-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2013-3201 JPCERT/CC 2013-08-14 <<< JPCERT/CC WEEKLY REPORT 2013-08-14 >>> ―――――――――――――――――――――――――――――――――――――― ■08/04(日)〜08/10(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】Mozilla 製品群に複数の脆弱性 【2】Samba にサービス運用妨害 (DoS) の脆弱性 【3】IP 電話に対する不正利用が増加 【4】PuTTY に複数の脆弱性 【5】IBM の iNotes に複数の脆弱性 【6】ドコモ海外利用アプリにおける接続処理に関する脆弱性 【今週のひとくちメモ】Microsoft Office 2010 SP2 提供開始 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2013/wr133201.html https://www.jpcert.or.jp/wr/2013/wr133201.xml ============================================================================ 【1】Mozilla 製品群に複数の脆弱性 情報源 JC3 Bulletin V-214: Mozilla Firefox Multiple Vulnerabilities http://energy.gov/cio/articles/v-214-mozilla-firefox-multiple-vulnerabilities 概要 Mozilla 製品群には、複数の脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Firefox 23.0 より前のバージョン - Firefox ESR 17.0.8 より前のバージョン - Thunderbird 17.0.8 より前のバージョン - Thunderbird ESR 17.0.8 より前のバージョン - SeaMonkey 2.20 より前のバージョン この問題は、Mozilla が提供する修正済みのバージョンに該当する製品を更新 することで解決します。詳細については、Mozilla が提供する情報を参照して 下さい。 関連文書 (日本語) Mozilla Mozilla Foundation セキュリティアドバイザリ http://www.mozilla-japan.org/security/announce/ 【2】Samba にサービス運用妨害 (DoS) の脆弱性 情報源 JC3 Bulletin V-212: Samba smbd CPU Processing Loop Lets Remote Users Deny Service http://energy.gov/cio/articles/v-212-samba-smbd-cpu-processing-loop-lets-remote-users-deny-service 概要 Samba には、サービス運用妨害 (DoS) の脆弱性があります。結果として、 Samba に接続できるユーザが、サービス運用妨害 (DoS) 攻撃を行う可能性があ ります。 対象となるバージョンは以下の通りです。 - Samba 3.0.x から 4.0.7 この問題は、使用している OS のベンダや配布元が提供する修正済みのバージョ ンに Samba を更新することで解決します。詳細については、各ベンダや配布元 が提供する情報を参照してください。 関連文書 (英語) Samba Security Release Denial of service - CPU loop and memory allocation http://www.samba.org/samba/security/CVE-2013-4124 【3】IP 電話に対する不正利用が増加 情報源 一般社団法人 電気通信事業者協会(TCA) なりすまし利用など、第三者による不正なIP電話利用等に関して(ご注意) http://www.tca.or.jp/press_release/2013/0806_583.html 概要 第三者が利用者になりすまして国際電話などを不正に発信する事例が続いてい ます。すでに IP 電話サービスを提供している各事業者が顧客向けに注意喚起 を行っていますが、2013年8月6日には、電気通信事業者協会 (TCA) をはじめと する関連団体が連名で注意喚起を公開しました。 社内や自宅で IP-PBX を運用している場合、設定内容は適切か、当該製品に関 するセキュリティアップデートを適用しているか、などを確認のうえ、稼働状 況を定期的に確認し、不正利用に備えてください。 JPCERT/CC も以前からインターネットに公開しているサーバや IP-PBX のセキュ リティについて注意喚起を行っています。こちらも参考にしてください。 関連文書 (日本語) JPCERT/CC Alert 2011-02-08 主に UNIX / Linux 系サーバを対象としてインターネット公開サーバのセキュリティ設定に関する注意喚起 https://www.jpcert.or.jp/at/2011/at110002.html JPCERT/CC Alert 2010-12-09 不適切な設定で Asteriskを利用した場合に発生し得る不正利用に関する注意喚起 https://www.jpcert.or.jp/at/2010/at100032.html 【4】PuTTY に複数の脆弱性 情報源 JC3 Bulletin V-213: PuTTY SSH Handshake Integer Overflow Vulnerabilities http://energy.gov/cio/articles/v-213-putty-ssh-handshake-integer-overflow-vulnerabilities 概要 PuTTY には、複数の脆弱性があります。結果として、遠隔の第三者が、任意の コードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - PuTTY 0.62 およびそれ以前 この問題は、開発者が提供する修正済みのバージョンに PuTTY を更新すること で解決します。詳細については、開発者が提供する情報を参照して下さい。 また、本脆弱性は WinSCP にも影響があり、対策版が公開されています。 関連文書 (英語) PuTTY Change Log http://www.chiark.greenend.org.uk/~sgtatham/putty/changes.html WinSCP Recent Version History 5.1.6 http://winscp.net/eng/docs/history#5.1.6 【5】IBM の iNotes に複数の脆弱性 情報源 IBM Security Bulletin IBM iNotes vulnerabilities (CVE-2013-3027, CVE-2013-3032, CVE-2013-3990) http://www-01.ibm.com/support/docview.wss?uid=swg21645503 概要 IBM の iNotes には、複数の脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行したり、ユーザのブラウザ上で任意のスクリプトを実行す る可能性があります。 対象となるバージョンは以下の通りです。 - IBM iNotes 8.5, 8.5.1, 8.5.2, 8.5.3, 9.0 この問題は、IBM が提供する修正パッチを iNotes に適用することで解決しま す。詳細については、IBM が提供する情報を参照して下さい。 【6】ドコモ海外利用アプリにおける接続処理に関する脆弱性 情報源 Japan Vulnerability Notes JVN#44035194 ドコモ海外利用アプリにおける接続処理に関する脆弱性 https://jvn.jp/jp/JVN44035194/index.html 概要 株式会社NTTドコモが提供するドコモ海外利用アプリには、脆弱性があります。 結果として、遠隔の第三者が、ユーザ情報を不正に取得する可能性があります。 対象となるバージョンは以下の通りです。 - ドコモ海外利用アプリ Ver2.0.0 から Ver2.0.4 この問題は、NTTドコモが提供する修正済みのバージョンにドコモ海外利用アプ リを更新することで解決します。詳細については、NTTドコモが提供する情報を 参照して下さい。 関連文書 (日本語) Google Play ドコモ海外利用 https://play.google.com/store/apps/details?id=com.nttdocomo.android.gs.utility ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○Microsoft Office 2010 SP2 提供開始 2013年7月、Microsoft は Office 2010 向け SP2 の提供を開始しました。SP1 のサポート期間は 2014年10月までとされています。Office 2010 を使っている 方は、サポート期間内に更新作業を行いましょう。 参考文献 (日本語) Microsoft Office 2010 のサービス パック 2 の説明 http://support.microsoft.com/kb/2687455/ja 参考文献 (英語) Microsoft Office 2010 and SharePoint 2010 Service Pack 2 Availability http://blogs.technet.com/b/office_sustained_engineering/archive/2013/07/16/office-2010-and-sharepoint-2010-service-pack-2-availability.aspx Microsoft Microsoft Support Lifecycle http://support.microsoft.com/lifecycle/?p1=13615&ln=en-us ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2013 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJSCtUXAAoJEDF9l6Rp7OBIvmUIAJUB8pN2xZMa5wcgeXdlIfrD pDemgSKcR/Hw1Ge0923YgIBqUKOaueCWB6LWeMHHrRxjMnx/q5YB+KwO6KHulQZU f4uPOK6QXfDXH5QL2SqbFXqYUK0WhPfIbQreNiwD9nV4dP1oJKUkIKz3KLZuQndE p/zGMuXZsg+4UU871IKw5Dn1FwlOR8P/lua2K36ZZ4c4iZrJ0xVG+XicGbcXQNYr Bvd/R4OTwPrpL8uKsUKqYPB0r49LJwc7IBgs3hVH88AUVdEWCSRcIPJqV8dlaS1R 1m/FlxW6YaHCS3L4w2AKXewkT8b3kFgv+iuRRy3ksObj8j6icwhNSqDN/ywZrkM= =a/RE -----END PGP SIGNATURE-----