セキュリティホール memo - 2008.06

Last modified: Tue Mar 10 12:56:43 2009 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2008.06.30

Windows Vista を実行しているコンピュータに NDIS (Network Device Interface Specification) フィルタ ドライバが 2 つ以上インストールされている場合、断続的にネットワーク リソースにアクセスできなくなる
(Microsoft KB933657 revision 3.2, 2008.06.13)

 Windows Vista gold では、NDIS Filter Driver が複数登録されていると、ネットワークが断続的に停止してしまう。世の中には

ため、両者が合体するとこの不具合に見事にひっかかり、謎なトラブルに悩まされることになる模様。

 解決策としては、Vista gold に 933657 hotfix をインストールするか、Vista SP1 にアップデートする。 関連:


2008.06.29

いろいろ (2008.06.29)
(various)

IE に複数の欠陥
(US-CERT, 2008.06.26〜27)

 IE に複数の欠陥。

2008.07.01 追記:

 関連:

サイボウズ製品に複数の欠陥
(JVN, 2008.06.27)

 サイボウズ製品に複数の欠陥。

追記

APSB08-15 - Security Update available for Adobe Reader and Acrobat 8.1.2

 この欠陥を利用するマルウェアの情報が出てきているようで。

 しかし、McAfee の中の人は否定的見解を持っているようで: New PDF exploits: “Old wine in a new bottle!” (McAfee blog, 2008.06.26)

いろいろ (2008.06.18)

 Flex 3 の件、日本語版 Advisory 出ました: APSB08-14 - クロスサイトスクリプティング脆弱性に対処するためのFlex 3アップデート公開 (Adobe)

マイクロソフト セキュリティ アドバイザリ (954462) ユーザー データ入力の未検証を悪用した SQL インジェクション攻撃の増加

 HP Scrawlr について、匿名希望さんから (情報ありがとうございます)

HP Scrawlrの件、調査してみましたが、日本語のエラーメッセージを解析できていないことが原因のようです。本件、現在HPに問い合わせを行っております。

また、下記の機能的な制限があるため、用途がかなり限定されると思います。
* Will only crawls up to 1500 pages
* Does not support sites requiring authentication
* Does not perform Blind SQL injection
* Cannot retrieve database contents
* Does not support JavaScript or flash parsing
* Will not test forms for SQL Injection (POST Parameters)

2008.06.28

追記

Windows XP SP3のレジストリ破損問題、マイクロソフト作成のexeファイルが原因

 Device Manager may not show any devices and Network Connections may not show any network connections after you install Windows XP Service Pack 3 (SP3) (Microsoft KB953979)。新版の fixccs.exe が登場しています。cadz さん情報ありがとうございます。


2008.06.25

JVN#36635562 - nProtect : Netizen におけるサービス運用妨害 (DoS) の脆弱性
(JVN, 2008.06.25)

 nProtect Starter ActiveX コントロール (npstarter.ocx) に欠陥があり、 異常な PolicyUrl パラメータによってアップデートモジュール (npdownx.exe) が crash する。

 PC を再起動すると、自動的に更新される。npstarter.ocx ファイルバージョン 2008,6,16,1 で修正されている。

マイクロソフト セキュリティ アドバイザリ (954462) ユーザー データ入力の未検証を悪用した SQL インジェクション攻撃の増加
(Microsoft, 2008.06.25)

 SQL インジェクション対策として、次のものが用意されたそうで。

 関連:

2008.06.29 追記:

 HP Scrawlr について、匿名希望さんから (情報ありがとうございます)

HP Scrawlrの件、調査してみましたが、日本語のエラーメッセージを解析できていないことが原因のようです。本件、現在HPに問い合わせを行っております。

また、下記の機能的な制限があるため、用途がかなり限定されると思います。
* Will only crawls up to 1500 pages
* Does not support sites requiring authentication
* Does not perform Blind SQL injection
* Cannot retrieve database contents
* Does not support JavaScript or flash parsing
* Will not test forms for SQL Injection (POST Parameters)

2008.07.01 追記:

 関連: New tools to block and eradicate SQL injection (Security Vulnerability Research & Defense, 2008.06.24)

追記

APSB08-15 - Security Update available for Adobe Reader and Acrobat 8.1.2

 [ヘルプ] → [アップデートの有無をチェック] に出るようになりました。

 バージョン表示はやっぱり変化しないので、コントロールパネルの「プログラムの追加と削除」で確認するしかないみたい。安田さん情報ありがとうございます。

続々・ Firefox 3 な日 (IE の設定が Firefox 3 の挙動に影響する話)

 Firefox3のダウンロードが「インターネットオプション」の設定に依存する話 (水無月ばけらのえび日記, 6/24)、 えむけいさんのコメント。 どうやら記述が足りなくて誤解を与えているようなので、「この仕様が気に入らない場合は、」という文言を追加した。

 その上で、(以下後日追記予定)


2008.06.24

APSB08-15 - Security Update available for Adobe Reader and Acrobat 8.1.2
(Adobe, 2008.06.23)

 Adobe Reader / Acrobat の JavaScript 実装に欠陥があり、任意のコードの実行を許す。CVE-2008-2641。攻略コードが既に世に出回っている。対象は:

 Adobe Reader / Acrobat 7.1.0 にはこの欠陥はない。また、2008.07 に登場する予定の Adobe Reader / Acrobat 9 にもこの欠陥はない。

 対応するには:

ざきほど Acrobat 8.1.2 for Windows で、[ヘルプ] → [アップデートの有無をチェック] を実行してみたが、「現在、利用可能なアップデートはありません」と言われてしまった。更新ファイルをダウンロードして実行するしかないみたい。更新ファイルは Adobe Reader / Acrobat 共通のようで、適用しても Adobe Reader / Acrobat のバージョン表示は変化しない (8.1.2 + Security Update 1 と表示されたりはしない) ですね。

 関連: Adobe Acrobat 及び Adobe Reader の脆弱性に関する注意喚起 (JPCERT/CC, 2008.06.24)

2008.06.25 追記:

 [ヘルプ] → [アップデートの有無をチェック] に出るようになりました。

 バージョン表示はやっぱり変化しないので、コントロールパネルの「プログラムの追加と削除」で確認するしかないみたい。安田さん情報ありがとうございます。

2008.06.29 追記:

 この欠陥を利用するマルウェアの情報が出てきているようで。

 しかし、McAfee の中の人は否定的見解を持っているようで: New PDF exploits: “Old wine in a new bottle!” (McAfee blog, 2008.06.26)

2008.07.01 追記:

 日本語版アドバイザリ登場: APSB08-15 - Adobe Reader/Acrobat 8.1.2に関するセキュリティアップデート公開 (Adobe)

 あと、ダウンロード先:

2008.07.11 追記:

 Release notes for Adobe Reader and Acrobat 8.1.2 SU1 security update (Adobe KB403742)。8.1.2 Security Update 1 適用状況の確認方法一覧。

任意のコードが実行される脆弱性について (Ruby)
(ruby-lang.org, 2008.06.20)

 ruby 1.8.4 以前 / 1.8.5-p230 以前 / 1.8.6-p229 以前 / 1.8.7-p21 以前 / 1.9.0-1 以前に複数の欠陥。

 ruby 1.8.5-p231 / 1.8.6-p230 / 1.8.7-p22 / 1.9.0-2 で修正されている。 ruby 1.8.4 系はもはや保守されていないようだ。


2008.06.23

追記

Hacking The Interwebs

 関連: ネットワーク機器におけるUPnP機能の脆弱性 (NEC, 2008.06.23)

Firefox 3 のダウンロードマネージャで、ダウンロード完了時のウイルスチェック機能がうまく動かないために (?) ダウンロードしたファイルが消えてしまう場合がある

 Firefox 3.0 リリースノート では、この機能はこのように説明されています。

ウイルス対策ソフトの統合: Firefox は、実行ファイルをダウンロードする際、ウイルス対策ソフトに通知を送ります。

 Mac OS X 版や UNIX 版でも同様なのかなあ。

「Mac OS X 10.4/10.5」を乗っ取るトロイの木馬が出現,セキュリティ・ベンダーの警告
(日経 IT Pro, 2008.06.23)

 Mac OS X 10.4.x / 10.5.x に付属する Apple Remote Desktop Agent に欠陥があり、 local user が容易に root 権限を奪取できる模様。この欠陥を利用する攻略プログラムも in the wild な状態にある模様。 CVE-2008-2830

 震源地の Mac OS X Root Escalation Through AppleScript (slashdot.org, 2008.06.18) や Serious Security Vulnerabilty In Apple OS X Leopard (Brian Krebs on Computer Security, 2008.06.20) には、PoC として

osascript -e 'tell app "ARDAgent" to do shell script "whoami"'

が掲載されているのだが、手元の Mac OS X 10.4.11 (PPC) ではうまく動かなかった。 Serious Security Vulnerabilty In Apple OS X Leopard でも Mac OS X 10.4.x については疑問視している模様。 しかし Mac OS X 10.5.x では、たとえばこういうこと (slashdot.org, 2008.06.18) になるらしい。

Integoによると,「A corrupt preference file has been detected and must be repaired.」(環境設定ファイルが壊れているので修復が必要です)というメッセージを出し,管理者パスワードの入力を求めるという。

 管理者パスワードの入力を求めてもよいのであれば、セキュリティホールを突く必要もないと思うのだが……。

2008.08.01 追記:

 Mac OS X - About Security Update 2008-005 で修正されています。

2008.09.17 追記:

 Mac OS X - About Security Update 2008-005 での修正は完全ではなかったそうで、 About the security content of Apple Remote Desktop 3.2.2 が公開されています。今度こそ大丈夫かな。


2008.06.22

続々・ Firefox 3 な日 (IE の設定が Firefox 3 の挙動に影響する話)
(取締役 平社員 ブログ (ベータ版), 2008.06.19)

 Internet Explorer の [インターネット オプション] (あるいは、コントロールパネルの [インターネット オプション]) において、対象となるドメインが属しているゾーンの「アプリケーションと安全でないファイルの起動」を [無効にする] に設定していると……

 ……Firefox 3 において実行ファイルのダウンロードに失敗します。ダウンロードマネージャにはこのように表示されます。

 この画面では rnp.br ドメインからダウンロードしようとしてブロックされています。http://mozilla.jp/ の top ページのリンク http://download.mozilla.org/?product=firefox-3.0&os=win&lang=ja からダウンロードすると、実際にはいろんなサイトに飛ばされるようです。

 ブロク記事では「インターネットゾーンの」となっていますが、 手元でテストしてみた限りでは、ダウンロード先のドメインが属するゾーンの設定が参照されるようです。

 仕方ないので、デフォルト値である [ダイアログを表示する] を設定するか、あるいはこの仕様が気に入らない場合は Firefox 3 を捨てましょう。

2008.06.25 追記:

 Firefox3のダウンロードが「インターネットオプション」の設定に依存する話 (水無月ばけらのえび日記, 6/24)、 えむけいさんのコメント。 どうやら記述が足りなくて誤解を与えているようなので、「この仕様が気に入らない場合は、」という文言を追加した。

 その上で、(以下後日追記予定)

Firefox 3 のダウンロードマネージャで、ダウンロード完了時のウイルスチェック機能がうまく動かないために (?) ダウンロードしたファイルが消えてしまう場合がある
(various)

 Firefox 3 のダウンロードマネージャは、ダウンロード完了時に、インストールされているアンチウイルスソフトを使ってウイルスチェックを行うようなのですが、これがうまく動かないために (?)、ダウンロードしたファイルが消えてしまう場合があるようです。

 上記はどちらもトレンドマイクロがらみのようですが、他社製品でも発生するかもしれません。手元の VirusScan Enterprise 8.5i では何の問題もないようです。

 この現象が発生している場合は、about:config から browser.download.manager.scanWhenDone を false に (ダウンロード完了時のウイルススキャンを無効に) 設定することで回避できるようです。

2008.06.23 追記:

 Firefox 3.0 リリースノート では、この機能はこのように説明されています。

ウイルス対策ソフトの統合: Firefox は、実行ファイルをダウンロードする際、ウイルス対策ソフトに通知を送ります。

 Mac OS X 版や UNIX 版でも同様なのかなあ。


2008.06.20

About the security content of Safari 3.1.2 for Windows
(Apple, 2008.06.20)

 Safari 3.1.2 for Windows 登場。 4 つの欠陥が修正されている。 Mac OS X 用の Safari 3.1.2 はない。

追記

Safari Carpet Bomb

 Safari 3.1.2 for Windows で修正されました。

Microsoft 2008 年 6 月のセキュリティ情報

 MS08-030 - 緊急: Bluetooth スタックの脆弱性により、リモートでコードが実行される (951376) の、Windows XP SP2 / SP3 用の修正プログラムが再リリースされています。 Windows XP x64 Edition / x64 Edition SP2 用の修正プログラムは変化なしです。

なぜ、マイクロソフトはこのセキュリティ更新プログラムを 2008 年 6 月 20 日に再提供したのですか?
Windows XP Service Pack 2 および Windows XP Service Pack 3 に影響を及ぼす問題のため、マイクロソフトは マイクロソフト セキュリティ情報 MS08-030 - Bluetooth スタックの脆弱性により、リモートでコードが実行される (951376) で提供した更新プログラムを再提供しました。マイクロソフト セキュリティ情報 MS08-030 で提供した Windows XP Service Pack 2 および Windows XP Service Pack 3 用の更新プログラムはこのセキュリティ情報で説明している脆弱性を十分に解決しませんでした。このセキュリティ更新プログラムのすべてのその他のバージョンについては、このセキュリティ情報で説明している問題に対する保護を提供します。
マイクロソフトは Windows XP Service Pack 2 および Windows XP Service Pack 3 に影響を及ぼすセキュリティ更新プログラムの改訂版を提供することをお知らせするために、このセキュリティ情報を再公開しました。Windows XP Service Pack 2 および Windows XP Service Pack 3 を実行しているお客様はこの新しいセキュリティ更新プログラムをダウンロードし、適用してください。Windows XP Professional x64 Edition、Windows XP Professional x64 Edition Service Pack 2 および Windows Vista のすべてのサポートされているバージョンを実行しており、このセキュリティ情報で最初に提供したオリジナルのセキュリティ更新プログラムを既に適用しているお客様は、さらなる措置を講じる必要はありません。影響を受けるセキュリティ更新プログラムの改訂版は、自動更新、Windows Update、Windows Server Update Services など、オリジナルのセキュリティ更新プログラムと同じ配布方法で利用可能となる予定です。

 関連: MS08-030 - 更新プログラム V2 (日本のセキュリティチーム, 2008.06.20)


2008.06.19

Internet-connected coffee maker has security holes
(CNET, 2008.06.17)

 Hacking Coffee Makers の件。いまどきのコーヒーメーカーにはそういう機能がついているのね……。

PCの誤設定で人生を棒に振った不運な男の話 悲惨としか言いようのない出来事も一歩まちがえれば「明日は我が身」
(computerworld, 2008.06.19)

 ウイルスが児童ポルノをダウンロードしてくれたおかげで、「PCに児童ポルノ・コンテンツをダウンロードしたとして起訴され、仕事と友人を失い、およそ1年間を無駄にするはめになった」人の話。フォレンジックによって全てが明らかになったからまだいいものの……。

最新版のAVGによって、トラフィックが増大?
(slashdot.jp, 2008.06.18)

 AVG 8 の「リンクスキャナ」に存在する「サーチシールド」機能には問題がある模様。

 なお、Firefox でも link rel="prefetch" なサイトを先読みするそうで。 about:config の network.prefetch-next がそれ (デフォルト: true)。気になる場合は false にしませう。

2008.07.04 追記:

 関連:

SYM08-014 - Symantec Altiris Notification Server Agent GUI にローカルで特権昇格の脆弱性
(シマンテック, 2008.06.17)

 Altiris Notification Server Agent 6.x に欠陥。 local user による権限上昇が可能。Altiris Notification Server Agent 6.0 SP3 R8 で修正されている。

「Firefox 3」公開5時間後に早くも脆弱性報告、米TippingPoint
(Internet Watch, 2008.06.19)

 さっそくですか。

この脆弱性は、Firefox 3とFirefox 2に影響があり、悪意のあるWebページなどを開くだけで任意のコードを実行させられる恐れのある、危険性の高いものだとしている。

 なんだ、Firefox 2 にも影響するんだ。 CVE-2008-2785 CVE-2008-2786


2008.06.18

いろいろ (2008.06.18)
(various)

2008.06.29 追記:

 Flex 3 の件、日本語版 Advisory 出ました: APSB08-14 - クロスサイトスクリプティング脆弱性に対処するためのFlex 3アップデート公開 (Adobe)

追記

XREAの無料サービスで表示される広告内にウィルス

 リネージュ資料室さんからは、昨日、次のメールを頂いていました。(ありがとうございます)

先日お知らせしたXREAの無料サービスで表示される広告内にウィルスが埋め込まれた件は、今日対処されたようなのでお知らせします。ただし、公式アナウンスはありません。
広告サーバ5台のうち、汚染されたサーバを含む4台でファイルが更新され、ウィルス仕込みのスクリプトが削除されました。しかし、なぜか1台 (210.153.116.18) だけは、古いファイルのままです。
対処されて「やれやれ」と言ったところではあるのですが、運営会社から何のアナウンスもないのが気になります。

 この件、昨晩ようやく XREA からアナウンスされたようです。

  • 無料ユーザー向け広告配信サーバーの不具合について (XREA&CORE SUPPORT BOARD, 2008.06.17)
    ○原因:
    広告配信や画像読み込み用として、外部に構築依頼をしておりました分散キャッシュサーバー内の1台の広告配信用サイト管理パスワードが、受託会社外の者に渡り、使用され、不正なファイルがアップロードされておりました。
    うひゃあ。
    ○今後の対策:
    外部に構築・管理依頼していたため、恥ずかしながら弊社側で直接操作ができなかった、コミュニケーションがうまく取れていなかったなど、多々不手際が発生し、長々とご迷惑をお掛けしました。この件を猛省し委託契約を見直すなど早急な対策をとります。

    無料サーバーの管理体制についてですが、現実問題とまして、無料サーバーについては、有料契約のお客様以上に頻発する規約違反への対応問題などでコストは増加する一方で、かつ、管理における問題も発生する状況になっております。また、ご利用のお客様にもご迷惑をお掛けするのは決して許されませんが、それ以外の外部の方にもご迷惑をお掛けする許されない状況(迷惑メール、スパムブログ等々)が増えつつあります。正当な理由にはなりませんが、無料サーバー部門については、正直申し上げまして、赤字となっているため、なるべくコスト削減を行い、その一環で外部委託に頼る状況があります。ただ、これらは、お客様に対する不手際の理由、言い訳にはなりえないと承知しております。

    8月にて無料サーバー開始から8年となります。開始から、かれこれ8年もの間、お付き合いいただいている方もいらっしゃいます。本当にありがとうございます。柔軟な対応をと心がけていますが、細かい対応ができなくなったり、中々スタッフの手が回らない部分があったり、ご迷惑をおかけしています。今後の無料サーバー自体の方向性も含め、心機一転、少しずつですが、見直し、改善を図る所存です。今後は、関係者、スタッフにセキュリティ意識向上の再徹底を図ると共に、徐々に自社で管理する体制に戻していく予定です。
  • 無料ホスティング「XREA」の広告にウイルスへのリンクが混入 (Internet Watch, 2008.06.18)
マイクロソフト セキュリティ アドバイザリ (954474): System Center Configuration Manager 2007 によるセキュリティ更新プログラムの展開がブロックされる

 patch 出ました: System Center Configuration Manager 2007 blocked from deploying security updates (Microsoft KB954474)


2008.06.17

追記

いろいろ (2008.06.13)

 VMSA-2008-0009.1 の件、VMware Server については 1.0.6 で対応されています (vmware.com 自身が誤記、今は直ってます)。shutaro さん情報ありがとうございます。


2008.06.16

マイクロソフト セキュリティ アドバイザリ (954474): System Center Configuration Manager 2007 によるセキュリティ更新プログラムの展開がブロックされる
(Microsoft, 2008.06.16)

 Microsoft 2008 年 6 月のセキュリティ patch を提供後、System Center Configuration Manager 2007 gold / SP1 から SMS 2003 クライアントに patch を展開できなくなっている模様。ひぇ〜。

 patch はまだない。回避するには:

2008.06.18 追記:

 patch 出ました: System Center Configuration Manager 2007 blocked from deploying security updates (Microsoft KB954474)

Changes with Apache 2.2.9
(Apache.org, 2008.06.13)

 Apache 2.2.9 登場。2 件のセキュリティ欠陥を含む修正がなされている。iida さん情報ありがとうございます。


2008.06.15

追記

いろいろ (2008.04.18)

 WkImgSrv.dll の件: Why there won't be a security update for WkImgSrv.dll (Security Vulnerability Research & Defense, 2008.06.10)

Microsoft 2008 年 6 月のセキュリティ情報

 関連:


2008.06.13

Memory stick worms
(Nick Brown's blog, 2007.10.23)

 USB メモリなどに感染するウイルスを防止するために Autorun.inf を無効にしたくなることがありますが、こういう .reg ファイルを食わせればいいそうです。奈良さん情報ありがとうございます。

REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"

 この設定を行うと、Windows が Autorun.inf を処理しようとしたときに、Autorun.inf ではなく HKEY_LOCAL_MACHINE\SOFTWARE\DoesNotExist レジストリを見に行き、そこには何もないので何も起こらない、となるようです。 元に戻したいときは、この .reg ファイル↓を使います。

REGEDIT4
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]

 なお、この設定を行うと、正常に利用できなくなる USB メモリが存在するようです。 元記事のコメント覧には事例として「SanDisk U3 drives」が語られていますが、他にもそういうものはあるかもしれません。

 関連:

いろいろ (2008.06.13)
(various)

2008.06.17 追記:

 VMSA-2008-0009.1 の件、VMware Server については 1.0.6 で対応されています (vmware.com 自身が誤記、今は直ってます)。shutaro さん情報ありがとうございます。

Opera 9.5 リリース
(slashdot.jp, 2008.06.12)

 Opera 9.5 がリリースされています。新機能などについてはプレスリリースを参照なのですが、2 件の新規セキュリティ欠陥もあわせて修正されています。9.50 beta にだけ存在したものなのか、それとも 9.27 以前にも存在したものなのかは不明です。

 おや、KB884 は何……と思ったら、Changes in Keyboard Shortcuts Between Opera 9.27 and Opera 9.50 でした。Firefox 風になったらしいので、旧来のショートカットに慣れている人は注意。

 Opera 9.50 リリースノートの Security セクションには Advisory: Certain characters can obscure the page address もあるのですが、これは Opera 9.26 で修正されているものです。

 その他、Opera Fraud Protection を強化したとか、EV SSL に対応したとか、SSL v2 は無効になったとか、いろいろ。Opera は軽くて好きなのですが、Opera だとうまく見れないページってけっこう多いんですよね……。Firefox への対応はけっこう広まってきている感じなのですが、Opera はまだまだです。

XREAの無料サービスで表示される広告内にウィルス
(リネージュ資料室, 2008.06.11)

 XREA が使用している広告サーバ imgj.xrea.com は 5 台で構成されているようだが、

% host imgj.xrea.com
imgj.xrea.com is an alias for j1.ax.xrea.com.
j1.ax.xrea.com has address 202.181.97.140
j1.ax.xrea.com has address 202.181.97.153
j1.ax.xrea.com has address 202.229.187.26
j1.ax.xrea.com has address 210.153.116.18
j1.ax.xrea.com has address 59.106.22.138

 このうち 202.181.97.153 が汚染されている模様。リネージュ資料室さん情報ありがとうございます。

% jwhois 202.181.97.153
(中略)
Network Information: [ネットワーク情報]
a. [IPネットワークアドレス]     202.181.96.0-202.181.107.255
b. [ネットワーク名]             SAKURA-NET
f. [組織名]                     エスアールエス・さくらインターネット株式会社

 またさくらさんか……。リネージュ資料室さんによると:

改竄されたのは、広告枠を表示するHTMLです。

http://imgj.xrea.com/id_iframe.html

このファイルの置かれているサーバは、DNSラウンドロビンで5台のサーバが割り当てられていますが、そのうち202.181.97.153に置かれたものだけが改竄されています。

その中に、次のようにファイルが呼び出されるスクリプトが置かれています。

http://1039045744:81/jp.js
→ http://1039045744:81
→ http://1039045744:81/show.php

最後のshow.phpは、解析を妨げるためかwgetなどで取って来ると404エラーを偽装しますが、条件によっては次のように悪意あるコードが返されます。

http://so.7walker.net/index.php?site=http%3A%2F%2Ffccja.com%3A81%2Fshow.php&hua=

最終的には http://1039045744:81/taa.gif (中身は実行ファイル) をインストールさせようとします。

Flash Playerが最新であれば被害に遭うことはないはずですが、複数ブラウザ利用者はアップデート漏れも結構あるようです。人気のあるホスティングサービスだけに、このまま放置されれば今後も被害が広がって行きそうで心配です。

 リネージュ資料室さん情報ありがとうございます。関連:

2008.06.18 追記:

 リネージュ資料室さんからは、昨日、次のメールを頂いていました。(ありがとうございます)

先日お知らせしたXREAの無料サービスで表示される広告内にウィルスが埋め込まれた件は、今日対処されたようなのでお知らせします。ただし、公式アナウンスはありません。
広告サーバ5台のうち、汚染されたサーバを含む4台でファイルが更新され、ウィルス仕込みのスクリプトが削除されました。しかし、なぜか1台 (210.153.116.18) だけは、古いファイルのままです。
対処されて「やれやれ」と言ったところではあるのですが、運営会社から何のアナウンスもないのが気になります。

 この件、昨晩ようやく XREA からアナウンスされたようです。

2008.08.10 追記:

 またヤラレてたんじゃないかという話があるそうで: アカウントハック対策・セキュリティ 総合スレ #667〜 (mmobbs.com)。いちFFプレイヤーさん情報ありがとうございます。 (typo fixed: いちネトゲファンさん感謝)

2008.08.11 追記:

 関連情報。いちFFプレイヤーさん情報ありがとうございます。


2008.06.12

追記

Microsoft 2008 年 6 月のセキュリティ情報

 MS08-031 - IE 累積的 patch で直っている非セキュリティな欠陥は、KB950759 によると 4 つ。

DNSが抱えるリスクと最新対応策〜DNSの安定運用に向けて
(Internet Watch, 2008.06.12)

BIND 9.5でキャッシュポイズニング対策として実装された(use-queryport-pool)オプション機能を有効にした場合などの実例が示された。

 えっ! と思って BIND 9 Administrator Reference Manual (BIND 9.5 対応版) を見ると、 Chapter 6. BIND 9 Configuration Reference に use-queryport-pool / queryport-pool-ports / queryport-pool-updateinterval があるなあ。デフォルト有効。

The "clean all" command in the diskpart.exe utility does not delete all the data on a disk on a Windows Server 2003-based computer
(Microsoft, 2008.06.11)

 Windows Server 2003 の diskpart で clean all を実行すると、「すべてのセクタをゼロで埋めて、ドライブに格納されているデータを完全に削除」するはずが、最初の 1MB セクタしか clean しない。これは深刻な情報漏曳を招きかねない。

 Virtual Disk Service (VDS) サービスが腐っているそうで、Windows Server 2003 SP1 / SP2 用の HotFix があるそうです。

いろいろ (2008.06.12)
(various)

2008.09.09 追記:

 CORE-2008-0125: CitectSCADA ODBC service vulnerability の件、Metasploit モジュールとして exploit が公開された模様。


2008.06.11

SNMPv3 を実装した複数製品の認証回避の脆弱性に関する注意喚起
(JPCERT/CC, 2008.06.11)

 SNMPv3 の認証機能を実装した製品の多くに欠陥。HMAC の処理に重大な欠陥があり、認証処理を容易に通過してしまうような攻略パケットを作成することが可能。ただし、ユーザ名を知っていないと攻撃できない。 CVE-2008-0960

Microsoft 2008 年 6 月のセキュリティ情報
(Microsoft, 2008.06.11)

 予定どおりにリリースされたようです。緊急 x 3、重要 x 3、警告 x 1。

 関連:

2008.06.12 追記:

 MS08-031 - IE 累積的 patch で直っている非セキュリティな欠陥は、KB950759 によると 4 つ。

2008.06.15 追記:

 関連:

2008.06.20 追記:

 MS08-030 - 緊急: Bluetooth スタックの脆弱性により、リモートでコードが実行される (951376) の、Windows XP SP2 / SP3 用の修正プログラムが再リリースされています。 Windows XP x64 Edition / x64 Edition SP2 用の修正プログラムは変化なしです。

なぜ、マイクロソフトはこのセキュリティ更新プログラムを 2008 年 6 月 20 日に再提供したのですか?
Windows XP Service Pack 2 および Windows XP Service Pack 3 に影響を及ぼす問題のため、マイクロソフトは マイクロソフト セキュリティ情報 MS08-030 - Bluetooth スタックの脆弱性により、リモートでコードが実行される (951376) で提供した更新プログラムを再提供しました。マイクロソフト セキュリティ情報 MS08-030 で提供した Windows XP Service Pack 2 および Windows XP Service Pack 3 用の更新プログラムはこのセキュリティ情報で説明している脆弱性を十分に解決しませんでした。このセキュリティ更新プログラムのすべてのその他のバージョンについては、このセキュリティ情報で説明している問題に対する保護を提供します。
マイクロソフトは Windows XP Service Pack 2 および Windows XP Service Pack 3 に影響を及ぼすセキュリティ更新プログラムの改訂版を提供することをお知らせするために、このセキュリティ情報を再公開しました。Windows XP Service Pack 2 および Windows XP Service Pack 3 を実行しているお客様はこの新しいセキュリティ更新プログラムをダウンロードし、適用してください。Windows XP Professional x64 Edition、Windows XP Professional x64 Edition Service Pack 2 および Windows Vista のすべてのサポートされているバージョンを実行しており、このセキュリティ情報で最初に提供したオリジナルのセキュリティ更新プログラムを既に適用しているお客様は、さらなる措置を講じる必要はありません。影響を受けるセキュリティ更新プログラムの改訂版は、自動更新、Windows Update、Windows Server Update Services など、オリジナルのセキュリティ更新プログラムと同じ配布方法で利用可能となる予定です。

 関連: MS08-030 - 更新プログラム V2 (日本のセキュリティチーム, 2008.06.20)


2008.06.10

追記

X.Org security advisory: multiple vulnerabilities in the X server

 JVN#88935101 - X.Org Foundation 製 X サーバにおけるバッファオーバーフローの脆弱性 (JVN, 2008.06.10)。CVE-2008-0006 - PCF Font parser buffer overflow の件。

いろいろ (2008.06.05)

 Low-risk vulnerability in kl1.sys driver is closed (kaspersky, 2008.06.03) の件、日本語情報が出ていました。 kl1.sysドライバの脆弱性[危険度:低]の修正 (kaspersky.co.jp, 2008.06.09)

Windows XP SP3のレジストリ破損問題、マイクロソフト作成のexeファイルが原因

  Windows XP SP3のレジストリ破損問題、シマンテックが対応ソフトをリリース  「Nortonの一部機能も原因」と責任の一部を認める (computerworld, 2008.06.09)。なんだ、結局 Norton もアレだったんじゃん。 参照: FAQ: Upgrading to Windows XP Service Pack 3 or Windows Vista Service Pack 1 with your Norton 2008 product installed (Symantec, 2008.06.05)

About the security content of QuickTime 7.5
(Apple, 2008.06.09)

 QuickTime 7.5 登場。5 種類の欠陥が修正されている。

 QuickTime ダウンロードページって、スクリプトを有効にしないと Windows 版を get できませんね……。


2008.06.09


2008.06.08


2008.06.07


2008.06.06

マイクロソフト セキュリティ情報の事前通知 - 2008 年 6 月
(Microsoft, 2008.06.06)

 もうそんな季節。

 PGM って何? Reliable Multicast Programming (PGM) (MSDN) のこと?

This section describes the Pragmatic General Multicast (PGM) multicast protocol implementation in Windows, often referred to as reliable multicast. Reliable multicast is implemented through Windows Sockets in Windows Server 2003 and later.
Windows XP: PGM is only supported when Microsoft Message Queuing (MSMQ) 3.0 is installed.

 関連: 2008年6月のセキュリティリリース予定 (日本のセキュリティチーム, 2008.06.06)。PGM は上記のとおりでよいようです。


2008.06.05

SKYPE-SB/2008-003: Skype File URI Security Bypass Code Execution Vulnerability
(Skype, 2008.06.04)

 Skype for Windows 3.8.*.115 以前に欠陥。Skype for Windows における file: URI の扱いに欠陥があり、攻略 file: URI をクリックすると任意のコードが実行される。 CVE-2008-1805 CVE-2008-2545

 Skype for Windows 3.8.0.139 で修正されている。

いろいろ (2008.06.05)
(various)

2008.06.10 追記:

 Low-risk vulnerability in kl1.sys driver is closed (kaspersky, 2008.06.03) の件、日本語情報が出ていました。 kl1.sysドライバの脆弱性[危険度:低]の修正 (kaspersky.co.jp, 2008.06.09)

追記

不正アクセスに伴うお客様情報流出に関するお詫びとお知らせ

 個人情報流出に関する補足のお知らせ (サウンドハウス, 2008.06.04)。クレジットカードはまだ使えませんが、もうすぐ使えるようになるっぽい?

只今クレジットカード会社と最終の調整を致しておりますので、今暫くお待ちくださいますようお願い申しあげます。

 あと、「プレスリリースを発表した理由」が興味深いですねえ。

それには大きく2つの理由がありました。まず、被害の詳細をセキュリティ会社と共に調査して行く内に、サウンドハウスが遭遇した問題はほんの氷山の一角にしかすぎず、実際には多くの企業が被害を受けている可能性が高いことを知ったからです。(中略)
 もう一つの理由は、クレジットカード会社の対応に苦慮したという点です。

 「もう一つの理由」の方が記述量が多いですね……。やっぱりそちらが主なのかな。

 弊社にとってもクレジットカードの存在は重要です。しかしその依存度は、まだ売り上げの3割程度であり、業界の最大手という立場から、臆することなく、クレジットカード会社と対等に意見を交わすことができる加盟店の一つであることに違いはなく、自分が語らなければ一体誰が本当のことを語るのであろうかという思いがつのり、プレスリリースに至った次第です。

 「売り上げの3割程度」でしかないのに、利用再開のためにかけなければならないコストが大きすぎる、ということなのだろうなあ。


2008.06.04


2008.06.03

いろいろ (2008.06.03)
(various)


2008.06.02

FFFTP の FTP クライアントにおけるディレクトリトラバーサルの脆弱性
(vuln.sg, 2008.05.31)

 FFFTP 1.96b (最新版) に欠陥。 .. バグ (ディレクトリ横断バグ) があり、攻略 FTP サーバにアクセスすると、ファイルのダウンロードにおいて、任意の場所にファイルをダウンロードさせられる恐れがある。 CVE-2008-6424

 修正版は開発中。

2008.08.28 追記:

 FFFTP 1.96c で修正されました。 尾上さん情報ありがとうございます。


[セキュリティホール memo]
私について