<<< JPCERT/CC WEEKLY REPORT 2014-12-10 >>>

■11/30(日)〜12/06(土) のセキュリティ関連情報

目　次

【1】Mozilla 製品群に複数の脆弱性

【2】複数の VMWare 製品に脆弱性

【3】IBM Tivoli Endpoint Manager Mobile Device Management (MDM) に任意のコードが実行される脆弱性

【4】SEIL シリーズに複数の脆弱性

【5】LG Electronics 製モバイルアクセスルータにアクセス制限不備の脆弱性

【今週のひとくちメモ】日本版「STOP. THINK. CONNECT.」サイト公開

【1】Mozilla 製品群に複数の脆弱性

情報源

US-CERT Current Activity
Mozilla Releases Security Updates for Firefox and Thunderbird
https://www.us-cert.gov/ncas/current-activity/2014/12/02/Mozilla-Releases-Security-Updates-Firefox-and-Thunderbird

概要

Mozilla 製品群には、複数の脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可
能性があります。

対象となる製品およびバージョンは以下の通りです。

- Firefox 34 より前のバージョン
- Firefox ESR 31.3 より前のバージョン
- Thunderbird 31.3 より前のバージョン

この問題は、Mozilla が提供する修正済みのバージョンに該当する製品を更新
することで解決します。詳細については、Mozilla が提供する情報を参照して
下さい。

関連文書 (日本語)

Mozilla Japan
Mozilla Foundation セキュリティアドバイザリ (2014 年 12 月 2 日)
http://www.mozilla-japan.org/security/announce/

【2】複数の VMWare 製品に脆弱性

情報源

US-CERT Current Activity
VMware Releases Security Updates for vCenter Server, vCenter Server Appliance, and ESXi
https://www.us-cert.gov/ncas/current-activity/2014/12/05/VMware-Releases-Security-Updates-vCenter-Server-vCenter-Server

概要

複数の VMWare 製品には脆弱性があります。結果として、遠隔の第三者が、中
間者攻撃を実行したり、ユーザのブラウザ上で任意のスクリプトを実行したり
する可能性があります。

対象となる製品およびバージョンは以下の通りです。

- VMware vCenter Server Appliance 5.1 Update 3 より前のバージョン
- VMware vCenter Server 5.5 Update 2 より前のバージョン
- VMware vCenter Server 5.1 Update 3 より前のバージョン
- VMware vCenter Server 5.0 Update 3c より前のバージョン
- VMware ESXi 5.1 において patch ESXi510-201412101-SG を未適用のもの

この問題は、VMware が提供する修正済みのバージョンに該当する製品を更新
することで解決します。なお、一部の製品およびバージョンではパッチが提供
されていません。詳細については、VMware が提供する情報を参照して下さい。

関連文書 (英語)

VMware Security Advisories
VMware vSphere product updates address security vulnerabilities
https://www.vmware.com/security/advisories/VMSA-2014-0012.html

【3】IBM Tivoli Endpoint Manager Mobile Device Management (MDM) に任意のコードが実行される脆弱性

情報源

US-CERT Current Activity
IBM Releases Security Update for MDM
https://www.us-cert.gov/ncas/current-activity/2014/12/04/IBM-Releases-Security-Update-MDM

概要

IBM Tivoli Endpoint Manager Mobile Device Management (MDM) には、任意
のコードが実行される脆弱性があります。結果として、遠隔の第三者が、細工
した Cookie を使って任意のコードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- IBM Tivoli Endpoint Manager Mobile Device Management 9.0.60100 より前のバージョン

この問題は、IBM が提供する修正済みのバージョンに IBM Tivoli Endpoint
Manager Mobile Device Management を更新することで解決します。詳細につ
いては、IBM が提供する情報を参照して下さい。

関連文書 (英語)

IBM
Security Bulletin: Unauthenticated Remote Code Execution in IBM Endpoint Manager Mobile Device Management (CVE-2014-6140)
https://www-01.ibm.com/support/docview.wss?uid=swg21691701

【4】SEIL シリーズに複数の脆弱性

情報源

Japan Vulnerability Notes JVN#04895240
SEIL シリーズルータにおけるサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/jp/JVN04895240/

Japan Vulnerability Notes JVN#21907573
SEIL シリーズルータにおけるサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/jp/JVN21907573/

概要

SEIL シリーズには、複数の脆弱性があります。結果として、遠隔の第三者が、
サービス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは以下の通りです。

- SEIL/x86 Fuji 1.00 から 3.22 まで
- SEIL/X1 1.00 から 4.62 まで
- SEIL/X2 1.00 から 4.62 まで
- SEIL/B1 1.00 から 4.62 まで
- SEIL/Turbo 1.82 から 2.18 まで
- SEIL/neu 2FE Plus 1.82 から 2.18 まで

この問題は、株式会社インターネットイニシアティブが提供する修正済みのバー
ジョンにファームウェアを更新することで解決します。詳細については、株式
会社インターネットイニシアティブが提供する情報を参照して下さい。

関連文書 (日本語)

株式会社インターネットイニシアティブ
NTPサーバがクライアントに対してレスポンスを送信し続ける脆弱性
http://www.seil.jp/support/security/a01510.html

株式会社インターネットイニシアティブ
GREおよびMPPEパケットの受信処理の脆弱性
http://www.seil.jp/support/security/a01511.html

【5】LG Electronics 製モバイルアクセスルータにアクセス制限不備の脆弱性

情報源

Japan Vulnerability Notes JVN#71762315
LG Electronics 製モバイルアクセスルータにアクセス制限不備の脆弱性
https://jvn.jp/jp/JVN71762315/

概要

LG Electronics 製モバイルアクセスルータの Web 管理インタフェースには、
アクセス制限不備の脆弱性があります。結果として、機器にアクセス可能な第
三者が、認証を回避して機器の情報を取得する可能性があります。

対象となる製品は以下の通りです。

- L-09C
- L-03E
- L-04D

この問題は、株式会社NTTドコモが提供する修正済みのバージョンに該当する
製品を更新することで解決します。詳細については、株式会社NTTドコモが提
供する情報を参照して下さい。

関連文書 (日本語)

株式会社NTTドコモ
L-09Cの製品アップデート情報
https://www.nttdocomo.co.jp/support/utilization/product_update/list/l09c/

株式会社NTTドコモ
L-03Eの製品アップデート情報
https://www.nttdocomo.co.jp/support/utilization/product_update/list/l03e/

株式会社NTTドコモ
L-04Dの製品アップデート情報
https://www.nttdocomo.co.jp/support/utilization/product_update/list/l04d/

■今週のひとくちメモ

○日本版「STOP. THINK. CONNECT.」サイト公開

フィッシング対策協議会は12月3日、日本版「STOP. THINK. CONNECT.」サイト
を公開しました。

「STOP. THINK. CONNECT.」は、世界的なフィッシング対策ワーキンググルー
プ Anti-Phishing Working Group (APWG) とアメリカで活動している
National Cyber Security Alliance (NCSA) を中心とした連合体による、国際
的なセキュリティ普及啓発キャンペーンです。

日本版「STOP. THINK. CONNECT.」サイトでは、インターネットセキュリティ
に関する学習資料の公開や、特定のテーマについてのキャンペーンなどが行わ
れる予定です。

参考文献 (日本語)

STOP. THINK. CONNECT.
Stop Think Connect
http://stopthinkconnect.jp/

フィッシング対策協議会
フィッシング対策協議会、日本版 「STOP. THINK. CONNECT.」 を公開
https://www.antiphishing.jp/news/info/web_stop_think_connect.html

■JPCERT/CC からのお願い