US-CERT Current Activity
OpenSSL Patches Multiple Vulnerabilities
https://www.us-cert.gov/ncas/current-activity/2015/03/19/OpenSSL-Patches-Multiple-Vulnerabilities

概要

OpenSSL には、複数の脆弱性があります。結果として、遠隔の第三者が、サー
ビス運用妨害 (DoS) 攻撃を行ったり、暗号通信を盗聴したりするなどの可能
性があります。

対象となるバージョンは以下の通りです。

- OpenSSL 1.0.2a より前のバージョン
- OpenSSL 1.0.1m より前のバージョン
- OpenSSL 1.0.0r より前のバージョン
- OpenSSL 0.9.8zf より前のバージョン

この問題は、使用している OS のベンダや配布元が提供する修正済みのバージョン
に OpenSSL を更新することで解決します。詳細については、開発者が提供する
情報を参照して下さい。

【2】複数の Apple 製品に脆弱性

情報源

US-CERT Current Activity
Apple Releases Security Update for OS X Yosemite
https://www.us-cert.gov/ncas/current-activity/2015/03/20/Apple-Releases-Security-Update-OS-X-Yosemite

US-CERT Current Activity
Apple Releases Security Updates for Safari
https://www.us-cert.gov/ncas/current-activity/2015/03/18/Apple-Releases-Security-Updates-Safari

概要

複数の Apple 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは以下の通りです。

- OS X Yosemite v10.10.2 より前のバージョン
- Safari 8.0.4 より前のバージョン
- Safari 7.1.4 より前のバージョン
- Safari 6.2.4 より前のバージョン

この問題は、Apple が提供する修正済みのバージョンに該当する製品を更新す
ることで解決します。詳細については、Apple が提供する情報を参照して下さ
い。

【3】Mozilla 製品群に複数の脆弱性

情報源

US-CERT Current Activity
Mozilla Releases Security Updates for Firefox, Firefox ESR, and SeaMonkey
https://www.us-cert.gov/ncas/current-activity/2015/03/20/Mozilla-Releases-Security-Updates-Firefox-Firefox-ESR-and-SeaMonkey

概要

Mozilla 製品群には、複数の脆弱性があります。結果として、第三者が任意の
コードを実行するなどの可能性があります。

対象となる製品およびバージョンは以下の通りです。

- Firefox 36.0.4 より前のバージョン
- Firefox ESR 31.5.3 より前のバージョン
- SeaMonkey 2.33.1 より前のバージョン

この問題は、Mozilla が提供する修正済みのバージョンに該当する製品を更新
することで解決します。詳細については、Mozilla が提供する情報を参照して
下さい。

【4】PHP に複数の脆弱性

情報源

PHP Group
PHP 5.6.7 is available
https://php.net/index.php#id2015-03-20-2

PHP Group
PHP 5.5.23 is available
https://php.net/index.php#id2015-03-20-1

PHP Group
PHP 5.4.39 Released
https://php.net/index.php#id2015-03-19-2

概要

PHP には、複数の脆弱性があります。結果として、遠隔の第三者が、任意のコー
ドを実行するなどの可能性があります。

対象となるバージョンは以下の通りです。

- PHP 5.6.7 より前のバージョン
- PHP 5.5.23 より前のバージョン
- PHP 5.4.39 より前のバージョン

この問題は、開発者や配布元が提供する修正済みのバージョンに PHP を更新
することで解決します。詳細については、開発者や配布元が提供する情報を参
照して下さい。

【5】Drupal に複数の脆弱性

情報源

US-CERT Current Activity
Drupal Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2015/03/19/Drupal-Releases-Security-Updates

概要

Drupal には、複数の脆弱性があります。結果として、遠隔の第三者が、認証
を回避して他のユーザとしてアクセスするなどの可能性があります。

対象となるバージョンは以下の通りです。

- Drupal 6.35 より前の 6 系のバージョン
- Drupal 7.35 より前の 7 系のバージョン

この問題は、Drupal が提供する修正済みのバージョンに Drupal を更新する
ことで解決します。詳細については、Drupal が提供する情報を参照して下さ
い。

【6】LINE に脆弱性

情報源

Japan Vulnerability Notes JVN#41281927
LINE における意図しないアプリ内関数が呼び出される脆弱性
https://jvn.jp/jp/JVN41281927/

概要

LINE には、脆弱性があります。結果として、遠隔の第三者が、中間者攻撃を行
うことによって情報を取得するなどの可能性があります。

対象となるバージョンは以下の通りです。

- Android 版 LINE バージョン 5.0.2 およびそれ以前
- iOS 版 LINE バージョン 5.0.0 およびそれ以前

この問題は、LINE 株式会社が提供する修正済みのバージョンに LINE を更新す
ることで解決します。詳細については、LINE 株式会社が提供する情報を参照し
て下さい。

【7】複数の D-Link 製品に脆弱性

情報源

CERT/CC Vulnerability Note VU#377348
D-Link DCS-93xL model family allows unrestricted upload
https://www.kb.cert.org/vuls/id/377348

CERT/CC Vulnerability Note VU#184100
D-Link DAP-1320 Rev Ax is vulnerable to a command injection
https://www.kb.cert.org/vuls/id/184100

概要

複数の D-Link 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは以下の通りです。

- DCS-930L A1 v1.12 より前のバージョン
- DCS-931L A1 v1.07 より前のバージョン
- DCS-932L A1 v1.10 より前のバージョン
- DCS-933L A1 v1.07 より前のバージョン
- DAP-1320 Ax v1.21b01 より前のバージョン

この問題は、該当する製品のファームウェアを D-Link が提供する修正済みの
バージョンに更新することで解決します。詳細については、D-Link が提供する
情報を参照して下さい。

【8】HP ArcSight アプライアンス製品に複数の脆弱性

情報源

CERT/CC Vulnerability Note VU#868948
HP ArcSight contains multiple vulnerabilities
https://www.kb.cert.org/vuls/id/868948

概要

HP ArcSight アプライアンス製品には、複数の脆弱性があります。結果として、
ログイン可能なユーザが、任意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは以下の通りです。

- HP ArcSight Enterprise Security Manager (ESM) v6.8c より前のバージョン
- HP ArcSight Logger v6.0P1 より前のバージョン

この問題は、HP が提供する修正済みのバージョンに該当する製品を更新するこ
とで解決します。詳細については、HP が提供する情報を参照して下さい。

■今週のひとくちメモ

○EMET 5.2 リリース

2015年3月18日、Microsoft は、Windows 上で動作するアプリケーションの脆
弱性の影響を緩和するためのツール (Enhanced Mitigation Experience
Toolkit: 以下 EMET) の新バージョン EMET 5.2 をリリースしました。

EMET 5.2 では、コードハイジャックを検出/遮断する機能や、Attack Surface
Reduction (ASR) の機能などが強化されています。

参考文献 (日本語)

マイクロソフト日本のセキュリティチーム
EMET 5.2 公開しました
http://blogs.technet.com/b/jpsecurity/archive/2015/03/18/emet-5-2-released.aspx

マイクロソフトセキュリティ TechCenter
Enhanced Mitigation Experience Toolkit
https://technet.microsoft.com/ja-jp/security/jj653751

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2015-03-25号

<<< JPCERT/CC WEEKLY REPORT 2015-03-25 >>>

■03/15(日)〜03/21(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

○EMET 5.2 リリース

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次