JPCERT-WR-2010-1501
2010-04-21
2010-04-11
2010-04-17
2010年4月 Microsoft セキュリティ情報について
Microsoft Windows、Office、Exchange などの製品および関連コンポー
ネントには、複数の脆弱性があります。結果として、遠隔の第三者が任
意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりす
る可能性があります。
この問題は、Microsoft Update などを用いて、セキュリティ更新プロ
グラムを適用することで解決します。なお、セキュリティ更新プログラ
ムには、JPCERT/CC WEEKLY REPORT 2009-11-18【4】および JPCERT/CC
WEEKLY REPORT 2010-03-10【1】で紹介した問題に対する解決策も含ま
れています。
2010 年 4 月のセキュリティ情報
http://www.microsoft.com/japan/technet/security/bulletin/ms10-apr.mspx
Japan Vulnerability Notes JVNTA10-103A
Microsoft 製品における複数の脆弱性に対するアップデート
https://jvn.jp/cert/JVNTA10-103A/index.html
@police
マイクロソフト社のセキュリティ修正プログラムについて(MS10-019,020,021,022,023,024,025,026,027,028,029)
https://www.npa.go.jp/cyberpolice/topics/?seq=3283
JPCERT/CC Alert 2010-04-14 JPCERT-AT-2010-0008
2010年4月 Microsoft セキュリティ情報 (緊急 5件含) に関する注意喚起
https://www.jpcert.or.jp/at/2010/at100008.txt
JPCERT/CC WEEKLY REPORT 2009-11-18
【4】Windows 7 / Windows Server 2008 R2 の SMB の処理に脆弱性
https://www.jpcert.or.jp/wr/2009/wr094401.html#4
JPCERT/CC WEEKLY REPORT 2010-03-10
【1】Internet Explorer の VBScript に脆弱性
https://www.jpcert.or.jp/wr/2010/wr100901.html#1
Adobe Reader および Acrobat に複数の脆弱性
Adobe Reader および Acrobat には、複数の脆弱性があります。結果と
して、遠隔の第三者が細工した PDF ファイルをユーザに閲覧させるこ
とで、任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行っ
たりする可能性があります。
対象となる製品およびバージョンは以下の通りです。
- Adobe Reader および Acrobat 9.3.1 およびそれ以前
- Adobe Reader および Acrobat 8.2.1 およびそれ以前
この問題は、Adobe が提供する修正済みのバージョンに、該当する製品
を更新することで解決します。詳細については、Adobe が提供する情報
を参照してください。
Adobe Technote
セキュリティアップデータの公開 APSB10-09:AcrobatおよびAdobe Reader
http://kb2.adobe.com/jp/cps/836/cpsid_83658.html
Japan Vulnerability Notes JVNTA10-103C
Adobe Reader および Acrobat における複数の脆弱性に対するアップデート
https://jvn.jp/cert/JVNTA10-103C/index.html
@police
アドビシステムズ社の Adobe Reader および Adobe Acrobat のセキュリティ修正プログラムについて
https://www.npa.go.jp/cyberpolice/topics/?seq=3217
JPCERT/CC Alert 2010-04-14 JPCERT-AT-2010-0009
Adobe Reader 及び Acrobat の脆弱性に関する注意喚起
https://www.jpcert.or.jp/at/2010/at100009.txt
Adobe Security Bulletin APSB10-09
Security update available for Adobe Reader and Acrobat
http://www.adobe.com/support/security/bulletins/apsb10-09.html
Oracle Sun Java Deployment Toolkit の引数検証処理に問題
Oracle Sun Java Deployment Toolkit プラグインおよび ActiveX コン
トロールには、引数の検証処理に問題があります。結果として、遠隔の
第三者が細工した HTML 文書を閲覧させることで任意の JAR ファイル
を実行する可能性があります。また、本脆弱性を使用したと思われる攻
撃サイトがすでに公開されています。
対象となる製品およびバージョンは以下の通りです。
- JDK/JRE 6 Update 19 およびそれ以前
この問題は、使用している OS のベンダや配布元が提供する修正済みの
バージョンに、該当する製品を更新することで解決します。
独立行政法人 情報処理推進機構 セキュリティセンター
Oracle Sun Java Deployment Toolkit の脆弱性について
http://www.ipa.go.jp/security/ciadr/vul/20100416-java.html
Japan Vulnerability Notes JVNVU#886582
Oracle Sun Java Deployment Toolkit に引数の検証処理に問題
https://jvn.jp/cert/JVNVU886582/index.html
JPCERT/CC Alert 2010-04-14 JPCERT-AT-2010-0010
Oracle Sun JDK および JRE の脆弱性に関する注意喚起
https://www.jpcert.or.jp/at/2010/at100010.txt
Java SE 6
Update Release Notes
http://java.sun.com/javase/6/webnotes/6u20.html
Oracle
Java for Business - Get It
http://www.sun.com/software/javaforbusiness/getit_download.jsp
Oracle Technology Network
Oracle Security Alert CVE-2010-0886
http://www.oracle.com/technology/deploy/security/alerts/alert-cve-2010-0886.html
The Oracle Global Product Security Blog
Security Alert for CVE-2010-0886 and CVE-2010-0887 Released
http://blogs.oracle.com/security/2010/04/security_alert_for_cve-2010-08.html
一太郎シリーズに脆弱性
ジャストシステムの一太郎シリーズには、脆弱性があります。結果とし
て、遠隔の第三者が細工したファイルをユーザに開かせることで、ユー
ザの権限で任意のコードを実行する可能性があります。
対象となる製品は以下の通りです。
- 一太郎
- 一太郎ガバメント
この問題は、ジャストシステムが提供するアップデートモジュールを該
当する製品に適用することで解決します。詳細についてはジャストシス
テムが提供する情報を参照してください。
ジャストシステム セキュリティ情報 JS10001
一太郎の脆弱性を悪用した不正なプログラムの実行危険性について
http://www.justsystems.com/jp/info/js10001.html
独立行政法人 情報処理推進機構 セキュリティセンター
「一太郎シリーズ」におけるセキュリティ上の弱点(脆弱性)の注意喚起
http://www.ipa.go.jp/about/press/20100412.html
@police
ジャストシステム社ワープロソフト一太郎の脆弱性について
https://www.npa.go.jp/cyberpolice/topics/?seq=3212
2010年4月 Oracle Critical Patch Update について
Oracle から複数の製品およびコンポーネントに含まれる脆弱性に対応
した Oracle Critical Patch Update Advisory - April 2010 が公開さ
れました。なお、Solaris の脆弱性に対応したアップデートも含まれて
います。
詳細については Oracle が提供する情報を参照してください。
なお、次回の Oracle Critical Patch Update は、2010年7月にリリー
スされる予定です。
Oracle Technology Network
セキュリティアラート
http://www.oracle.com/technology/global/jp/deploy/security/alerts.htm
Oracle internet Support Center
[CPUApr2010] Oracle Critical Patch Update Advisory - April 2010
http://support.oracle.co.jp/krown_external/oisc_showDoc.do?id=142210
Oracle Technology Network
Critical Patch Update - April 2010
http://www.oracle.com/technology/global/jp/security/100416_90/top.html
The Oracle Global Product Security Blog
April 2010 Critical Patch Update Released
http://blogs.oracle.com/security/2010/04/april_2010_critical_patch_upda.html
Apple 製品に脆弱性
Mac OS X および Mac OS X Server の Apple Type Services には、埋
め込みフォントの処理に起因する脆弱性があります。結果として、遠隔
の第三者が細工したフォントを埋め込んだ文書を閲覧させることで任意
のコードを実行する可能性があります。
対象となる製品およびバージョンは以下の通りです。
- Apple Mac OS X 10.5.8 およびそれ以前
- Apple Mac OS X 10.6.3 およびそれ以前
- Apple Mac OS X Server 10.5.8 およびそれ以前
- Apple Mac OS X Server 10.6.3 およびそれ以前
この問題は、Apple が提供する修正済みのバージョンに、該当する製品
を更新することで解決します。詳細については Apple が提供する情報
を参照してください。
Apple Support HT4131
セキュリティアップデート 2010-003 のセキュリティコンテンツについて
http://support.apple.com/kb/HT4131?viewlocale=ja_JP
複数のアンチウイルス製品に脆弱性
複数のアンチウイルス製品には、圧縮アーカイブの処理に脆弱性があり
ます。結果として、遠隔の第三者が細工した圧縮アーカイブにマルウエ
アを同梱することで、アンチウイルス製品の検知機能を迂回する可能性
があります。
複数のアンチウイルス製品が影響を受ける可能性があります。詳しくは
各ベンダおよび下記関連文書が提供する情報を参照してください。
この問題は、各ベンダが提供する修正済みのバージョンに、該当する製
品を更新することで解決します。
F-Secure Security Advisory FSC-2010-1
不正な圧縮ファイルのバイパスに関する脆弱性
http://www.f-secure.com/ja_JP/support/security-advisory/fsc-2010-1.html
キヤノンITソリューションズ株式会社
圧縮ファイルの脆弱性について
http://canon-its.jp/supp/eset/notify20100401.html
ソースネクスト
圧縮アーカイブの処理に関する脆弱性(2010/04/13)
http://sec.sourcenext.info/support/bulletin.html
CERT-FI Reports
CERT-FI Advisory on Antivirus Signature Evasion Using Archive Files
http://www.cert.fi/en/reports/2010/vulnerability343848.html
Cisco Secure Desktop の ActiveX コントロールに脆弱性
Cisco Secure Desktop の ActiveX コントロールには、脆弱性がありま
す。結果として、遠隔の第三者が細工した Web ページを閲覧させるこ
とで、ユーザの権限で任意のコードを実行する可能性があります。
対象となるバージョンは以下の通りです。
- Cisco Secure Desktop 3.5.841 より前のバージョン
この問題は、Cisco が提供する修正済みのバージョンに Cisco Secure
Desktop を更新することで解決します。詳細については、Cisco が提供
する情報を参照してください。
Cisco Security Advisory 111723
Cisco Secure Desktop ActiveX Control Code Execution Vulnerability
http://www.cisco.com/warp/public/707/cisco-sa-20100414-csd.shtml
Cisco Applied Mitigation Bulletin 111840
Identifying and Mitigating Exploitation of the Cisco Secure Desktop ActiveX Control Command Execution Vulnerability
http://www.cisco.com/warp/public/707/cisco-amb-20100414-csd.shtml
新入社員向けセキュリティ研修用の文書 2種を公開
2010年4月15日、JPCERT/CC は「「新入社員等研修向け情報セキュリティ
マニュアルRev.2」と「新入社員等研修向け情報セキュリティクイズ」
を公開しました。
「新入社員等研修向け情報セキュリティマニュアルRev.2」は、昨年公
開した「新入社員等研修向け情報セキュリティマニュアル」を研修等で、
よりご活用いただきやすいよう、最新の動向などをふまえ、構成や内容
を改訂したものです。セキュリティ対策やインシデント対応に関する社
内ルールの教育、研修等において参照いただけるよう、企業や組織の教
育担当や情報セキュリティ担当者に向けて、新入社員に対して情報セキュ
リティに関する知識を教える際のガイドライン、研修資料のベースとな
るような情報やトピックをまとめたものです。
また、本編の補助教材として、初心者にセキュリティ意識を高めてもら
うために、「情報セキュリティクイズ」も公開しました。
JPCERT Coordination Center セキュリティ対策講座
「新入社員等研修向け情報セキュリティマニュアル Rev.2」
http://www.jpcert.or.jp/magazine/security/newcomer-rev2_20100415.pdf
JPCERT Coordination Center セキュリティ対策講座
「新入社員等研修向け情報セキュリティクイズ」
http://www.jpcert.or.jp/magazine/security/newcomer_Quiz20100415.pdf
新しい IPv4 アドレスブロック割り振りへの対応
これまで歴史的経緯により割り振りに使われていなかった 1.0.0.0/8
などのアドレス空間からの割り振りが開始されています。これらのアド
レスブロックは特別な用途に利用されている例があり、実際の利用に際
しては、様々な問題が発生することが予想されています。
RIPE が報告している「Pollution in 1/8」では、1.0.0.0/8 のアドレ
スブロックをインターネットに接続した際、VoIP 機器の設定ミスと思
われるパケットが観測されたことや、ある P2P アプリケーションで
1.0.0.0/8 のアドレスブロックを内部的に使っている事例が報告されて
います。
IPv4 アドレス枯渇に備えて、IP アドレス割り振りの状況が変化してい
ます。ネットワーク機器のフィルター設定などについて確認し、管理作
業を欠かさないように注意しましょう。
社団法人日本ネットワークインフォメーションセンター (JPNIC)
IPv4アドレスの在庫枯渇に関して
http://www.nic.ad.jp/ja/ip/ipv4pool/
RIPE Labs
Pollution in 1/8
http://labs.ripe.net/content/pollution-18
Traffic in Network 1.0.0.0/8
http://www.potaroo.net/studies/1slash8/1slash8.html
RFC 5735 Special Use IPv4 Addresses
http://tools.ietf.org/html/rfc5735
RFC 5156 Special-Use IPv6 Addresses
http://tools.ietf.org/html/rfc5156