<<< JPCERT/CC WEEKLY REPORT 2014-01-22 >>>

■01/12(日)〜01/18(土) のセキュリティ関連情報

目　次

【1】複数の Microsoft 製品に脆弱性

【2】複数の Adobe 製品に脆弱性

【3】2014年1月 Oracle Critical Patch Update について

【4】BIND 9 にサービス運用妨害 (DoS) の脆弱性

【5】複数の VMWare 製品に脆弱性

【6】Cisco Secure Access Control System に複数の脆弱性

【今週のひとくちメモ】マイクロソフト MD5 ハッシュの利用制限プログラム配信について

【1】複数の Microsoft 製品に脆弱性

情報源

US-CERT Current Activity
Microsoft Releases January 2014 Security Bulletin
https://www.us-cert.gov/ncas/current-activity/2014/01/14/Microsoft-Releases-January-2014-Security-Bulletin

概要

Microsoft 製品には、複数の脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能
性があります。

対象となる製品は以下の通りです。

- Microsoft Windows
- Microsoft Office
- Microsoft サーバー ソフトウェア
- Microsoft Dynamics AX

この問題は、Microsoft Update 等を用いて、更新プログラムを適用することで
解決します。詳細については、Microsoft が提供する情報を参照して下さい。

関連文書 (日本語)

Microsoft
2014 年 1 月のセキュリティ情報
https://technet.microsoft.com/ja-jp/security/bulletin/ms14-jan

JPCERT/CC Alert 2014-01-15
2014年1月 Microsoft セキュリティ情報に関する注意喚起
https://www.jpcert.or.jp/at/2014/at140005.html

【2】複数の Adobe 製品に脆弱性

情報源

US-CERT Current Activity
Adobe Releases Security Updates for Adobe Reader and Acrobat
https://www.us-cert.gov/ncas/current-activity/2014/01/14/Adobe-Releases-Security-Updates-Adobe-Reader-and-Acrobat

US-CERT Current Activity
Adobe Releases Security Updates for Adobe Flash Player
https://www.us-cert.gov/ncas/current-activity/2014/01/14/Adobe-Releases-Security-Updates-Adobe-Flash-Player

概要

Adobe の複数の製品には脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品は以下の通りです。

- Adobe Reader
- Adobe Acrobat
- Adobe Flash Player
- Adobe AIR

この問題は、Adobe が提供する修正済みのバージョンに該当する製品を更新す
ることで解決します。詳細については、Adobe が提供する情報を参照して下さ
い。

関連文書 (日本語)

Adobeセキュリティ情報
Adobe ReaderおよびAcrobat用セキュリティアップデート公開
http://helpx.adobe.com/jp/security/products/acrobat/apsb14-01.html

Adobeセキュリティ情報
Flash Player用のセキュリティアップデート公開
http://helpx.adobe.com/jp/security/products/flash-player/apsb14-02.html

JPCERT/CC Alert 2014-01-15
Adobe Reader 及び Acrobat の脆弱性 (APSB14-01) に関する注意喚起
https://www.jpcert.or.jp/at/2014/at140003.html

JPCERT/CC Alert 2014-01-15
Adobe Flash Player の脆弱性 (APSB14-02) に関する注意喚起
https://www.jpcert.or.jp/at/2014/at140004.html

【3】2014年1月 Oracle Critical Patch Update について

情報源

US-CERT Current Activity
Oracle Releases January 2014 Security Advisory
https://www.us-cert.gov/ncas/current-activity/2014/01/14/Oracle-Releases-January-2014-Security-Advisory

概要

Oracle から複数の製品およびコンポーネントに含まれる脆弱性に対応した
Oracle Critical Patch Update Advisory が公開されました。

詳細については、Oracle が提供する情報を参照して下さい。

関連文書 (日本語)

Oracle Technology Network
Critical Patch UpdatesとSecurity Alerts
http://www.oracle.com/technetwork/jp/topics/alerts-082677-ja.html

JPCERT/CC Alert 2014-01-15
2014年1月 Oracle Java SE のクリティカルパッチアップデートに関する注意喚起
https://www.jpcert.or.jp/at/2014/at140002.html

【4】BIND 9 にサービス運用妨害 (DoS) の脆弱性

情報源

JPRS
■（緊急）BIND 9.xの脆弱性（DNSサービスの停止）について（2014年1月14日公開）
http://jprs.jp/tech/security/2014-01-14-bind9-vuln-nsec3-handling.html

概要

ISC BIND 9 には、DNS クエリの処理に脆弱性があります。結果として、遠隔
の第三者が、サービス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは以下の通りです。

  - BIND 9.6-ESV から 9.6-ESV-R10-P1
  - BIND 9.8.0 から 9.8.6-P1
  - BIND 9.9.0 から 9.9.4-P1

この問題は、ISC が提供する修正済みのバージョンに ISC BIND 9 を更新する
ことで解決します。詳細については、ISC が提供する情報を参照して下さい。

関連文書 (英語)

ISC Knowledge Base
CVE-2014-0591: A Crafted Query Against an NSEC3-signed Zone Can Crash BIND
https://kb.isc.org/article/AA-01078

ISC Knowledge Base
CVE-2014-0591: FAQ and Supplemental Information
https://kb.isc.org/article/AA-01085

【5】複数の VMWare 製品に脆弱性

情報源

VMWare VMSA-2014-0001
VMware Workstation, Player, Fusion, ESXi, ESX and vCloud Director address several security issues
http://www.vmware.com/security/advisories/VMSA-2014-0001.html

概要

複数の VMWare 製品には脆弱性があります。結果として、第三者がサービス運
用妨害 (DoS) 攻撃を行うなどの可能性があります。

対象となる製品は以下の通りです。

- VMware Workstation
- VMware Player
- VMware Fusion
- VMware ESXi
- VMware ESX
- vCloud Director

この問題は、該当する製品を VMware が提供する修正済みのバージョンに更新
することで解決します。詳細については、VMware が提供する情報を参照して
下さい。

【6】Cisco Secure Access Control System に複数の脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Advisory for Cisco Secure Access Control System
https://www.us-cert.gov/ncas/current-activity/2014/01/15/Cisco-Releases-Security-Advisory-Cisco-Secure-Access-Control-System

概要

Cisco Secure Access Control System には複数の脆弱性があります。結果とし
て、遠隔の第三者が、管理者権限で任意の操作を実行するなどの可能性があり
ます。

この問題は、Cisco が提供する修正済みのバージョンに該当する製品を更新す
ることで解決します。詳細については、Cisco が提供する情報を参照して下さ
い。

関連文書 (日本語)

Cisco
Multiple Vulnerabilities in Cisco Secure Access Control System - Cisco Systems
http://www.cisco.com/cisco/web/support/JP/112/1121/1121707_cisco-sa-20140115-csacs-j.html

■今週のひとくちメモ

○マイクロソフト MD5 ハッシュの利用制限プログラム配信について

マイクロソフトは、2013年8月から MD5 ハッシュの利用制限のセキュリティ更
新プログラムを公開しています。2014年2月12日からは、本セキュリティ更新
プログラムを Microsoft Update を通じて配信する予定です。

本セキュリティ更新プログラムを適用すると、MD5 ハッシュを利用している証
明書が利用できなくなります。使用している環境で問題が発生しないか、前もっ
て確認しておくことをおすすめします。

参考文献 (日本語)

マイクロソフト セキュリティ アドバイザリ (2862973)
マイクロソフト ルート証明書プログラムでの MD5 ハッシュ アルゴリズム廃止用の更新プログラム
http://technet.microsoft.com/ja-jp/security/advisory/2862973

Microsoft TechNet blog 日本のセキュリティチーム
セキュリティ アドバイザリ 2862973 ～ ルート証明書プログラムにおける MD5ハッシュの利用制限
http://blogs.technet.com/b/jpsecurity/archive/2013/08/14/3590346.aspx

JPCERT/CC WEEKLY REPORT ひとくちメモ 2013-8-28
マイクロソフトが MD5 ハッシュの利用制限プログラムを公開
https://www.jpcert.or.jp/tips/2013/wr133401.html

■JPCERT/CC からのお願い