特に重要なセキュリティ欠陥・ウイルス情報

IIS 5.0 / 5.1 / 6.0 で WebDAV を利用する場合、WebDAV で管理されているファイルにアクセスするには、通常は認証 (ユーザ名、パスワード) が必要です。しかし IIS には欠陥があり、認証画面を回避できてしまうことが明らかとなりました。IIS 5.0 / 5.1 / 6.0 で WebDAV が有効になっている場合、そのサーバ上のファイルは、実際には誰でもダウンロードしたりアップロードしたりできてしまうのです。

• マイクロソフト セキュリティ アドバイザリ (971492) インターネット インフォメーション サービスの脆弱性により、特権が昇格される (Microsoft)

以下の点に注意して下さい。

• IIS 5.0 / 5.1 では標準で WebDAV が動作しており、特に危険です。IIS 6.0 では、標準では WebDAV は動作していません。
• この欠陥は IIS 7.0 (Windows Server 2008) にはありません。
• 認証を回避してアクセスする場合、「匿名ユーザー アカウント」としてアクセスします。したがって、「匿名ユーザー アカウント」によるアクセスを拒否するような設定のなされたファイルやフォルダであれば、この欠陥を利用する者にはアクセスできません。

この欠陥の修正プログラムは現在開発中です。修正されるまでは、IIS 5.0 / 5.1 / 6.0 で WebDAV を利用する場合は、IP アドレスに基づくアクセス制限を施すなどの設定を行う事を強く推奨します。

関連キーワード: IIS, WebDAV

2009.06.10 追記

MS09-020 - 重要: インターネット インフォメーション サービス (IIS) の脆弱性により、特権が昇格される (970483) で修正されました。

Apple から Mac OS X v10.5.7 および Security Update 2009-002 (Mac OS X 10.4.11 用) が公開されています。

• About the security content of Security Update 2009-002 / Mac OS X v10.5.7 (Apple)

大量のセキュリティ欠陥が修正されています。Mac OS X 利用者は Apple Software Update などを利用して適用してください。

関連キーワード: Mac OS X

Microsoft から 2009 年 5 月の月例セキュリティ修正プログラムが公開されました。

• Microsoft 2009 年 5 月のセキュリティ情報 (Microsoft)

新たに公開されたセキュリティ修正は次の 1 種類です。

• MS09-017 - 緊急: Microsoft Office PowerPoint の脆弱性により、リモートでコードが実行される (967340) (Microsoft)
  対象: PowerPoint 2000 / 2002 (XP) / 2003 / 2007、Office 2004 / 2008 for Mac、Open XML File Format Converter for Mac、PowerPoint Viewer 2003 / 2007、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パック、Microsoft Works 8.5 / 9.0

Microsoft Update や Windows Update、Microsoft Windows Software Update Services などを利用して修正プログラムをインストールしてください。「毎月第 2 火曜日 (米国時間) は Windows Update の日」に更新方法に関する情報をまとめてあります。また、自動更新を利用する場合は「自動更新について」を参照してください。再起動を促された場合には、再起動してください。

以下の点に注意して下さい。

• PowerPoint 2000 の修正プログラムは Office Update を利用するか、個別にダウンロードして適用する必要があります。
• PowerPoint 2002 (XP) / 2003 / 2007 の修正プログラムは、Windows Update を実行しても適用されません。Microsoft Update の利用を強く推奨します。Microsoft Update を使えば、Windows と Office の修正プログラムを同時に適用できます。
• 現時点では、PowerPoint 2000 / 2002 (XP) / 2003 / 2007、PowerPoint Viewer 2003 / 2007、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パック用の修正プログラムだけが用意されています。Office 2004 / 2008 for Mac、 Open XML File Format Converter for Mac、Microsoft Works 8.5 / 9.0 用の修正プログラムは今だ開発中で、後日公開されます。

RINS の複数の機械に修正プログラムをインストールしてみましたが、特に問題は発生していません。

関連キーワード: Windows, PowerPoint, Office for Mac

2009.06.10 追記

上記で「後日公開」としていた、Office 2004 / 2008 for Mac、 Open XML File Format Converter for Mac、Microsoft Works 8.5 / 9.0 用の修正プログラムが 2009.06.10 付けで公開されています。MS09-017 - 緊急: Microsoft Office PowerPoint の脆弱性により、リモートでコードが実行される (967340) を参照してください。

新型インフルエンザが世界的に広まりつつある昨今ですが、これに便乗してコンピュータウイルス（マルウェア）を配布しようとする動きも広まっています。日本も例外ではなく、既に国立感染症研究所を騙る事例が報告されています。

• Malicious Code Authors Jump on the Swine Flu Bandwagon (Symantec)
• 「国立感染症研究所」を詐称したブタインフルエンザ関連メールにご注意ください (国立感染症研究所)
• サイバー空間における豚インフルエンザ騒動の影響 (トレンドマイクロ)

このような事例は今後も続くと考えられます。以下の対策を怠らないようにしてください。

• アンチウイルスソフトウェアをインストールし、ウイルス定義ファイルが最新のものになっているかどうかを確認してください。ウイルス定義ファイルが一週間以上前のまま、といった状態の場合は、既にウイルスに感染している可能性が高いです。龍大標準のアンチウイルスソフトウェア VirusScan の場合、最新のウイルス定義ファイルは「DAT バージョン 5601.0000」です。
• Windows Update や自動更新などを利用し、Windows を最新のセキュリティ状態に保ってください。Internet Exlorer のプロキシだけでなく、WinHTTP のプロキシ も設定しないと、Windows Update や自動更新などを正常に利用できないので注意してください。
• アプリケーションソフトウェアについても更新し、最新のセキュリティ状態を保ってください。特に狙われやすいのは、次のアプリケーションです：
  • Microsoft Office (最新: Office 2007)。Office Update または Microsoft Update を使ってセキュリティ修正プログラムを適用できます。現在サポートされているのは Office 2000 以降だけです。
  • Adobe Reader / Adobe Acrobat (最新: バージョン 9)。現在サポートされているのは Adobe Reader / Acrobat 7.x 以降だけです。Adobe Reader については、原則として最新版をご利用ください。
  • Flash Player (最新: バージョン 10)。現在サポートされているのは Flash Player 9.x 以降だけです。使用している Flash Player のバージョンは、Adobe Flash Player のバージョンテスト で確認できます。原則として最新版をご利用ください。
  • QuickTime (最新: バージョン 7.6)。現在サポートされているのは最新版のみです。最新版をご利用ください。

特に Acrobat / Adobe Reader、Flash Player、QuickTime に関して、古いバージョンを使い続けている事例が散見されます。この数か月における理工学部内のウイルス感染事例においても、これらのアプリケーションはことごとく古いままでした。古いバージョンのアプリケーションに存在するセキュリティ欠陥を突いてウイルスを設置される事例もあったのではないかと思われます。アプリケーションソフトウェアについても忘れずに更新してください。

アンチウイルスソフトウェアをインストールしてしないのは論外ですが、ウイルス定義ファイルが最新のものになっているかどうかを確認していない事例も散見されます。ウイルス定義ファイルが古いままであることに気づかずに使い続け、ウイルスの感染が研究室中に広がった事例もありました。ご注意ください。

VirusScan Enterprise 8.0i 以前や VirusScan for Mac 8.5 以前で採用されているウイルス定義ファイル (V1 DAT) が更新されるのは今年いっぱいで、来年以降は更新されないことが発表されました。

• V1 DAT（Names.dat、Scan.dat、Clean.dat）の提供終了について (マカフィー)

VirusScan Enterprise 8.0i のサポートは今年いっぱい (2009.12.31) で終了しますが、終了直後から、データが更新されないことになります。

VirusScan Enterprise 8.0i 以前や VirusScan for Mac 8.5 以前を利用している方は、今年中に、VirusScan Enterprise 8.5i 以降や VirusScan for Mac 8.6 以降に更新してください。

• マカフィー VirusScan 関連ドキュメント (学内からのみ閲覧可)
• マカフィー VirusScan for Mac (Virex) 関連ドキュメント (学内からのみ閲覧可)

関連キーワード: VirusScan