-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2013-3301 JPCERT/CC 2013-08-21 <<< JPCERT/CC WEEKLY REPORT 2013-08-21 >>> ―――――――――――――――――――――――――――――――――――――― ■08/11(日)〜08/17(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】Microsoft 製品の複数の脆弱性に対するアップデート (緊急) 【2】サイボウズのメールワイズに情報漏洩の脆弱性 【3】HP Service Manager に不正なアクセスを許す脆弱性 【4】Dell の BIOS 更新処理にバッファオーバーフローの脆弱性 【5】Juniper Security Threat Response Manager (STRM) に脆弱性 【今週のひとくちメモ】SECCON 2013 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2013/wr133301.html https://www.jpcert.or.jp/wr/2013/wr133301.xml ============================================================================ 【1】Microsoft 製品の複数の脆弱性に対するアップデート (緊急) 情報源 US-CERT Alert (TA13-225A) Microsoft Updates for Multiple Vulnerabilities https://www.us-cert.gov/ncas/alerts/TA13-225A 概要 Microsoft 製品には複数の脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行したり、権限を昇格したりする可能性があります。 対象となる製品は以下の通りです。 - Microsoft Windows および関連コンポーネント - Microsoft Server Software - Internet Explorer この問題は、Microsoft Update 等を用いて、セキュリティ更新プログラムを適 用することで解決します。詳細については、Microsoft が提供する情報を参照 して下さい。 関連文書 (日本語) マイクロソフト株式会社 2013 年 8 月のセキュリティ情報 http://technet.microsoft.com/ja-jp/security/bulletin/ms13-aug Japan Vulnerability Notes JVNTA13-225A Microsoft 製品の複数の脆弱性に対するアップデート https://jvn.jp/cert/JVNTA13-225A/index.html 独立行政法人情報処理推進機構 (IPA) Microsoft 製品の脆弱性対策について(8月) https://www.ipa.go.jp/security/ciadr/vul/20130814-ms.html 警察庁 @Police マイクロソフト社のセキュリティ修正プログラムについて(MS13-059,060,061,062,063,064,065,066) https://www.npa.go.jp/cyberpolice/topics/?seq=12042 JPCERT/CC Alert 2013-08-14 2013年8月 Microsoft セキュリティ情報 (緊急 3件含) に関する注意喚起 https://www.jpcert.or.jp/at/2013/at130035.html 【2】サイボウズのメールワイズに情報漏洩の脆弱性 情報源 Japan Vulnerability Notes JVN#21103639 サイボウズ メールワイズにおける情報漏えいの脆弱性 https://jvn.jp/jp/JVN21103639/index.html 概要 サイボウズのメールワイズには、情報漏洩の脆弱性があります。結果として、 当該製品のユーザが、閲覧権限のないメールの内容を取得する可能性がありま す。 対象となるバージョンは以下の通りです。 - サイボウズ メールワイズ 5.0.4 および 5.0.5 この問題は、サイボウズが提供する修正済みのバージョンにメールワイズを更 新することで解決します。詳細については、サイボウズが提供する情報を参照 して下さい。 関連文書 (日本語) サイボウズ株式会社 受信したメールの件名に別の受信メールの内容が入る場合がある【CY13-008-001】（2013/08/12） http://cs.cybozu.co.jp/information/20130812up02.php 【3】HP Service Manager に不正なアクセスを許す脆弱性 情報源 JC3 Bulletin V-218: HP Service Manager Unspecified Flaw Lets Remote Users Gain Unauthorized Access http://energy.gov/cio/articles/v-218-hp-service-manager-unspecified-flaw-lets-remote-users-gain-unauthorized-access 概要 HP Service Manager には、脆弱性があります。結果として、遠隔の第三者が、 システムに不正アクセスする可能性があります。 対象となるバージョンは以下の通りです。 - HP Service Manager v9.31、v9.30、v9.21、v7.11 - HP Service Center v6.2.8 この問題は、HP が提供する修正済みのバージョンに該当する製品を更新するこ とで解決します。詳細については、HP が提供する情報を参照して下さい。 関連文書 (英語) HP Support Center HPSBMU02915 rev.1 - HP Service Manager, Remote Unauthenticated Access and Elevation of Privilege http://h20566.www2.hp.com/portal/site/hpsc/template.PAGE/public/kb/docDisplay/?docId=emr_na-%20%20%20c03888320-1 【4】Dell の BIOS 更新処理にバッファオーバーフローの脆弱性 情報源 CERT/CC Vulnerability Note VU#912156 Dell BIOS in some Latitude laptops and Precision Mobile Workstations vulnerable to buffer overflow http://www.kb.cert.org/vuls/id/912156 概要 Dell の BIOS 更新処理には、バッファオーバーフローの脆弱性があります。結 果として、細工されたアップデータを実行することで、rootkit や悪性コード が含まれる BIOS を書き込む可能性があります。 対象となる製品については Dell の情報を参照して下さい。 この問題は、Dell が提供する修正済みのバージョンに該当する製品を更新する ことで解決します。詳細については、Dell が提供する情報を参照して下さい。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#95005184 Dell の BIOS 更新処理にバッファオーバーフローの脆弱性 https://jvn.jp/cert/JVNVU95005184/index.html 【5】Juniper Security Threat Response Manager (STRM) に脆弱性 情報源 JC3 Bulletin V-220: Juniper Security Threat Response Manager Lets Remote Authenticated Users Execute Arbitrary Commands http://energy.gov/cio/articles/v-220-juniper-security-threat-response-manager-lets-remote-authenticated-users-execute 概要 Juniper Security Threat Response Manager (STRM) には、脆弱性があります。 結果として、ユーザが当該デバイス上で任意のコードを実行する可能性があり ます。 対象となるバージョンは以下の通りです。 - 2010.0、2012.0、2012.1、2013.1 この問題は、Juniper が提供する修正済みのバージョンに Security Threat Response Manager を更新することで解決します。詳細については、Juniper が 提供する情報を参照して下さい。 関連文書 (英語) Juniper Networks 2013-08 Security Bulletin: Security Threat Response Manager: Command injection vulnerability (CVE-2013-2970) http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10583 ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○SECCON 2013 サイバー攻撃や防御などのセキュリティ技術を竸う大会 SECCON 2013 が開催さ れます。最初の地方大会が8月に横浜で開催され、その後各地で地方大会が開催 されます。来年3月に東京で全国大会が開催される予定です。 このイベントは、所属や年齢を問わず、学生から社会人まで参加することがで きます。興味ある方は、Web サイトの募集要項を参考に応募してみてはいかが でしょうか。 参考文献 (日本語) SECCON 競技コンテスト開催！ http://www.seccon.jp/ NPO日本ネットワークセキュリティ協会 日本国内最大のセキュリティコンテスト「SECCON 2013」を実施 http://www.jnsa.org/seccon/ ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2013 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJSFBAMAAoJEDF9l6Rp7OBI5ZAIAJ23tOzvP7YOPHK/8uwKy+My CTxXoYSGFHZ3R6ecx5OAwIRifrPyqhxUixjjxSMU2cOOvffYBhSTIEjLCVULUNZZ UqDJgYt0Bgd7LGIuuxw0qMYk1MewMMeYeym++Xyy66SxoczGFvuJp8XZHS+5iSZX hhgUbfhaZS8kDUNlI8y0gJfUtbG3gEE/TYLOTRwhPsWN3m4qFioQVmAV2cWWWMoo vbJpjYSGe61XImw4AKrJ84HS4StKOTyj2ItoByD6IngVeGu+NsSC1IekehV3PFAy e2MaCxVHCj37w45u9ORhJ/USCpXU9bBJeY9xWAh8DgKhLfAnWgFwykkN/P2jqow= =z59P -----END PGP SIGNATURE-----