<<< JPCERT/CC WEEKLY REPORT 2011-12-21 >>>
■12/11(日)〜12/17(土) のセキュリティ関連情報
目 次
【1】2011年12月 Microsoft セキュリティ情報について
【2】「Adobe Reader および Acrobat に脆弱性」に関する追加情報
【3】Google Chrome に脆弱性
【4】Adobe ColdFusion にクロスサイトスクリプティングの脆弱性
【5】RSA SecurID Software Token における DLL 読み込みに関する脆弱性
【今週のひとくちメモ】担当者が選ぶ 2011年重大ニュース
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2011/wr114901.txt
https://www.jpcert.or.jp/wr/2011/wr114901.xml
【1】2011年12月 Microsoft セキュリティ情報について
情報源
US-CERT Technical Cyber Security Alert TA11-347A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA11-347A.htmlUS-CERT Cyber Security Alert SA11-347A
Microsoft Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/alerts/SA11-347A.html
概要
Microsoft Windows、Microsoft Office、Internet Explorer および関連 コンポーネントには、複数の脆弱性があります。結果として、遠隔の第 三者が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行っ たりする可能性があります。 この問題は、Microsoft Update などを用いて、セキュリティ更新プログ ラムを適用することで解決します。なお、今回のセキュリティ更新プロ グラムには、JPCERT/CC WEEKLY REPORT 2011-11-09【1】「マイクロソフ トの TrueType フォント解析エンジンに脆弱性」で紹介した脆弱性に対 する修正も含まれます。
関連文書 (日本語)
Microsoft セキュリティ TechCenter
2011 年 12 月のセキュリティ情報
http://technet.microsoft.com/ja-jp/security/bulletin/ms11-decMicrosoft TechNet Blogs > 日本のセキュリティチーム
2011 年 12 月のセキュリティ情報 (月例)
http://blogs.technet.com/b/jpsecurity/archive/2011/12/14/3470708.aspxマイクロソフト セキュリティ アドバイザリ (2639658)
TrueType Font 解析の脆弱性により、特権が昇格される
http://technet.microsoft.com/ja-jp/security/advisory/2639658マイクロソフト セキュリティ アドバイザリ (2269637)
セキュリティで保護されていないライブラリのロードにより、リモートでコードが実行される
http://technet.microsoft.com/ja-jp/security/advisory/2269637独立行政法人 情報処理推進機構 セキュリティセンター
Windows の脆弱性の修正について(MS11-087)
http://www.ipa.go.jp/security/ciadr/vul/20111214-ms.html@police
マイクロソフト社のセキュリティ修正プログラムについて(MS11-087,088,089,090,091,092,093,094,095,096,097,098,099)
https://www.npa.go.jp/cyberpolice/topics/?seq=8200Japan Vulnerability Notes JVNTA11-347A
Microsoft 製品における複数の脆弱性に対するアップデート
https://jvn.jp/cert/JVNTA11-347A/index.htmlJPCERT/CC WEEKLY REPORT 2011-11-09 JPCERT-WR-2011-4301
【1】マイクロソフトの TrueType フォント解析エンジンに脆弱性
https://www.jpcert.or.jp/wr/2011/wr114301.htmlJPCERT/CC Alert 2011-12-14 JPCERT-AT-2011-0033
2011年12月 Microsoft セキュリティ情報 (緊急 3件含) に関する注意喚起
https://www.jpcert.or.jp/at/2011/at110033.html
関連文書 (英語)
Microsoft Security Research & Defense
Assessing the risk of the December 2011 security updates
http://blogs.technet.com/b/srd/archive/2011/12/13/assessing-the-risk-of-the-december-2011-security-updates.aspxUS-CERT Vulnerability Note VU#361441
Microsoft Office Publisher contains multiple exploitable vulnerabilities
http://www.kb.cert.org/vuls/id/361441
【2】「Adobe Reader および Acrobat に脆弱性」に関する追加情報
情報源
US-CERT Technical Cyber Security Alert TA11-350A
Adobe Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/techalerts/TA11-350A.htmlUS-CERT Cyber Security Alert SA11-350A
Adobe Updates for Multiple Vulnerabilities
http://www.us-cert.gov/cas/alerts/SA11-350A.html
概要
JPCERT/CC WEEKLY REPORT 2011-12-14 号【1】で紹介した「Adobe Reader および Acrobat に脆弱性」に関する追加情報です。 Windows 版の Adobe Reader 9.x および Acrobat 9.x の修正済みのバー ジョンが公開されました。なお、Adobe によると、その他のバージョン に対する修正版は 2012年1月10日にリリースされる予定です。詳細につ いては Adobe が提供する情報を参照してください。
関連文書 (日本語)
@police
アドビシステムズ社の Adobe Reader および Adobe Acrobat のセキュリティ修正プログラムについて
https://www.npa.go.jp/cyberpolice/topics/?seq=8222JPCERT/CC WEEKLY REPORT 2011-12-14 号
【1】Adobe Reader および Acrobat に脆弱性
https://www.jpcert.or.jp/wr/2011/wr114801.html#1JPCERT/CC Alert 2011-12-19
Adobe Reader 及び Acrobat の脆弱性に関する注意喚起
https://www.jpcert.or.jp/at/2011/at110034.htmlJapan Vulnerability Notes JVNTA11-350A
Adobe 製品における複数の脆弱性
https://jvn.jp/cert/JVNTA11-350A/index.htmlAdobe Security bulletin APSB11-30
Windows 版 Adobe Reader 9.x および Acrobat 9.x に関するセキュリティアップデート公開
http://kb2.adobe.com/jp/cps/927/cpsid_92703.html
関連文書 (英語)
Adobe Security bulletin APSB11-30
Security updates available for Adobe Reader and Acrobat 9.x for Windows
http://www.adobe.com/support/security/bulletins/apsb11-30.html
【3】Google Chrome に脆弱性
情報源
US-CERT Current Activity Archive
Google Releases Chrome 16.0.912.63
http://www.us-cert.gov/current/archive/2011/12/15/archive.html#google_releases_chrome_16_0
概要
Google Chrome には脆弱性があります。対象となるバージョンは以下の 通りです。 - Google Chrome 16.0.912.63 より前のバージョン この問題は、Google が提供する修正済みのバージョンに Google Chrome を更新することで解決します。
関連文書 (英語)
Google Chrome Releases
Stable Channel Update
http://googlechromereleases.blogspot.com/2011/12/stable-channel-update.html
【4】Adobe ColdFusion にクロスサイトスクリプティングの脆弱性
情報源
JC3-CIRC Technical Bulletin U-060
Security update: Hotfix available for ColdFusion
http://circ.jc3.doe.gov/bulletins/u-060.shtml
概要
ColdFusion には、クロスサイトスクリプティングの脆弱性があります。 結果として、遠隔の第三者がユーザのブラウザ上で任意のスクリプトを 実行する可能性があります。 対象となるプラットフォームおよびバージョンは以下の通りです。 - Windows 版、Macintosh 版、UNIX 版の ColdFusion 8.0、8.0.1、9.0、 9.0.1 この問題は、Adobe が提供する修正済みのバージョンに ColdFusion を 更新することで解決します。詳細については、Adobe が提供する情報を 参照してください。
関連文書 (日本語)
Adobe セキュリティ情報
セキュリティアップデート:ColdFusion用ホットフィックス公開
http://kb2.adobe.com/jp/cps/926/cpsid_92653.html
【5】RSA SecurID Software Token における DLL 読み込みに関する脆弱性
情報源
JC3-CIRC Technical Bulletin U-063
RSA SecurID Software Token for Windows DLL Loading Error Lets Remote Users Execute Arbitrary Code
http://circ.jc3.doe.gov/bulletins/u-063.shtml
概要
RSA SecurID Software Token for Microsoft Windows の DLL 読み込み 処理には、脆弱性があります。結果として、遠隔の第三者が細工した DLL を読み込ませることで、プログラムを実行している権限で任意の コードを実行する可能性があります。 対象となる製品およびバージョンは以下の通りです。 - RSA SecurID Software Token for Microsoft Windows 4.1 この問題は、EMC が提供する修正済みのバージョンに RSA SecurID Software Token を更新することで解決します。
関連文書 (日本語)
EMC
RSA SecurID
http://japan.rsa.com/node.aspx?id=1156
関連文書 (英語)
EMC
RSA Worldwide Customer Support
https://knowledge.rsasecurity.com/
■今週のひとくちメモ
○担当者が選ぶ 2011年重大ニュース
2011年もいよいよ残り少なくなってきました。今年もこの場をお借りし て、担当者が選んだ 2011年の重大ニュースをご紹介いたします。 - 国内金融機関のフィッシング増加 国内の金融機関を騙るフィッシングが数多く報告されました。この一 連のフィッシングでは国内の複数の金融機関が標的となっており、標 的が数週間ごとに変化、第二認証情報も詐取する、などの特徴がみら れました。 - サイバー攻撃 国内の企業に対してアノニマスと名乗るグループが攻撃を行ったこと がニュースに取り上げられたり、防衛産業や政府組織に対して標的型 攻撃が行われていたことが報じられるなど、メディアにおいて「サイ バー攻撃」という言葉を目にする機会が増えました。 - サーバソフトウエアの脆弱性 ネームサーバ BIND や Web サーバ Apache など、ネットワーク運用に 関わるサーバプログラムの脆弱性が大きなニュースになりました. 適 切なタイミングで脆弱性対応を行うことができるように日頃から情報 収集を行うとともに、サーバ運用体制の確認を怠らないようにしましょ う。 - IT 環境の変化 (クラウド、スマートフォン) 企業で、クラウドサービスやスマートフォンなどのモバイルデバイス を活用する事例が登場しており、今後さらに普及していくことが予想 されます。インターネットを通じて業務システムを利用する場合や、 モバイルデバイスを業務に利用する場合、システム管理者は、どこま でを自分のコントロール下におけるか、マルウエアや外部からの攻撃 などの脅威が企業の活動にどう影響を与えるかを把握することが肝要 です。 - SSL 証明書の不正発行 認証局を運営する DigiNotar 社が不正アクセスをうけ、証明書を不正 に発行してしまう事件が発生しました。その他にも同様の事例が複数 発生し、Web ブラウザのベンダや OS ベンダはバンドルしている証明 書を削除したり無効にしたりするなどの対策を行いました。 - 自然災害と IT 東日本大震災、台風15号、タイの洪水など多くの自然災害が発生しま した。直接的な被害に加え、交通網の混乱や電力供給の問題などが、 企業の業務システムの運用にも深刻な影響を与えています。 来年が皆様にとって良い年になることを、編集担当一同祈っております。 来年も Weekly Report をどうぞよろしくお願いいたします。
■JPCERT/CC からのお願い
-
本レポートに関するお問い合わせは
editor@jpcert.or.jp 宛
にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/ -
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html -
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/