<<< JPCERT/CC WEEKLY REPORT 2013-08-21 >>>
■08/11(日)〜08/17(土) のセキュリティ関連情報
目 次
【1】Microsoft 製品の複数の脆弱性に対するアップデート (緊急)
【2】サイボウズのメールワイズに情報漏洩の脆弱性
【3】HP Service Manager に不正なアクセスを許す脆弱性
【4】Dell の BIOS 更新処理にバッファオーバーフローの脆弱性
【5】Juniper Security Threat Response Manager (STRM) に脆弱性
【今週のひとくちメモ】SECCON 2013
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2013/wr133301.txt
https://www.jpcert.or.jp/wr/2013/wr133301.xml
【1】Microsoft 製品の複数の脆弱性に対するアップデート (緊急)
情報源
US-CERT Alert (TA13-225A)
Microsoft Updates for Multiple Vulnerabilities
https://www.us-cert.gov/ncas/alerts/TA13-225A
概要
Microsoft 製品には複数の脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行したり、権限を昇格したりする可能性があります。 対象となる製品は以下の通りです。 - Microsoft Windows および関連コンポーネント - Microsoft Server Software - Internet Explorer この問題は、Microsoft Update 等を用いて、セキュリティ更新プログラムを適 用することで解決します。詳細については、Microsoft が提供する情報を参照 して下さい。
関連文書 (日本語)
マイクロソフト株式会社
2013 年 8 月のセキュリティ情報
http://technet.microsoft.com/ja-jp/security/bulletin/ms13-augJapan Vulnerability Notes JVNTA13-225A
Microsoft 製品の複数の脆弱性に対するアップデート
https://jvn.jp/cert/JVNTA13-225A/index.html独立行政法人情報処理推進機構 (IPA)
Microsoft 製品の脆弱性対策について(8月)
https://www.ipa.go.jp/security/ciadr/vul/20130814-ms.html警察庁 @Police
マイクロソフト社のセキュリティ修正プログラムについて(MS13-059,060,061,062,063,064,065,066)
https://www.npa.go.jp/cyberpolice/topics/?seq=12042JPCERT/CC Alert 2013-08-14
2013年8月 Microsoft セキュリティ情報 (緊急 3件含) に関する注意喚起
https://www.jpcert.or.jp/at/2013/at130035.html
【2】サイボウズのメールワイズに情報漏洩の脆弱性
情報源
Japan Vulnerability Notes JVN#21103639
サイボウズ メールワイズにおける情報漏えいの脆弱性
https://jvn.jp/jp/JVN21103639/index.html
概要
サイボウズのメールワイズには、情報漏洩の脆弱性があります。結果として、 当該製品のユーザが、閲覧権限のないメールの内容を取得する可能性がありま す。 対象となるバージョンは以下の通りです。 - サイボウズ メールワイズ 5.0.4 および 5.0.5 この問題は、サイボウズが提供する修正済みのバージョンにメールワイズを更 新することで解決します。詳細については、サイボウズが提供する情報を参照 して下さい。
関連文書 (日本語)
サイボウズ株式会社
受信したメールの件名に別の受信メールの内容が入る場合がある【CY13-008-001】(2013/08/12)
http://cs.cybozu.co.jp/information/20130812up02.php
【3】HP Service Manager に不正なアクセスを許す脆弱性
情報源
JC3 Bulletin
V-218: HP Service Manager Unspecified Flaw Lets Remote Users Gain Unauthorized Access
http://energy.gov/cio/articles/v-218-hp-service-manager-unspecified-flaw-lets-remote-users-gain-unauthorized-access
概要
HP Service Manager には、脆弱性があります。結果として、遠隔の第三者が、 システムに不正アクセスする可能性があります。 対象となるバージョンは以下の通りです。 - HP Service Manager v9.31、v9.30、v9.21、v7.11 - HP Service Center v6.2.8 この問題は、HP が提供する修正済みのバージョンに該当する製品を更新するこ とで解決します。詳細については、HP が提供する情報を参照して下さい。
関連文書 (英語)
HP Support Center
HPSBMU02915 rev.1 - HP Service Manager, Remote Unauthenticated Access and Elevation of Privilege
http://h20566.www2.hp.com/portal/site/hpsc/template.PAGE/public/kb/docDisplay/?docId=emr_na-%20%20%20c03888320-1
【4】Dell の BIOS 更新処理にバッファオーバーフローの脆弱性
情報源
CERT/CC Vulnerability Note VU#912156
Dell BIOS in some Latitude laptops and Precision Mobile Workstations vulnerable to buffer overflow
http://www.kb.cert.org/vuls/id/912156
概要
Dell の BIOS 更新処理には、バッファオーバーフローの脆弱性があります。結 果として、細工されたアップデータを実行することで、rootkit や悪性コード が含まれる BIOS を書き込む可能性があります。 対象となる製品については Dell の情報を参照して下さい。 この問題は、Dell が提供する修正済みのバージョンに該当する製品を更新する ことで解決します。詳細については、Dell が提供する情報を参照して下さい。
関連文書 (日本語)
Japan Vulnerability Notes JVNVU#95005184
Dell の BIOS 更新処理にバッファオーバーフローの脆弱性
https://jvn.jp/cert/JVNVU95005184/index.html
【5】Juniper Security Threat Response Manager (STRM) に脆弱性
情報源
JC3 Bulletin
V-220: Juniper Security Threat Response Manager Lets Remote Authenticated Users Execute Arbitrary Commands
http://energy.gov/cio/articles/v-220-juniper-security-threat-response-manager-lets-remote-authenticated-users-execute
概要
Juniper Security Threat Response Manager (STRM) には、脆弱性があります。 結果として、ユーザが当該デバイス上で任意のコードを実行する可能性があり ます。 対象となるバージョンは以下の通りです。 - 2010.0、2012.0、2012.1、2013.1 この問題は、Juniper が提供する修正済みのバージョンに Security Threat Response Manager を更新することで解決します。詳細については、Juniper が 提供する情報を参照して下さい。
関連文書 (英語)
Juniper Networks
2013-08 Security Bulletin: Security Threat Response Manager: Command injection vulnerability (CVE-2013-2970)
http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10583
■今週のひとくちメモ
○SECCON 2013
サイバー攻撃や防御などのセキュリティ技術を竸う大会 SECCON 2013 が開催さ れます。最初の地方大会が8月に横浜で開催され、その後各地で地方大会が開催 されます。来年3月に東京で全国大会が開催される予定です。 このイベントは、所属や年齢を問わず、学生から社会人まで参加することがで きます。興味ある方は、Web サイトの募集要項を参考に応募してみてはいかが でしょうか。
参考文献 (日本語)
SECCON 競技コンテスト開催!
http://www.seccon.jp/NPO日本ネットワークセキュリティ協会
日本国内最大のセキュリティコンテスト「SECCON 2013」を実施
http://www.jnsa.org/seccon/
■JPCERT/CC からのお願い
-
本レポートに関するお問い合わせは
editor@jpcert.or.jp 宛
にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/ -
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html -
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/