US-CERT Current Activity
Microsoft Releases October 2014 Security Bulletin
https://www.us-cert.gov/ncas/current-activity/2014/10/14/Microsoft-Releases-October-2014-Security-Bulletin

概要

複数の Microsoft 製品には脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行するなどの可能性があります。

対象となる製品は以下の通りです。

- Microsoft Windows
- Internet Explorer
- Microsoft .NET Framework
- Microsoft Office
- Microsoft Office Services
- Microsoft Office Web Apps
- マイクロソフト開発者用ツール

この問題は、Microsoft Update 等を用いて、更新プログラムを適用すること
で解決します。詳細については、Microsoft が提供する情報を参照して下さい。

【2】複数の Adobe 製品に脆弱性

情報源

US-CERT Current Activity
Adobe Releases Security Updates for ColdFusion and Flash Player
https://www.us-cert.gov/ncas/current-activity/2014/10/14/Adobe-Releases-Security-Updates-ColdFusion-and-Flash-Player

概要

複数の Adobe 製品には脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行したり、アクセス制限を回避したりする可能性があります。

対象となるバージョンは以下の通りです。

- Adobe Flash Player 15.0.0.167 およびそれ以前 (Windows および Macintosh)
- Adobe Flash Player 13.0.0.244 およびそれ以前 (Windows および Macintosh)
- Adobe Flash Player 11.2.202.406 およびそれ以前 (Linux)
- Adobe Flash Player 15.0.0.152 およびそれ以前 (Google Chrome)
- Adobe AIR desktop runtime 15.0.0.249 およびそれ以前
- Adobe AIR SDK 15.0.0.249 およびそれ以前
- Adobe AIR SDK & Compiler 15.0.0.249 およびそれ以前
- Adobe AIR 15.0.0.252 およびそれ以前 (Android 版)
- ColdFusion 11、10、9.0.2、9.0.1 および 9.0

この問題は、Adobe が提供する修正済みのバージョンに該当する製品を更新す
ることで解決します。詳細については、Adobe が提供する情報を参照して下さ
い。

【3】2014年10月 Oracle Critical Patch Update について

情報源

US-CERT Current Activity
Oracle Releases October 2014 Security Advisory
https://www.us-cert.gov/ncas/current-activity/2014/10/14/Oracle-Releases-October-2014-Security-Advisory

概要

Oracle から複数の製品およびコンポーネントに含まれる脆弱性に対応した
Oracle Critical Patch Update Advisory が公開されました。詳細については、
Oracle が提供する情報を参照して下さい。

【4】SSL v3.0 プロトコルに暗号化データを解読される脆弱性

情報源

Japan Vulnerability Notes JVNVU#98283300
SSLv3 プロトコルに暗号化データを解読される脆弱性(POODLE 攻撃)
https://jvn.jp/vu/JVNVU98283300/

概要

SSL v3.0 をサポートする製品は、中間者攻撃が可能な環境で、Padding
Oracle On Downgraded Legacy Encryption (POODLE) 攻撃の影響を受ける可能
性があります。

対象となる製品は以下の通りです。

- SSL v3.0 をサポートしている製品

サーバもしくはクライアント、あるいはその両方で SSL v3.0 を無効にするこ
とで、POODLE 攻撃の影響を回避することができます。詳細については、使用
している製品のベンダや配布元が提供する情報を参照して下さい。

【5】OpenSSL に複数の脆弱性

情報源

US-CERT Current Activity
OpenSSL Patches Four Vulnerabilities
https://www.us-cert.gov/ncas/current-activity/2014/10/16/OpenSSL-Patches-Four-Vulnerabilities

概要

OpenSSL には、複数の脆弱性があります。結果として、遠隔の第三者が、サー
ビス運用妨害 (DoS) 攻撃を行ったり、中間者攻撃を行ったりする可能性があ
ります。

対象となるバージョンは以下の通りです。

- OpenSSL 1.0.1j より前のバージョン
- OpenSSL 1.0.0o より前のバージョン
- OpenSSL 0.9.8zc より前のバージョン

この問題は、使用している OS のベンダや配布元が提供する修正済みのバージョ
ンに OpenSSL を更新することで解決します。詳細については、OS のベンダや
配布元が提供する情報を参照して下さい。

【6】複数の Apple 製品に脆弱性

情報源

US-CERT Current Activity
Apple Releases Security Update 2014-005
https://www.us-cert.gov/ncas/current-activity/2014/10/17/Apple-Releases-Security-Update-2014-005

概要

複数の Apple 製品には脆弱性があります。結果として、遠隔の第三者が、任意
のコードを実行したり、中間者攻撃を実行したりする可能性があります。

対象となるバージョンは以下の通りです。

- OS X Yosemite v10.10 より前のバージョン
- OS X Server v4.0 より前のバージョン
- OS X Server v3.2.2 より前のバージョン
- OS X Server v2.2.5 より前のバージョン
- iTunes 12.0.1 より前のバージョン (Windows 版)

この問題は、Apple が提供する修正済みのバージョンに対象の製品を更新する
ことで解決します。詳細については、Apple が提供する情報を参照して下さい。

【7】Mozilla 製品群に複数の脆弱性

情報源

US-CERT Current Activity
Mozilla Releases Security Updates for Firefox and Thunderbird
https://www.us-cert.gov/ncas/current-activity/2014/10/15/Mozilla-Releases-Security-Updates-Firefox-and-Thunderbird

概要

Mozilla 製品群には、複数の脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行する可能性があります。

対象となる製品およびバージョンは以下の通りです。

- Firefox 33 より前のバージョン
- Firefox ESR 31.2 より前のバージョン
- Thunderbird 31.2 より前のバージョン

この問題は、Mozilla が提供する修正済みのバージョンに該当する製品を更新
することで解決します。詳細については、Mozilla が提供する情報を参照して
下さい。

【8】PHP に複数の脆弱性

情報源

PHP Group
PHP 5.6.2 is available
https://php.net/archive/2014.php#id2014-10-16-3

PHP Group
PHP 5.5.18 Released
https://php.net/archive/2014.php#id2014-10-16-1

PHP Group
PHP 5.4.34 Released
https://php.net/archive/2014.php#id2014-10-16-2

概要

PHP には、複数の脆弱性があります。結果として、遠隔の第三者が、任意のコー
ドを実行するなどの可能性があります。

対象となるバージョンは以下の通りです。

- PHP 5.6.2 より前のバージョン
- PHP 5.5.18 より前のバージョン
- PHP 5.4.34 より前のバージョン

この問題は、開発者や配布元が提供する修正済みのバージョンに PHP を更新
することで解決します。詳細については、開発者や配布元が提供する情報を参
照して下さい。

【9】Drupal に SQL インジェクションの脆弱性

情報源

US-CERT Current Activity
Drupal Releases Security Advisory
https://www.us-cert.gov/ncas/current-activity/2014/10/17/Drupal-Releases-Security-Advisory

概要

Drupal には、SQL インジェクションの脆弱性があります。結果として、遠隔の
第三者が、当該製品が参照するデータベースに対して、任意の SQL コマンドを
実行する可能性があります。

対象となるバージョンは以下の通りです。

- Drupal 7.32 より前の 7 系のバージョン

この問題は、Drupal が提供する修正済みのバージョンに Drupal を更新する
ことで解決します。詳細については、Drupal が提供する情報を参照して下さ
い。

【10】GIGAPOD にサービス運用妨害 (DoS) の脆弱性

情報源

Japan Vulnerability Notes JVN#23809730
GIGAPOD におけるサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/jp/JVN23809730/

概要

GIGAPOD の設定用 Web インターフェースには、脆弱性があります。結果とし
て、遠隔の第三者が、サービス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となる製品およびバージョンは以下の通りです。

- GIGAPOD OFFICEHARD アプライアンス モデル バージョン 3.04.03 およびそれ以前
- GIGAPOD 2010 / GIGAPOD 3 アプライアンス モデル バージョン 3.01.02 およびそれ以前
- GIGAPOD 2010 / GIGAPOD 3 ソフトウェア モデル バージョン 3.01.02 およびそれ以前

この問題は、トライポッドワークス株式会社が提供する修正済みのバージョン
に該当する製品を更新することで解決します。詳細については、トライポッド
ワークス株式会社が提供する情報を参照して下さい。

■今週のひとくちメモ

○日米サイバーセキュリティシンポジウム 2014

「日米サイバーセキュリティシンポジウム 2014」が 10月31日に開催されます。
このシンポジウムは 10月8日の Weekly Report でご紹介した「情報セキュリ
ティ国際キャンペーン」の一環として開催されており、学生や若手エンジニア
を対象に、日米両政府のサイバーセキュリティ戦略の紹介やパネルディスカッ
ションが予定されています。

参考文献 (日本語)

内閣官房情報セキュリティセンター
日米サイバーセキュリティシンポジウム 2014
http://www.nisc.go.jp/security-site/campaign/ussympo/index.html

JPCERT/CC
10月は「情報セキュリティ国際キャンペーン」
https://www.jpcert.or.jp/tips/2014/wr143901.html

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2014-10-22号

<<< JPCERT/CC WEEKLY REPORT 2014-10-22 >>>

■10/12(日)〜10/18(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

○日米サイバーセキュリティシンポジウム 2014

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次