JPCERT-WR-2011-4701 2011-12-07 2011-11-27 2011-12-03

US-CERT Current Activity Archive http://www.us-cert.gov/current/archive/2011/12/02/archive.html#adobe_releases_security_advisory_for9

Adobe Flex SDK で作成した Flex アプリケーションには、クロスサイト スクリプティングの脆弱性があります。結果として、遠隔の第三者がユー ザのブラウザ上で任意のスクリプトを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Windows、Macintosh および Linux で動作する Adobe Flex SDK 4.5.1 およびそれ以前の 4.x - Windows、Macintosh および Linux で動作する Adobe Flex SDK 3.6 およびそれ以前の 3.x この問題は、Adobe が提供する修正済みのバージョンに Adobe Flex SDK を更新し、Flex アプリケーションを再構築することで解決します。詳 細については、Adobe が提供する情報を参照してください。

Adobe セキュリティ情報 http://kb2.adobe.com/jp/cps/925/cpsid_92568.html Adobe セキュリティ情報 http://kb2.adobe.com/jp/cps/915/cpsid_91544.html

Japan Vulnerability Notes JVN#61695284 https://jvn.jp/jp/JVN61695284/index.html

シュナイダーエレクトリック (旧エーピーシー・ジャパン) の PowerChute Business Edition には、クロスサイトスクリプティングの 脆弱性があります。結果として、遠隔の第三者がユーザのブラウザ上で 任意のスクリプトを実行する可能性があります。 対象となるバージョンは以下の通りです。 - PowerChute Business Edition v8.5 より前のバージョン この問題は、シュナイダーエレクトリックが提供する修正済みのバージョ ンに PowerChute Business Edition を更新することで解決します。詳細 については、シュナイダーエレクトリックが提供する情報を参照してく ださい。

Schneider Electric http://www.apc.com/products/family/index.cfm?id=125

JAIPA http://www.jaipa.or.jp/topics/?p=459 SecurityDay http://securityday.jp/

2011年12月15日(木) から 16日(金) まで、沖縄大学において日本インター ネットプロバイダー協会 (JAIPA) 主催、SecurityDay 運営委員会共催の 「サイバーセキュリティと通信の秘密 〜SecurityDay in Okinawa〜」が 開催されます。JPCERT/CC は SecurityDay 運営委員会に参加しています。 なお、例年開催の SecurityDay は 2012年、東京にて開催を予定してい ます。

インターネットからのアクセスを許可しているサーバでは、ブルート フォース攻撃によってパスワード認証をやぶられることがあります。と くに、SSH サーバや Windows リモートデスクトップサービスを狙う攻撃 が様々な定点観測活動において継続的に観測されています。 インターネットからのアクセスを許可する場合、SSH サーバでは、ユー ザ認証として公開鍵認証を利用し、可能であればアクセス元 IP アドレ スによるアクセス制限を行いましょう。また、Windows のリモートデス クトップサービスでは、強固なパスワードを使用し、可能な限りアクセ ス元 IP アドレスによるアクセス制限を行うなどの対策を実施しましょ う。 TechNet Blogs 日本のセキュリティチーム http://blogs.technet.com/b/jpsecurity/archive/2011/09/06/3451299.aspx ISC Diary http://isc.sans.edu/diary/SSH+Password+Brute+Forcing+may+be+on+the+Rise/12133