特に重要なセキュリティ欠陥・ウイルス情報

Google Chrome 22.0.1229.94 が公開されています。Hack in the Boxカンファレンスで発表された 1 件のセキュリティ欠陥が修正されています。

• Stable Channel Update (Google Chrome Release blog)

Google Chrome は自動的に更新されます。利用している方は 22.0.1229.94 以降に更新されていることを確認してください。

関連キーワード: Chrome

Flash Player の更新版が公開されました。25 件のセキュリティ欠陥が修正されています。詳細については、APSB12-22: Adobe Flash Player に関するセキュリティアップデート公開 (Adobe) を参照してください。

• 11.4.402.287 for Windows / Mac
• 11.2.202.243 for Linux / Solaris
• 11.1.115.20 for Android 4.x
• 11.1.111.19 for Android 3.x / 2.x
• Google Chrome 内蔵版: 11.4.31.110 for Windows / Linux, 11.4.402.287 for Mac
• 11.3.375.10 for Internet Explorer 10 (Windows 8)

あわせて AIR 3.4.0.2710 も公開されています。

Flash Player は狙われやすいソフトウェアの1つです。利用者は速やかに更新してください。

なお、Flash Player 11.2 (Windows) / 11.3 (Mac OS X) 以降の自動更新機能については、Flash Player の自動更新について を参照してください。

Flash Player for Windows / Mac / Linux / Solaris

Flash Player 11.4.402.287 / 11.2.202.243 は Adobe のダウンロードページから入手できます。また Windows / Mac / Linux 用のバイナリについて RINS web ページでも配布しています (学内からのみ入手可)。

原則として Flash Player 11 系列の最新版 11.4.402.287 / 11.2.202.243 に更新してください。互換性の問題等によりどうしても更新できない場合にのみ、Flash Player 10 系列の最新版 10.3.183.29 をご利用ください。Flash Player 10.3.183.29 は Archived Flash Player versions からダウンロードできます。また Windows / Mac / Linux 用のバイナリについて RINS web ページでも配布しています (学内からのみ入手可)。

Flash Builder、Flash Catalyst、Flash Professional 等開発ツール用の Flash Player は Adobe Flash Player Support Center からダウンロードしてください。

Google Chrome に内蔵されている Flash Player は Chrome 22.0.1229.92 以降で修正されています。Chrome は自動的に更新されます。利用者はこのバージョン以降に更新されていることを確認してください。

Internet Explorer 10 専用版の Flash Player の更新は Microsoft から提供されます。Microsoft Update や Microsoft Windows Software Update Services などを利用して更新してください。

Flash Player for Android

Android 用の Flash Player は Google play から入手できます。ただし、2012.08.14 以前に Flash Player をインストール済みだった方しかダウンロードできません。Flash PlayerとAndroidに関する最新情報 をご参照ください。

AIR

AIR は http://get.adobe.com/jp/air/ (PC版) および Google play (Android版) から入手できます。

Flash Player バージョン確認方法

現在使用している Flash Player のバージョンは About Flash Player ページ (adobe) で確認できます。Internet Explorer とその他のブラウザ (Firefox, Opera, Safari 等) とで個別に確認する必要があります。

関連キーワード: Flash Player

Mac OS X Lion (10.7) および Mac OS X Mountain Lion (10.8) 用の Safari 6.0.1 が公開されています。61 件のセキュリティ欠陥が修正されています。

• About the security content of Safari 6.0.1 (Apple)

利用者はソフトウェアアップデート を使って更新してください。

Mac OS X Snow Leopard (10.6) 用の Safari の更新は用意されていません。Firefox や Google Chrome、Opera など代替ブラウザの利用を推奨します。

Windows 用の Safari の更新は用意されていません。アンインストールしてください。

関連キーワード: Safari

Internet Explorer 6、7、8、9 に未修正の欠陥があり、既にウイルスに悪用されていることが明らかとなりました。Internet Explorer を使って攻略 Web ページを閲覧すると、自動的にウイルスが実行されてしまいます。

• マイクロソフト セキュリティ アドバイザリ (2757760) Internet Explorer の脆弱性により、リモートでコードが実行される (Microsoft)
• Internet Explorer の脆弱性に関するセキュリティ アドバイザリ 2757760 を公開 (Microsoft)

更新プログラムは現在開発中です。いくつかの回避方法があります。

• Enhanced Mitigation Experience Toolkit (EMET) を使用する。
  • ダウンロード し、インストールします。
  • セキュリティ アドバイザリの [推奨するアクション] → [回避策] → [Enhanced Mitigation Experience Toolkit を使用する] を参照して設定します。
• Internet Explorer のかわりに、Firefox や Chrome、Opera などの代替ブラウザを使用する。

回避方法は併用されることを推奨します。つまり、EMET をインストール・設定した上で、普段の Web 閲覧には代替ブラウザを使用します。どうしても Internet Explorer を必要とするサイトのみ、Internet Explorer で閲覧します。

今回の欠陥は重大なうえ、既にウイルスに悪用されています。早急な対応をお願いします。

2012.09.19 追記

EMET をインストールすると、次の場所にユーザーズガイドが保存されています。

• 32-bit OS: C:\Program Files\EMET\EMET User's Guide.pdf
• 64-bit OS: C:\Program Files (x86)\EMET\EMET User's Guide.pdf

ユーザーズガイドの 13 ページに防護プロファイルを使った設定方法が記載されています。

EMET には 3 種類の防護プロファイルが添付されています。C:\Program Files\EMET\Deployment\Protection Profiles に保存されています。

• Internet Explorer.xml: Internet Explorer だけを防護する設定です。
• Office Software.xml: Internet Explorer に加え、Microsoft Office と Adobe Reader / Acrobat を防護する設定です。
• All.xml: 上記に加え、一般的なアプリケーションを防護する設定です。

これらは次のように使います。

1. [スタート] をクリックし、[すべてのプログラム] - [Enhanced Mitigation Experience Toolkit] – [EMET 3.0] をクリックします。
   UAC のポップアップが出たら [Yes] をクリックします。EMET の GUI 画面が表示されます。
2. EMET GUI 画面の [Configure Apps] をクリックします。Application Configuration 画面が表示されます。
   [File] メニューの [Import...] をクリックし、上記した防護プロファイルのいずれかを選びます。
3. インポートした設定が Application Configuration 画面に表示されますので、ご確認ください。[OK] をクリックして Application Configuration 画面を閉じます。

設定後、指定したアプリケーションを再起動する必要があります。

2012.09.24 追記

更新プログラムが公開されました。

• MS12-063 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (2744842) (Microsoft)

Microsoft Update や Microsoft Windows Software Update Services などを利用して更新プログラムをインストールしてください。「毎月第 2 火曜日 (米国時間) は Windows Update の日」に更新方法に関する情報をまとめてあります。また、自動更新を利用する場合は「自動更新について」を参照してください。再起動を促された場合には、再起動してください。

なお、EMET をインストール・設定した方は、更新プログラム適用後もそのまま続けてご利用ください。

Java SE 7 系列 (最新の Java SE 7 Update 6 を含む) に未修正の攻略可能な欠陥が発見されました。この欠陥を悪用するマルウェア（ウイルス）も各地で確認されています。

• Oracle Java 7の脆弱性を狙った攻撃について (エフセキュアブログ)
• 【ゼロデイ攻撃】JREの未修整の脆弱性を悪用した攻撃発生 (so-net)
• Vulnerability Note VU#636312 - Oracle Java JRE 1.7 Expression.execute() and SunToolkit.getField() fail to restrict access to privileged code (US-CERT)

Windows 版・Mac 版・Linux 版のいずれの Java SE 7 にも欠陥があります。

更新プログラムはまだ公開されていません。次のいずれかの方法で回避してください。

• Java をアンインストールする。
  Javaを使用していないのであれば、これが一番確実な方法です。
• Web ブラウザで Java を無効化する。
  攻撃の多くは Web 経由ですので、Web ブラウザで Java を無効化すれば、それらを回避できます。Java を使用する Web ページを閲覧したい場合は、たとえば次のように行います。
  • 普段よく使う Web ブラウザでは Java を無効化する。
  • 別の Web ブラウザをインストールしておき、Java を使用する Web ページを閲覧したい場合は、そのブラウザを使用する。
• Java SE 6 系列 (最新は Java SE 6 Update 34) にダウングレードする。
  Java SE 7 をアンインストールし、Java SE 6 をインストールし直す方法です。現時点では、攻略可能なのは Java SE 7 系列だけですので、この方法も選択肢に入ります。こちらからダウンロードできます。しかし Java SE 6 Update 34 にもセキュリティ欠陥は確認されており、推奨できる方法ではありません。

■ Web ブラウザで Java を無効化する方法

Internet Explorer (IE)

1. 8484.disable_5F00_java_5F00_in_5F00_IE.reg をダウンロードし、デスクトップ等に保存します。
2. 保存した 8484.disable_5F00_java_5F00_in_5F00_IE.reg をダブルクリックして実行します。管理者権限が必要です。
3. IE を再起動します。

Firefox

Java アプレットを無効にするには (Mozilla) を参照してください。

Safari

Safari で Java Web プラグインを無効にする方法 (Apple) を参照してください。

Google Chrome

プラグイン (Google) の「特定のプラグインを無効にする」を参照して、Java プラグインを無効にしてください。

Opera

1. アドレスバーに opera:plugins と入力し、「プラグイン」ページを開きます。
2. 「プラグイン」ページで、Java プラグイン (「Java Platform SE …」) の「無効にする」をクリックします。無効化されると、全体がグレイアウトされます。

■ 2012.09.18 追記

Java SE 7 Update 7 および Java SE 6 Update 35 で修正されています。Mac 版も公開されています。

• Java SE ダウンロード (Oracle)。Java SE 7 Update 7 および Java SE 6 Update 35 をダウンロードできます。
• Mac 用の Java SE 6 Update 35 についてはこちらから:
  • Java for OS X 2012-005 (Apple)。Mac OS X 10.7 / 10.8 用。
  • Java (Mac OS X v10.6) - アップデート 10 (Apple)

■ 2012.12.17 追記

Java SE 7 Update 10 では、「Web ブラウザでの Java 無効化」を、Java コントロールパネルから簡単に設定できるようになりました。[セキュリティ] タブの「ブラウザで Java コンテンツを有効にする」のチェックを外すだけでよいです。