<<< JPCERT/CC WEEKLY REPORT 2015-04-08 >>>

■03/29(日)〜04/04(土) のセキュリティ関連情報

目　次

【1】Mozilla 製品群に複数の脆弱性

【2】マルチキャスト DNS (mDNS) 実装が外部からのユニキャストクエリに応答する問題

【3】秀丸エディタにバッファオーバーフローの脆弱性

【4】WordPress 用プラグイン All in One SEO Pack に情報管理不備の脆弱性

【今週のひとくちメモ】NoSQL データベースに対する探索行為について

【1】Mozilla 製品群に複数の脆弱性

情報源

US-CERT Current Activity
Mozilla Releases Security Updates for Firefox, Firefox ESR, and Thunderbird
https://www.us-cert.gov/ncas/current-activity/2015/03/31/Mozilla-Releases-Security-Updates-Firefox-Firefox-ESR-and

概要

Mozilla 製品群には、複数の脆弱性があります。結果として、第三者が任意の
コードを実行するなどの可能性があります。

対象となる製品およびバージョンは以下の通りです。

- Firefox 37.0.1 より前のバージョン
- Firefox ESR 31.6 より前のバージョン
- Thunderbird 31.6 より前のバージョン

この問題は、Mozilla が提供する修正済みのバージョンに該当する製品を更新
することで解決します。詳細については、Mozilla が提供する情報を参照して
下さい。

関連文書 (日本語)

Mozilla Japan
Mozilla Foundation セキュリティアドバイザリ (2015 年 4 月 3 日)
http://www.mozilla-japan.org/security/announce/

【2】マルチキャスト DNS (mDNS) 実装が外部からのユニキャストクエリに応答する問題

情報源

CERT/CC Vulnerability Note VU#550620
Multicast DNS (mDNS) implementations may respond to unicast queries originating outside the local link
http://www.kb.cert.org/vuls/id/550620

概要

複数のマルチキャスト DNS (mDNS) 実装には、外部からのユニキャストクエリ
に応答する問題があります。結果として、遠隔の第三者が、ネットワークに接
続されている機器に関する情報を取得したり、DoS 攻撃の踏み台に使用したり
するなどの可能性があります。

対象となる製品 およびバージョンは複数存在します。

以下の回避策のいずれかを適用することで、本問題の影響を軽減することが可
能です。

- mDNS パケット (5353/UDP) をブロックする
- mDNS サービスを無効にする

詳細については、開発者や配布元が提供する情報を参照して下さい。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#98589419
マルチキャスト DNS (mDNS) 実装が外部からのユニキャストクエリに応答する問題
https://jvn.jp/vu/JVNVU98589419/

【3】秀丸エディタにバッファオーバーフローの脆弱性

情報源

Japan Vulnerability Notes JVN#58784309
秀丸エディタにおけるバッファオーバーフローの脆弱性
https://jvn.jp/jp/JVN58784309/

概要

秀丸エディタには、バッファオーバーフローの脆弱性があります。結果として、
遠隔の第三者が、細工された .hmbook ファイルを読み込ませることで、任意の
コードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- 秀丸エディタ Version 8.51 およびそれ以前

この問題は、サイトー企画が提供する修正済みのバージョンに秀丸エディタを
更新することで解決します。サイトー企画からは、対策版として Version 8.52β9
が提供されています。詳細については、サイトー企画が提供する情報を参照し
て下さい。

関連文書 (日本語)

有限会社サイトー企画
秀丸エディタβバージョン改版履歴
http://hide.maruo.co.jp/software/hidemaruhist_pre.html

【4】WordPress 用プラグイン All in One SEO Pack に情報管理不備の脆弱性

情報源

Japan Vulnerability Notes JVN#75615300
WordPress 用プラグイン All in One SEO Pack における情報管理不備の脆弱性
https://jvn.jp/jp/JVN75615300/

概要

WordPress 用プラグイン All in One SEO Pack には、情報管理不備の脆弱性
があります。結果として、パスワードを知らない第三者が、パスワード保護さ
れたページの一部を閲覧する可能性があります。

対象となるバージョンは以下の通りです。

- All in One SEO Pack Version 2.2.5.1 およびそれ以前

この問題は、Semper Fi Web Design が提供する修正済みのバージョンに All
in One SEO Pack を更新することで解決します。また、以下の回避策を適用す
ることで本脆弱性の影響を軽減することが可能です。

- 「詳細を自動生成」("Autogenerate Descriptions") 機能を無効にする

詳細については、Semper Fi Web Design が提供する情報を参照して下さい。

関連文書 (英語)

Semper Fi Web Design
All In One SEO Pack Release History
http://semperfiwebdesign.com/blog/all-in-one-seo-pack/all-in-one-seo-pack-release-history/

■今週のひとくちメモ

○NoSQL データベースに対する探索行為について

2015年3月30日、警察庁は『「ビッグデータ」等で利用されている NoSQL デー
タベースに対する探索行為について』と題したドキュメントを公開しました。

このドキュメントでは、NoSQL データベースである MongoDB に対する探索行為
の件数が増加した状態のまま 2015年2月以降継続していること、その他の 2種
類の NoSQL データベースに対しても探索行為が増加していること、が指摘さ
れています。また、発信元 IP アドレスについては、探索行為の大部分が研究
機関等によって行われているものの、背景や目的が判明しないアクセスも少数
ながら確認されているとのことです。

お使いのデータベース環境へのアクセスが適切に制限されているか、確認する
ことをお勧めします。

参考文献 (日本語)

警察庁
「ビッグデータ」等で利用されている NoSQL データベースに対する探索行為について
https://www.npa.go.jp/cyberpolice/detect/pdf/20150330.pdf

■JPCERT/CC からのお願い