Microsoft の複数の製品には脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を実行したりする可
能性があります。

対象となる製品は以下の通りです。

- Microsoft Windows
- Microsoft Office
- Microsoft サーバー ソフトウェア
- Microsoft Lync
- Microsoft SQL Server

この問題は、Microsoft Update などを用いて、セキュリティ更新プログラムを
適用することで解決します。詳細については、Microsoft が提供する情報を参
照して下さい。

【2】Adobe Flash Player に複数の脆弱性

情報源

Adobe Security Bulletin
Security updates available for Adobe Flash Player
http://www.adobe.com/support/security/bulletins/apsb12-22.html

概要

Adobe Flash Player には複数の脆弱性があります。結果として、第三者が細工
したコンテンツをユーザに開かせることで、任意のコードを実行したり、サー
ビス運用妨害 (DoS) 攻撃を行ったりする可能性があります。

対象となるバージョンは以下の通りです。

- Windows 版 Flash Player 11.4.402.278 およびそれ以前
- Macintosh 版 Flash Player 11.4.402.265 およびそれ以前
- Linux 版 Flash Player 11.2.202.238 およびそれ以前
- Android 4.x 版 Flash Player 11.1.115.17 およびそれ以前
- Android 3.x/2.x 版 Flash Player 11.1.111.16 およびそれ以前
- Windows、Macintosh 版 Adobe AIR 3.4.0.2540 およびそれ以前
- Adobe AIR 3.4.0.2540 SDK (AIR for iOS を含む) およびそれ以前
- Android 版 Adobe AIR 3.4.0.2540 およびそれ以前

この問題は、Adobe が提供する修正済みのバージョンに Adobe Flash Player
および Adobe AIR を更新することで解決します。詳細については、Adobe が提
供する情報を参照して下さい。

【3】ISC BIND にサービス運用妨害 (DoS) の脆弱性

情報源

ISC Knowledge Base
CVE-2012-5166: Specially crafted DNS data can cause a lockup in named
https://kb.isc.org/article/AA-00801

概要

ISC BIND には、脆弱性があります。結果として、遠隔の第三者がサービス運用
妨害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは以下の通りです。

- ISC BIND 9.2 以降のすべての ISC BIND 9

この問題は、使用している OS のベンダや配布元が提供する修正済みのバージョ
ンに BIND を更新することで解決します。詳細については、ISC が提供する情
報を参照して下さい。

【4】Mozilla 製品群に複数の脆弱性

情報源

JC3 Bulletin
V-001: Mozilla Security vulnerabilities
http://energy.gov/cio/articles/v-001-mozilla-security-vulnerabilities

概要

Mozilla 製品群には、複数の脆弱性があります。結果として、遠隔の第三者が
任意のコードを実行したり、機密情報を取得したりする可能性があります。

対象となるバージョンは以下の通りです。

- Mozilla Firefox 16.0.1 より前のバージョン
- Mozilla Firefox ESR 10.0.9 より前のバージョン
- Mozilla Thunderbird 16.0.1 より前のバージョン
- Mozilla Thunderbird ESR 10.0.9 より前のバージョン
- Mozilla SeaMonkey 2.13.1 より前のバージョン

この問題は、Mozilla が提供する修正済みのバージョンに該当する製品を更新
することで解決します。詳細については、Mozilla が提供する情報を参照して
下さい。

【5】Smarty にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#63650108
Smarty におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN63650108/index.html

概要

Smarty には、クロスサイトスクリプティングの脆弱性があります。結果として、
遠隔の第三者がユーザのブラウザ上で任意のスクリプトを実行する可能性があ
ります。

対象となるバージョンは以下の通りです。

- Smarty 3.1.11 およびそれ以前
- Smarty 2.6.26 およびそれ以前

この問題は、Smarty が提供する修正済みのバージョンに Smarty を更新するこ
とで解決します。詳細については、Smarty が提供する情報を参照して下さい。

【6】Cisco Firewall Services Module に複数の脆弱性

情報源

JC3 Bulletin
U-279: Cisco Firewall Services Module Bugs Let Remote Users Execute Arbitrary Code and Deny Service
http://energy.gov/cio/articles/u-279-cisco-firewall-services-module-bugs-let-remote-users-execute-arbitrary-code-and

概要

Cisco Firewall Services Module (FWSM) には、複数の脆弱性があります。結
果として、遠隔の第三者が任意のコードを実行したり、サービス運用妨害
(DoS) 攻撃を行ったりする可能性があります。

対象となるバージョンは以下の通りです。

- FWSM バージョン 4.1(9) より前の 4.1 系

この問題は、Cisco が提供する修正済みのバージョンに FWSM を更新すること
で解決します。詳細については、Cisco が提供する情報を参照して下さい。

【7】Java セキュアコーディングセミナー＠福岡参加者募集開始

情報源

JPCERT/CC
Java セキュアコーディングセミナー＠福岡のご案内
https://www.jpcert.or.jp/event/securecoding-FUK201212-seminar.html

概要

JPCERT コーディネーションセンターは、学生等の若年層向けに、Java 言語で
脆弱性を含まない安全なプログラムをコーディングする具体的なテクニックと
ノウハウを学んでいただく「Java セキュアコーディングセミナー」を開催して
います。このセミナーは、講義とハンズオン演習を組み合わせ、Java セキュア
コーディングについて、より実践的に学んでいただける内容となっています。

このたび、福岡を会場として開催する「Java セキュアコーディングセミナー
＠福岡」の参加者募集を開始しました。参加者多数の場合はお申し込み先着順
となります。ふるってご参加ください。

        [日時] 2012年12月9日(日) 10:30 - 16:00
        [会場] リファレンス駅東ビル　会議室Ｄ
               福岡市博多区博多駅東1丁目16-14
               (MAP) http://www.re-rental.com/map.html
        [定員]　40名
        [参加費用]　無料

        [内容]　Java言語とセキュリティ、脆弱性を取り巻く現状の認識
                「オブジェクトの生成とセキュリティ」
                「リソース消費攻撃とその対策」
                Javaにおける脆弱なコーディングの事例の解説
                クイズおよびハンズオン

■今週のひとくちメモ

○マイクロソフトセキュリティインテリジェンスレポート第13版

マイクロソフトは、2012年上半期の脆弱性やマルウエア動向についてまとめた
マイクロソフトセキュリティインテリジェンスレポートを公開しました。セキュ
リティインテリジェンスレポートは、半年ごとに公開されており、今回は第13
版となります。

今回のレポートでは、"Mitigating risk" というセクションが設けられ、クロ
スサイトスクリプティングや "pass-the-hash" 攻撃に対する対策について解説
されています。

参考文献 (日本語)

マイクロソフトセキュリティ
マイクロソフトセキュリティインテリジェンスレポート
http://www.microsoft.com/ja-jp/security/resources/sir.aspx

参考文献 (英語)

Microsoft
Security Intelligence Report (SIR) vol.13
http://www.microsoft.com/security/sir/default.aspx

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2012-10-17号

<<< JPCERT/CC WEEKLY REPORT 2012-10-17 >>>

■10/07(日)〜10/13(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

○マイクロソフトセキュリティインテリジェンスレポート 第13版

参考文献 (日本語)

参考文献 (英語)

■JPCERT/CC からのお願い

目　次

○マイクロソフトセキュリティインテリジェンスレポート第13版