-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2014-0701 JPCERT/CC 2014-02-19 <<< JPCERT/CC WEEKLY REPORT 2014-02-19 >>> ―――――――――――――――――――――――――――――――――――――― ■02/09(日)〜02/15(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】複数の Microsoft 製品に脆弱性 【2】Apache Commons FileUpload にサービス運用妨害 (DoS) の脆弱性 【3】Adobe Shockwave Player に複数の脆弱性 【4】DELL の SonicWALL GMS/Analyzer/UMA にクロスサイトスクリプティングの脆弱性 【今週のひとくちメモ】Internet Week 2013 のプレゼンテーション資料公開 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2014/wr140701.html https://www.jpcert.or.jp/wr/2014/wr140701.xml ============================================================================ 【1】複数の Microsoft 製品に脆弱性 情報源 US-CERT Current Activity Microsoft Releases February 2014 Security Bulletin http://www.us-cert.gov/ncas/current-activity/2014/02/07/Microsoft-Releases-Advance-Notification-February-Security-Bulletin 概要 Microsoft 製品には、複数の脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能 性があります。 対象となる製品は以下の通りです。 - Microsoft Windows - Internet Explorer - Microsoft セキュリティ ソフトウェア - Microsoft .NET Framework この問題は、Microsoft Update 等を用いて、更新プログラムを適用することで 解決します。詳細については、Microsoft が提供する情報を参照して下さい。 関連文書 (日本語) マイクロソフト株式会社 Microsoft 2014 年 2 月のセキュリティ情報 https://technet.microsoft.com/ja-jp/security/bulletin/ms14-feb 警察庁 @Police マイクロソフト社のセキュリティ修正プログラムについて(MS14-005,006,007,008,009,010,011) http://www.npa.go.jp/cyberpolice/topics/?seq=13027 独立行政法人情報処理推進機構 Microsoft 製品の脆弱性対策について(2014年2月) http://www.ipa.go.jp/security/ciadr/vul/20140212-ms.html JPCERT/CC Alert 2014-02-12 2014年2月 Microsoft セキュリティ情報 (緊急 4件含) に関する注意喚起 https://www.jpcert.or.jp/at/2014/at140008.html 関連文書 (英語) Microsoft Security TechCenter Microsoft Security Bulletin Summary for February 2014 http://technet.microsoft.com/en-us/security/bulletin/ms14-feb 【2】Apache Commons FileUpload にサービス運用妨害 (DoS) の脆弱性 情報源 Japan Vulnerability Notes JVN#14876762 Apache Commons FileUpload におけるサービス運用妨害 (DoS) の脆弱性 https://jvn.jp/jp/JVN14876762/index.html 概要 Apache Commons FileUpload には、サービス運用妨害 (DoS) の脆弱性がありま す。結果として、遠隔の第三者が、細工したリクエストを処理させることで、 サービス運用妨害 (DoS) 攻撃を行う可能性があります。 対象となるバージョンは以下の通りです。 - Commons FileUpload 1.0 から 1.3 - Apache Tomcat 8.0.0-RC1 から 8.0.1 - Apache Tomcat 7.0.0 から 7.0.50 - Apache Commons FileUpload を使用するその他の製品 この問題は、Apache Commons が提供する修正済みのバージョンに Apache Commons FileUpload を更新することで解決します。詳細については、Apache Commons が提供する情報を参照して下さい。 その他の製品の対応については、それぞれの開発者からの情報を参照してくだ さい。 関連文書 (英語) Apache Commons Download Apache Commons FileUpload http://commons.apache.org/proper/commons-fileupload/download_fileupload.cgi 【3】Adobe Shockwave Player に複数の脆弱性 情報源 US-CERT Current Activity Adobe Releases Security Update for Adobe Shockwave Player http://www.us-cert.gov/ncas/current-activity/2014/02/11/Adobe-Releases-Security-Update-Adobe-Shockwave-Player 概要 Adobe Shockwave Player には、複数の脆弱性があります。結果として、遠隔の 第三者が任意のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Adobe Shockwave Player 12.0.7.148 およびそれ以前 この問題は、Adobe が提供する修正済みのバージョンに Adobe Shockwave Player を更新することで解決します。詳細については、Adobe が提供する情報 を参照して下さい。 関連文書 (日本語) Adobeセキュリティ情報 Adobe Shockwave Player用セキュリティアップデート公開 http://helpx.adobe.com/jp/security/products/shockwave/apsb14-06.html 関連文書 (英語) Adobe Security Bulletin Security update available for Adobe Shockwave Player http://helpx.adobe.com/security/products/shockwave/apsb14-06.html 【4】DELL の SonicWALL GMS/Analyzer/UMA にクロスサイトスクリプティングの脆弱性 情報源 CERT/CC Vulnerability Note VU#727318 DELL SonicWALL GMS/Analyzer/UMA contains a cross-site scripting (XSS) vulnerability http://www.kb.cert.org/vuls/id/727318 概要 DELL の SonicWALL GMS/Analyzer/UMA には、クロスサイトスクリプティングの 脆弱性があります。結果として、遠隔の第三者がユーザのブラウザ上で任意の スクリプトを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Dell SonicWALL GMS Vesion 7.1 SP1 およびそれ以前 - Dell SonicWALL Analyzer Vesion 7.1 SP1 およびそれ以前 - Dell SonicWALL UMA E5000 Vesion 7.1 SP1 およびそれ以前 この問題は、DELL が提供する修正済みのバージョンに SonicWALL GMS/Analyzer/UMA を更新することで解決します。詳細については、DELL が提 供する情報を参照して下さい。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#95736801 DELL SonicWALL GMS/Analyzer/UMA にクロスサイトスクリプティングの脆弱性 https://jvn.jp/vu/JVNVU95736801/index.html 関連文書 (英語) Dell SonicWALL Security Bulletin Dell SonicWALL GMS Service Bulletin for Cross-Site Scripting Vulnerability http://www.sonicwall.com/us/shared/download/Support_Bulletin_GMS_Vulnerability_XSS_Resolved_in_7.1_SP2_and_7.2.pdf ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○Internet Week 2013 のプレゼンテーション資料公開 Internet Week 2013 のプレゼンテーション資料が公開されました。カンファ レンスの発表資料の他、チュートリアル資料なども公開されています。 日本のインターネットの現状を知る資料として、また、各種技術のチュートリ アル資料としても、ご活用ください。 参考文献 (日本語) JPNIC Internet Week 2013プレゼンテーション https://www.nic.ad.jp/ja/materials/iw/2013/proceedings/ ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2014 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJTA/5eAAoJEDF9l6Rp7OBI7N4H/jhkj7Ti++v2spVpqZL51uKt 7yerGCIsP6TP1/mPRc/1zuluZrtlFZr5SZgul7MyM57c6FL18y0P5H3BOed7NR9m yg1asHcVevh6rM9vbh1dkJ8bQ12lNRn4zOU18ezEgWOd5mNrsCyLiX7y0Zj1S4Xm UWa3DTpqDXXMBKNIyE36mVN+vzLTV4J8BIufBdEdm/5bXiCPTqkMoYWgfA5qhZKc oi2m7to0y41lFezYru05Th2ken96imjOf7btB5vwB4OMLk1TvYz8nfpZjwWsPdMt dySoCvJbAt1/8cV+KGE80DRDNa6WrR6wKN8njdcxer5DpvW3+Q5krvLl4rW/AzM= =geWY -----END PGP SIGNATURE-----