Mac OS X Server 10.6 および 10.6.1
- Mac OS X 10.5.8
- Mac OS X Server 10.5.8
- Safari 4 (Mac OS X 10.6)
- Safari 4 (Mac OS X 10.5)
- Safari 4 (Windows)
この問題は、Apple が提供する修正済みのバージョンに、該当する製品
を更新することで解決します。詳細については、Apple が提供する情報
を参照してください。Apple Support HT3937セキュリティアップデート 2009-006 / Mac OS X v10.6.2 についてhttp://support.apple.com/kb/HT3937?viewlocale=ja_JPApple Support HT3949Safari 4.0.4 のセキュリティコンテンツについてhttp://support.apple.com/kb/HT3949?viewlocale=ja_JPApple Support HT3937About Security Update 2009-006 / Mac OS X v10.6.2http://support.apple.com/kb/HT3937Apple Support HT3949About the security content of Safari 4.0.4http://support.apple.com/kb/HT3949Apple Mailing List APPLE-SA-2009-11-09-1Security Update 2009-006 / Mac OS X v10.6.2http://lists.apple.com/archives/security-announce/2009/Nov/msg00000.htmlApple Mailing List APPLE-SA-2009-11-11-1Safari 4.0.4http://lists.apple.com/archives/security-announce/2009/Nov/msg00001.htmlSSL および TLS プロトコルに脆弱性
Secure Sockets Layer (SSL) および Transport Layer Security (TLS)
プロトコルの renegotiation 機能には、特定の条件において通信デー
タの先頭に任意のデータを挿入できる脆弱性があります。結果として、
通信を中継可能な第三者が HTTP リクエストを挿入してサーバに送信す
るなどの可能性があります。
対象は以下の通りです。
- Secure Sockets Layer (SSL) 3.0 およびそれ以降
- Transport Layer Security (TLS) 1.0 およびそれ以降
2009年11月17日現在、この問題に対する解決策は提供されていません。
回避策としては、renegotiation 機能を無効にするなどの方法がありま
す。詳細については、各ベンダや配布元が提供する情報を参照してくだ
さい。
なお、現在 IETF の TLS Working Group では、本件の対策に関する議
論が行われています。Japan Vulnerability Notes JVNVU#120541SSL および TLS プロトコルに脆弱性https://jvn.jp/cert/JVNVU120541/index.htmlIETFMITM attack on delayed TLS-client auth through renegotiationhttp://www.ietf.org/mail-archive/web/tls/current/msg03928.htmlOpenSSLOpenSSL Security Advisory [11-Nov-2009]http://www.openssl.org/news/secadv_20091111.txtRed Hat Security Advisory RHSA-2009:1580-1Moderate: httpd security updatehttps://rhn.redhat.com/errata/RHSA-2009-1580.htmlRed Hat Security Advisory RHSA-2009:1579-1Moderate: httpd security updatehttps://rhn.redhat.com/errata/RHSA-2009-1579.htmlCisco Security Advisory cisco-sa-20091109-tlsTransport Layer Security Renegotiation Vulnerabilityhttp://www.cisco.com/warp/public/707/cisco-sa-20091109-tls.shtmlWindows 7 / Windows Server 2008 R2 の SMB の処理に脆弱性
Microsoft Windows 7 / Windows Server 2008 R2 には SMB の処理に脆
弱性があります。結果として、遠隔の第三者により、サービス運用妨害
(DoS) 攻撃を受ける可能性があります。
対象となるバージョンは以下の通りです。
- Windows 7
- Windows Server 2008 R2
2009年11月17日現在、この問題に対する修正プログラムは提供されてい
ません。
回避策としては、ファイアウォールで TCP ポート 139 および 445 を
ブロックするなどの方法があります。詳細については、Microsoft が提
供する情報を参照してください。HP Power Manager にバッファオーバーフローの脆弱性
HP Power Manager には、バッファオーバーフローの脆弱性があります。
結果として、遠隔の第三者が SYSTEM の権限で任意のコードを実行する
可能性があります。
対象となるバージョンは以下の通りです。
- HP Power Manager のすべてのバージョン
2009年11月17日現在、この問題に対する解決策は提供されていません。
回避策としては、HP Power Manager へのアクセスを信頼できるユーザ
に限定するなどの方法があります。詳細については、HP が提供する情
報を参照してください。HP Support document c01905743HPSBMA02474 SSRT090107 rev.1 - HP Power Manager, Remote Execution of Arbitrary Codehttp://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c01905743Internet Week 2009 のお知らせ
2009年11月24日(火) より 11月27日(金) まで、秋葉原コンベンション
ホールにおいて JPNIC 主催の Internet Week 2009 が開催されます。
Internet Week は、インターネットに関する技術の研究・開発、構築・
運用・サービスに関わる人々が一堂に会し、主にインターネットの基盤
技術の基礎知識や最新動向を学び、議論し、理解と交流を深めるための
イベントです。
割引料金でご参加いただける、事前登録受付けの締切りが、一部プログ
ラムについて延長になりました。
事前登録受付締切:11月18日(水) 17:00 まで
[事前登録受付を延長するプログラム]
インターネットセキュリティ2009 https://internetweek.jp/program/h1/
DNSSECチュートリアル https://internetweek.jp/program/h3/
クラウドの虚像と実像 〜クラウドの本質を正しく理解する3時間〜
https://internetweek.jp/program/h6/
Internet Week 2009Internet Week 2009 お申し込みに関してhttps://internetweek.jp/apply/迷惑メールにご注意
JPCERT/CC では、2009年10月20日に「マイクロソフト社を騙るマルウエ
ア添付メールに関する注意喚起」を発行しましたが、その後もマルウエ
アを添付したメールや不正なサイトへ誘導するメールを多数確認してい
ます。これらのメールでは差出人を偽装して知人を装ったり、社会的に
注目が集まっている話題を件名に記載したりといった手法が見られます。
不用意に添付ファイルを展開したり、記載されたリンクを開いたりしな
いようご注意下さい。
財団法人日本データ通信協会迷惑メール対策ハンドブック2009http://www.dekyo.or.jp/soudan/anti_spam/index.html#hbMcAfeeMcAfee脅威レポート:2009年第3四半期http://www.mcafee.com/japan/security/threatreport09q3.asp