-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2014-0301 JPCERT/CC 2014-01-22 <<< JPCERT/CC WEEKLY REPORT 2014-01-22 >>> ―――――――――――――――――――――――――――――――――――――― ■01/12(日)〜01/18(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】複数の Microsoft 製品に脆弱性 【2】複数の Adobe 製品に脆弱性 【3】2014年1月 Oracle Critical Patch Update について 【4】BIND 9 にサービス運用妨害 (DoS) の脆弱性 【5】複数の VMWare 製品に脆弱性 【6】Cisco Secure Access Control System に複数の脆弱性 【今週のひとくちメモ】マイクロソフト MD5 ハッシュの利用制限プログラム配信について ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2014/wr140301.html https://www.jpcert.or.jp/wr/2014/wr140301.xml ============================================================================ 【1】複数の Microsoft 製品に脆弱性 情報源 US-CERT Current Activity Microsoft Releases January 2014 Security Bulletin https://www.us-cert.gov/ncas/current-activity/2014/01/14/Microsoft-Releases-January-2014-Security-Bulletin 概要 Microsoft 製品には、複数の脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能 性があります。 対象となる製品は以下の通りです。 - Microsoft Windows - Microsoft Office - Microsoft サーバー ソフトウェア - Microsoft Dynamics AX この問題は、Microsoft Update 等を用いて、更新プログラムを適用することで 解決します。詳細については、Microsoft が提供する情報を参照して下さい。 関連文書 (日本語) Microsoft 2014 年 1 月のセキュリティ情報 https://technet.microsoft.com/ja-jp/security/bulletin/ms14-jan JPCERT/CC Alert 2014-01-15 2014年1月 Microsoft セキュリティ情報に関する注意喚起 https://www.jpcert.or.jp/at/2014/at140005.html 【2】複数の Adobe 製品に脆弱性 情報源 US-CERT Current Activity Adobe Releases Security Updates for Adobe Reader and Acrobat https://www.us-cert.gov/ncas/current-activity/2014/01/14/Adobe-Releases-Security-Updates-Adobe-Reader-and-Acrobat US-CERT Current Activity Adobe Releases Security Updates for Adobe Flash Player https://www.us-cert.gov/ncas/current-activity/2014/01/14/Adobe-Releases-Security-Updates-Adobe-Flash-Player 概要 Adobe の複数の製品には脆弱性があります。結果として、遠隔の第三者が任意 のコードを実行するなどの可能性があります。 対象となる製品は以下の通りです。 - Adobe Reader - Adobe Acrobat - Adobe Flash Player - Adobe AIR この問題は、Adobe が提供する修正済みのバージョンに該当する製品を更新す ることで解決します。詳細については、Adobe が提供する情報を参照して下さ い。 関連文書 (日本語) Adobeセキュリティ情報 Adobe ReaderおよびAcrobat用セキュリティアップデート公開 http://helpx.adobe.com/jp/security/products/acrobat/apsb14-01.html Adobeセキュリティ情報 Flash Player用のセキュリティアップデート公開 http://helpx.adobe.com/jp/security/products/flash-player/apsb14-02.html JPCERT/CC Alert 2014-01-15 Adobe Reader 及び Acrobat の脆弱性 (APSB14-01) に関する注意喚起 https://www.jpcert.or.jp/at/2014/at140003.html JPCERT/CC Alert 2014-01-15 Adobe Flash Player の脆弱性 (APSB14-02) に関する注意喚起 https://www.jpcert.or.jp/at/2014/at140004.html 【3】2014年1月 Oracle Critical Patch Update について 情報源 US-CERT Current Activity Oracle Releases January 2014 Security Advisory https://www.us-cert.gov/ncas/current-activity/2014/01/14/Oracle-Releases-January-2014-Security-Advisory 概要 Oracle から複数の製品およびコンポーネントに含まれる脆弱性に対応した Oracle Critical Patch Update Advisory が公開されました。 詳細については、Oracle が提供する情報を参照して下さい。 関連文書 (日本語) Oracle Technology Network Critical Patch UpdatesとSecurity Alerts http://www.oracle.com/technetwork/jp/topics/alerts-082677-ja.html JPCERT/CC Alert 2014-01-15 2014年1月 Oracle Java SE のクリティカルパッチアップデートに関する注意喚起 https://www.jpcert.or.jp/at/2014/at140002.html 【4】BIND 9 にサービス運用妨害 (DoS) の脆弱性 情報源 JPRS ■(緊急)BIND 9.xの脆弱性(DNSサービスの停止)について(2014年1月14日公開) http://jprs.jp/tech/security/2014-01-14-bind9-vuln-nsec3-handling.html 概要 ISC BIND 9 には、DNS クエリの処理に脆弱性があります。結果として、遠隔 の第三者が、サービス運用妨害 (DoS) 攻撃を行う可能性があります。 対象となるバージョンは以下の通りです。 - BIND 9.6-ESV から 9.6-ESV-R10-P1 - BIND 9.8.0 から 9.8.6-P1 - BIND 9.9.0 から 9.9.4-P1 この問題は、ISC が提供する修正済みのバージョンに ISC BIND 9 を更新する ことで解決します。詳細については、ISC が提供する情報を参照して下さい。 関連文書 (英語) ISC Knowledge Base CVE-2014-0591: A Crafted Query Against an NSEC3-signed Zone Can Crash BIND https://kb.isc.org/article/AA-01078 ISC Knowledge Base CVE-2014-0591: FAQ and Supplemental Information https://kb.isc.org/article/AA-01085 【5】複数の VMWare 製品に脆弱性 情報源 VMWare VMSA-2014-0001 VMware Workstation, Player, Fusion, ESXi, ESX and vCloud Director address several security issues http://www.vmware.com/security/advisories/VMSA-2014-0001.html 概要 複数の VMWare 製品には脆弱性があります。結果として、第三者がサービス運 用妨害 (DoS) 攻撃を行うなどの可能性があります。 対象となる製品は以下の通りです。 - VMware Workstation - VMware Player - VMware Fusion - VMware ESXi - VMware ESX - vCloud Director この問題は、該当する製品を VMware が提供する修正済みのバージョンに更新 することで解決します。詳細については、VMware が提供する情報を参照して 下さい。 【6】Cisco Secure Access Control System に複数の脆弱性 情報源 US-CERT Current Activity Cisco Releases Security Advisory for Cisco Secure Access Control System https://www.us-cert.gov/ncas/current-activity/2014/01/15/Cisco-Releases-Security-Advisory-Cisco-Secure-Access-Control-System 概要 Cisco Secure Access Control System には複数の脆弱性があります。結果とし て、遠隔の第三者が、管理者権限で任意の操作を実行するなどの可能性があり ます。 この問題は、Cisco が提供する修正済みのバージョンに該当する製品を更新す ることで解決します。詳細については、Cisco が提供する情報を参照して下さ い。 関連文書 (日本語) Cisco Multiple Vulnerabilities in Cisco Secure Access Control System - Cisco Systems http://www.cisco.com/cisco/web/support/JP/112/1121/1121707_cisco-sa-20140115-csacs-j.html ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○マイクロソフト MD5 ハッシュの利用制限プログラム配信について マイクロソフトは、2013年8月から MD5 ハッシュの利用制限のセキュリティ更 新プログラムを公開しています。2014年2月12日からは、本セキュリティ更新 プログラムを Microsoft Update を通じて配信する予定です。 本セキュリティ更新プログラムを適用すると、MD5 ハッシュを利用している証 明書が利用できなくなります。使用している環境で問題が発生しないか、前もっ て確認しておくことをおすすめします。 参考文献 (日本語) マイクロソフト セキュリティ アドバイザリ (2862973) マイクロソフト ルート証明書プログラムでの MD5 ハッシュ アルゴリズム廃止用の更新プログラム http://technet.microsoft.com/ja-jp/security/advisory/2862973 Microsoft TechNet blog 日本のセキュリティチーム セキュリティ アドバイザリ 2862973 ? ルート証明書プログラムにおける MD5ハッシュの利用制限 http://blogs.technet.com/b/jpsecurity/archive/2013/08/14/3590346.aspx JPCERT/CC WEEKLY REPORT ひとくちメモ 2013-8-28 マイクロソフトが MD5 ハッシュの利用制限プログラムを公開 https://www.jpcert.or.jp/tips/2013/wr133401.html ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2014 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJS3xnoAAoJEDF9l6Rp7OBIJjMH/0iDbyTXZ1vxBNhdKUvxUbn5 o8fI6kU/fEd6mUNrrdfM2lDCmQmzTjJKoCvvw2+/h2qKwRULxtLNkIssBtaF29Iy +5kvv7ag3Azi9SpxwH7V+RFz3tb9Z0/gs9pwsQLTk6t7aX0i/h5rxei9ogQCgsNw AMcDjYFgw5H6FMtOYgGtcozCKEZwyXZRjsMZPL5SKyvecg5D8ry6TVY0ili1w9ic iGeKiKOD6cBeKNiP2pAcBzfLdXnTitN2V7LM7ntwTqKZZnQr31BWYHj7EOuSatXH qDEHfdHvMG7bVbYXN4VDtjL4D/cd/iukddFO7QlP2yHqZROkIhhe27E+OBZOHTw= =nGDY -----END PGP SIGNATURE-----