<<< JPCERT/CC WEEKLY REPORT 2013-08-14 >>>
■08/04(日)〜08/10(土) のセキュリティ関連情報
目 次
【1】Mozilla 製品群に複数の脆弱性
【2】Samba にサービス運用妨害 (DoS) の脆弱性
【3】IP 電話に対する不正利用が増加
【4】PuTTY に複数の脆弱性
【5】IBM の iNotes に複数の脆弱性
【6】ドコモ海外利用アプリにおける接続処理に関する脆弱性
【今週のひとくちメモ】Microsoft Office 2010 SP2 提供開始
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2013/wr133201.txt
https://www.jpcert.or.jp/wr/2013/wr133201.xml
【1】Mozilla 製品群に複数の脆弱性
情報源
JC3 Bulletin
V-214: Mozilla Firefox Multiple Vulnerabilities
http://energy.gov/cio/articles/v-214-mozilla-firefox-multiple-vulnerabilities
概要
Mozilla 製品群には、複数の脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Firefox 23.0 より前のバージョン - Firefox ESR 17.0.8 より前のバージョン - Thunderbird 17.0.8 より前のバージョン - Thunderbird ESR 17.0.8 より前のバージョン - SeaMonkey 2.20 より前のバージョン この問題は、Mozilla が提供する修正済みのバージョンに該当する製品を更新 することで解決します。詳細については、Mozilla が提供する情報を参照して 下さい。
関連文書 (日本語)
Mozilla
Mozilla Foundation セキュリティアドバイザリ
http://www.mozilla-japan.org/security/announce/
【2】Samba にサービス運用妨害 (DoS) の脆弱性
情報源
JC3 Bulletin
V-212: Samba smbd CPU Processing Loop Lets Remote Users Deny Service
http://energy.gov/cio/articles/v-212-samba-smbd-cpu-processing-loop-lets-remote-users-deny-service
概要
Samba には、サービス運用妨害 (DoS) の脆弱性があります。結果として、 Samba に接続できるユーザが、サービス運用妨害 (DoS) 攻撃を行う可能性があ ります。 対象となるバージョンは以下の通りです。 - Samba 3.0.x から 4.0.7 この問題は、使用している OS のベンダや配布元が提供する修正済みのバージョ ンに Samba を更新することで解決します。詳細については、各ベンダや配布元 が提供する情報を参照してください。
関連文書 (英語)
Samba Security Release
Denial of service - CPU loop and memory allocation
http://www.samba.org/samba/security/CVE-2013-4124
【3】IP 電話に対する不正利用が増加
情報源
一般社団法人 電気通信事業者協会(TCA)
なりすまし利用など、第三者による不正なIP電話利用等に関して(ご注意)
http://www.tca.or.jp/press_release/2013/0806_583.html
概要
第三者が利用者になりすまして国際電話などを不正に発信する事例が続いてい ます。すでに IP 電話サービスを提供している各事業者が顧客向けに注意喚起 を行っていますが、2013年8月6日には、電気通信事業者協会 (TCA) をはじめと する関連団体が連名で注意喚起を公開しました。 社内や自宅で IP-PBX を運用している場合、設定内容は適切か、当該製品に関 するセキュリティアップデートを適用しているか、などを確認のうえ、稼働状 況を定期的に確認し、不正利用に備えてください。 JPCERT/CC も以前からインターネットに公開しているサーバや IP-PBX のセキュ リティについて注意喚起を行っています。こちらも参考にしてください。
関連文書 (日本語)
JPCERT/CC Alert 2011-02-08
主に UNIX / Linux 系サーバを対象としてインターネット公開サーバのセキュリティ設定に関する注意喚起
https://www.jpcert.or.jp/at/2011/at110002.htmlJPCERT/CC Alert 2010-12-09
不適切な設定で Asteriskを利用した場合に発生し得る不正利用に関する注意喚起
https://www.jpcert.or.jp/at/2010/at100032.html
【4】PuTTY に複数の脆弱性
情報源
JC3 Bulletin
V-213: PuTTY SSH Handshake Integer Overflow Vulnerabilities
http://energy.gov/cio/articles/v-213-putty-ssh-handshake-integer-overflow-vulnerabilities
概要
PuTTY には、複数の脆弱性があります。結果として、遠隔の第三者が、任意の コードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - PuTTY 0.62 およびそれ以前 この問題は、開発者が提供する修正済みのバージョンに PuTTY を更新すること で解決します。詳細については、開発者が提供する情報を参照して下さい。 また、本脆弱性は WinSCP にも影響があり、対策版が公開されています。
関連文書 (英語)
PuTTY Change Log
http://www.chiark.greenend.org.uk/~sgtatham/putty/changes.htmlWinSCP
Recent Version History 5.1.6
http://winscp.net/eng/docs/history#5.1.6
【5】IBM の iNotes に複数の脆弱性
情報源
IBM Security Bulletin
IBM iNotes vulnerabilities (CVE-2013-3027, CVE-2013-3032, CVE-2013-3990)
http://www-01.ibm.com/support/docview.wss?uid=swg21645503
概要
IBM の iNotes には、複数の脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行したり、ユーザのブラウザ上で任意のスクリプトを実行す る可能性があります。 対象となるバージョンは以下の通りです。 - IBM iNotes 8.5, 8.5.1, 8.5.2, 8.5.3, 9.0 この問題は、IBM が提供する修正パッチを iNotes に適用することで解決しま す。詳細については、IBM が提供する情報を参照して下さい。
【6】ドコモ海外利用アプリにおける接続処理に関する脆弱性
情報源
Japan Vulnerability Notes JVN#44035194
ドコモ海外利用アプリにおける接続処理に関する脆弱性
https://jvn.jp/jp/JVN44035194/index.html
概要
株式会社NTTドコモが提供するドコモ海外利用アプリには、脆弱性があります。 結果として、遠隔の第三者が、ユーザ情報を不正に取得する可能性があります。 対象となるバージョンは以下の通りです。 - ドコモ海外利用アプリ Ver2.0.0 から Ver2.0.4 この問題は、NTTドコモが提供する修正済みのバージョンにドコモ海外利用アプ リを更新することで解決します。詳細については、NTTドコモが提供する情報を 参照して下さい。
関連文書 (日本語)
Google Play
ドコモ海外利用
https://play.google.com/store/apps/details?id=com.nttdocomo.android.gs.utility
■今週のひとくちメモ
○Microsoft Office 2010 SP2 提供開始
2013年7月、Microsoft は Office 2010 向け SP2 の提供を開始しました。SP1 のサポート期間は 2014年10月までとされています。Office 2010 を使っている 方は、サポート期間内に更新作業を行いましょう。
参考文献 (日本語)
Microsoft
Office 2010 のサービス パック 2 の説明
http://support.microsoft.com/kb/2687455/ja
参考文献 (英語)
Microsoft
Office 2010 and SharePoint 2010 Service Pack 2 Availability
http://blogs.technet.com/b/office_sustained_engineering/archive/2013/07/16/office-2010-and-sharepoint-2010-service-pack-2-availability.aspxMicrosoft
Microsoft Support Lifecycle
http://support.microsoft.com/lifecycle/?p1=13615&ln=en-us
■JPCERT/CC からのお願い
-
本レポートに関するお問い合わせは
editor@jpcert.or.jp 宛
にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/ -
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html -
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/