JPCERT-WR-2011-3801 2011-10-05 2011-09-25 2011-10-01

US-CERT Current Activity Archive http://www.us-cert.gov/current/archive/2011/09/29/archive.html#cisco_releases_security_advisory_for28

Cisco 製品群には、複数の脆弱性があります。結果として、遠隔の第三 者が任意のコードを実行したり、認証を回避したりする可能性がありま す。 対象となる製品は以下の通りです。 - Cisco IOS Software - Cisco 10000 - Cisco Unified Communications Manager - Cisco Unified Presence - Jabber XCP および JabberNow アプライアンス この問題は、Cisco が提供する修正済みのバージョンに、該当する製品 を更新することで解決します。詳細については、Cisco が提供する情報 を参照してください。

Cisco Event Response http://www.cisco.com/cisco/web/support/JP/110/1108/1108620_cisco-sa-20110928-bundle-j.html

DOE-CIRC Technical Bulletin T-729 http://www.doecirc.energy.gov/bulletins/t-729.shtml

Mozilla 製品群には、複数の脆弱性があります。結果として、遠隔の第 三者が任意のコードを実行したり、権限を昇格したり、機密情報を取得 したりする可能性があります。 対象となる製品は以下の通りです。 - Firefox 7.0 より前のバージョン - Firefox 3.6.23 より前のバージョン - Thunderbird 7.0 より前のバージョン - Thunderbird 3.1.15 より前のバージョン - SeaMonkey 2.4 より前のバージョン その他に Mozilla コンポーネントを用いている製品も影響を受ける可 能性があります。 この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに、該当する製品を更新することで解決します。なお、 Firefox 7.0 および、Thuderbird 7.0、SeaMonkey 2.4 は、一部アドオ ンが消えてしまう問題が確認され、対策版がリリースされています。

Mozilla Japan http://mozilla.jp/firefox/7.0.1/releasenotes/ Firefox セキュリティアドバイザリ http://www.mozilla-japan.org/security/known-vulnerabilities/firefox.html#firefox7 Mozilla Japan http://mozilla.jp/firefox/3.6.23/releasenotes/ Firefox 3.6 セキュリティアドバイザリ http://www.mozilla-japan.org/security/known-vulnerabilities/firefox36.html#firefox3.6.23 Mozilla Japan http://mozilla.jp/thunderbird/7.0.1/releasenotes/ Thunderbird セキュリティアドバイザリ http://www.mozilla-japan.org/security/known-vulnerabilities/thunderbird.html#thunderbird7 Mozilla Japan http://mozilla.jp/thunderbird/3.1.15/releasenotes/ Thunderbird 3.1 セキュリティアドバイザリ http://www.mozilla-japan.org/security/known-vulnerabilities/thunderbird31.html#thunderbird3.1.15 Security Advisories for SeaMonkey http://www.mozilla.org/security/known-vulnerabilities/seamonkey.html#seamonkey2.4 The SeaMonkey project http://www.seamonkey-project.org/releases/seamonkey2.4/

US-CERT Vulnerability Note VU#864643 http://www.kb.cert.org/vuls/id/864643

HTTPS などで使用される暗号通信プロトコル SSL 3.0 と TLS 1.0 には、 選択平文攻撃を受ける脆弱性があります。結果として、遠隔の第三者が 暗号化した通信を復号する可能性があります。 対策としては、TLS 1.1 や TLS 1.2 を有効にする、RC4 アルゴリズムを 優先して使用するなどの方法があります。各ベンダーはこの問題に対す る対応を順次発表しています。詳細については、各ベンダや配布元が提 供する情報を参照してください。

Microsoft セキュリティ TechCenter http://technet.microsoft.com/ja-jp/security/advisory/2588513 マイクロソフト サポート オンライン http://support.microsoft.com/kb/2588513 Mozilla Japan ブログ http://mozilla.jp/blog/entry/7289/ Japan Vulnerability Notes JVNVU#864643 https://jvn.jp/cert/JVNVU864643/index.html Microsoft Security Research & Defense http://blogs.technet.com/b/srd/archive/2011/09/26/is-ssl-broken-more-about-security-advisory-2588513.aspx OpenSSL Project https://www.openssl.org/~bodo/tls-cbc.txt IETF RFC 4346 http://tools.ietf.org/html/rfc4346 IETF RFC 5246 http://tools.ietf.org/html/rfc5246

US-CERT Vulnerability Note VU#668534 http://www.kb.cert.org/vuls/id/668534 CERT-FI Reports http://www.cert.fi/en/reports/2011/vulnerability539178.html

ルーティングソフトウェア Quagga には、複数の脆弱性があります。結 果として、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行ったり、任 意のコードを実行したりする可能性があります。 対象となるバージョンは以下の通りです。 - Quagga 0.99.19 より前のバージョン この問題は、使用している OS のベンダや配布元が提供する修正済みの バージョンに Quagga を更新することで解決します。

Japan Vulnerability Notes JVNVU#668534 https://jvn.jp/cert/JVNVU668534/index.html quagga.net http://www.quagga.net/news2.php?y=2011&m=9&d=29#id1285765920

DOE-CIRC Technical Bulletin T-730 http://www.doecirc.energy.gov/bulletins/t-730.shtml

Citrix Provisioning Services には、脆弱性があります。結果として、 遠隔の第三者が Citrix Provisioning Services を実行している権限で 任意のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Citrix Provisioning Services 5.6 Service Pack 1 およびそれ以前 この問題は、Citrix が提供する修正済みのバージョンに Citrix Provisioning Services を更新することで解決します。詳細については、 Citrix が提供する情報を参照してください。

Citrix Knowledge Center CTX130846 http://support.citrix.com/article/CTX130846

US-CERT Vulnerability Note VU#901251 http://www.kb.cert.org/vuls/id/901251

ProjectForum には、クロスサイトスクリプティングの脆弱性がありま す。結果として、遠隔の第三者がユーザのブラウザ上で任意のスクリプ トを実行する可能性があります。 対象となるバージョンは以下の通りです。 - ProjectForum 7.0.1.3038 およびそれ以前 2011年10月4日現在、この問題に対する解決策は提供されていません。 回避策としては、信頼できるホストやネットワークに接続を限定するな どの方法があります。

Japan Vulnerability Notes JVNVU#901251 https://jvn.jp/cert/JVNVU901251/index.html CourseForum Technologies http://www.courseforum.com/pf/

Japan Vulnerability Notes JVN#09789751 https://jvn.jp/jp/JVN09789751/index.html Japan Vulnerability Notes JVN#16617002 https://jvn.jp/jp/JVN16617002/index.html

オープンソースのコンテンツ管理システム BaserCMS には、複数の脆弱 性があります。結果として、遠隔の第三者がユーザのブラウザ上で任意 のスクリプトを実行したり、管理者権限のないユーザが管理者のユーザ 情報を変更したりする可能性があります。 対象となるバージョンは以下の通りです。 - BaserCMS 1.6.13.1 およびそれ以前 この問題は、配布元が提供する修正済みのバージョンに BaserCMS を更 新することで解決します。詳細については、配布元が提供する情報を参 照してください。

BaserCMS http://basercms.net/patch/JVN09789751 BaserCMS http://basercms.net/download/index.html

米国では、毎年10月を "National Cyber Security Awareness Month" として、情報セキュリティに関する啓発活動を展開しています。この活 動には、米国国土安全保障省、NCSA (National Cyber Security Alliance)、Multi-State ISAC、各種非営利団体、IT 系企業などが参加 しており、様々なユーザ層に向けた活動が行われています。 National Cyber Security Alliance http://www.staysafeonline.org/ncsam 米国国土安全保障省 (DHS) http://www.dhs.gov/files/programs/gc_1158611596104.shtm SANS Internet Storm Center http://isc.sans.edu/diary.html?storyid=11710