セキュリティホール memo - 2009.08

Last modified: Wed Apr 20 13:46:13 2011 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2009.08.31

追記

Windows で自動再生機能への更新します。

 関連: 自動実行(自動再生/AutoPlay/Autorun)の動作変更 (日本のセキュリティチーム, 2009.08.28)

スパイウェアな Firefox アドオン "Adobe Flash Player 0.2" が出現
(various)

 このへん:


2009.08.30

いろいろ (2009.08.30)
(various)


2009.08.29

追記

無線LANのWPAをわずか数秒から数十秒で突破する新しい攻撃方法が登場、早期にWPA2に移行する必要あり

 A Practical Message Falsification Attack on WPA (2009 Joint Workshop on Information Security)

Apache.org hack
(F-Secure blog, 2009.08.28)

 apache.org がハクられた模様。 apache.org からの報告: apache.org downtime - initial report (Apache Infrastructure Team, 2009.08.28)

 日本語版: Apache.orgがハック (エフセキュアブログ, 2009.08.28)


2009.08.28

いろいろ (2009.08.28)
(various)

ウェブユーザーの約8割が、脆弱性のあるバージョンのFlash・Acrobatを利用
(ZDNet, 2009.08.28)

 世の中そんなもん。


2009.08.27


2009.08.26

情報セキュリティガバナンス実態調査2008の公表について
(経産省, 2009.08.17)

 複数企業の実例が紹介されている。 単なるアンケートだけでなくヒアリングを交えており、たいへん興味深い。

Windows で自動再生機能への更新します。
(Microsoft KB 971029, 2009.08.25)

 Windows XP / Server 2003 / Vista / Server 2008 の自動実行まわりの挙動を、Windows 7 と同様にする patch。ようやく出ました。Ilion さん情報ありがとうございます。

 マイクロソフト セキュリティ アドバイザリ (967940) Windows Autorun (自動実行) 用の更新プログラム も改訂されてます。

2009.08.31 追記:

 関連: 自動実行(自動再生/AutoPlay/Autorun)の動作変更 (日本のセキュリティチーム, 2009.08.28)

2011.02.09 追記:

 971029 更新プログラムが自動更新で配布されるようになりました。関連:

追記

Microsoft 2009 年 7 月のセキュリティ情報

 MS09-029 - 緊急: Embedded OpenType フォント エンジンの脆弱性により、リモートでコードが実行される (961371) の Windows XP 用出し直し版 patch が、自動更新で配布されています。

なぜこのセキュリティ情報は 2009 年 8 月 26 日に更新されたのですか?
マイクロソフトはこのセキュリティ情報を更新し、印刷スプーラーが応答しなくなる問題を解決するため、サポートされている日本語版のすべてのエディションの Windows XP 用の更新プログラムを自動更新、Windows Update、Windows Server Update Service で再提供したことをお伝えしました。Windows XP Service Pack 2、Windows XP Service Pack 3 または Windows XP Professional x64 Edition Service Pack 2 の日本語版の更新プログラムを既にインストールされているお客様は、自動更新で再度提供している更新プログラムをインストールして、上記で記載している印刷スプーラーの問題を解決する必要があります。(中略) また、2009 年 8 月 12 日に再リリースした Windows XP 用の 改定版セキュリティ更新プログラムを手動でインストールされてたお客様は、この改定版のセキュリティ更新プログラムを再度インストールする必要はありません。

[SA34627] SquirrelMail Cross-Site Request Forgery Vulnerability

 CSRF in all forms (squirrelmail.org, 2009.08.12)。patch が掲載されています。 CVE-2009-2964

Google Chrome Stable Update: Security fixes
(Google Chrome Releases, 2009.08.25)

 Google Chrome 2.0.172.43 登場。以下が修正されている。

 あと、MD2 / MD4 で署名された証明書は無効とするようになったそうで。


2009.08.25

追記

ベクターおよび窓の杜で配布されていたソフトウェアの一部が Induc に感染していたことが判明

 上西さんから (情報ありがとうございます)

見事にぶち当たっていたので、少しご報告をさせていただきます。

窓の杜から Glary Utilities の 2.15.0.728 をダウンロードしたのが 2009/08/16 の15時ごろ。そのあとすぐにインストールをしたのですが、 Kaspersky Internet Security 2009 が Virus.Win32.Induc.a を検知しました。検知したファイルは、 encryptexe.exe と joinexe.exe の2つです。

すぐに Win32.Induc をキーワードに Google で検索をかけてみたのですが、検索結果をパッと見た感じでめぼしい情報が見つからなかったため、 Kaspersky の誤検知かもと思って今日まで放置してましたが…。

 Kaspersky の対応は、Symantec や McAfee よりも早かったみたいですね。 Trendmicro は最も遅い部類か。


2009.08.24

ベクターおよび窓の杜で配布されていたソフトウェアの一部が Induc に感染していたことが判明
(various)

 例の Delphi ウイルスの件。

窓の杜に収録していた「Glary Utilities」および「Glary Undelete」旧バージョンのウイルス感染について (窓の杜, 2009.08.22)

 窓の杜では「Glary Utilities」と「Glary Undelete」が感染していたそうで。

窓の杜では (中略) ライブラリにソフトを収録する際、「ウイルスバスター2009」「Symantec AntiVirus Corporate Edition」「ESET Smart Security」という3つのセキュリティ対策ソフトでウイルス等をチェックしたのち、収録作業を行っております。(中略) 「Glary Utilities」v2.15.0.728は8月6日に、「Glary Undelete」v1.4.0.211は7月22日に、その時点で最新の定義ファイルを利用してチェックを行いました。しかしながら、この時点では各社ともに最新の定義ファイルでも、“W32.Induc.A”の検出に対応しておりませんでした。

 例の Delphi ウイルス は、広く知られるようになる、少なくとも 1 か月くらい前から存在したのですね……。

 現在窓の杜で配布している「Glary Utilities」v2.15.0.738 と「Glary Undelete」v1.5.0.232 は、感染していないものだそうです。

「Delphi」を狙ったウイルスの弊社公開ソフトへの感染について(追記2) (ベクター, 2009.08.23)

 BellTheCat / BOB / CLips / HiG(BeS Tools)/ kOSU / OSPE / 壱番館 への感染を確認。また、 PickBack / PickBack2 および Wise Disk Cleaner 4 Free4 / WiseRegistryCleanerFree に感染の疑いだそうで。

上記のソフトをはじめ、現在公開されているソフトはすべて「ウイルスバスター」「ノートンアンチウイルス」「McAfee VirusScan」をはじめとしたスキャナでウイルス検査を行った上で公開しております。
今回感染が確認されたソフトに関しては、8月17日までに公開したものですが、各ウィルス対策ソフトのパターンが「Induc」に対応したのが8月18日以降であったため、公開時には感染を確認することができませんでした。

 Wise Disk Cleaner 4 Free4 / WiseRegistryCleanerFree については、「6/16〜8/5までの公開分に嫌疑が出てい」るのだそうで。 本当だとすると、2 か月前くらいから存在したのかなあ。

 ベクターは、現在も調査を続行中のようです。

2009.08.25 追記:

 上西さんから (情報ありがとうございます)

見事にぶち当たっていたので、少しご報告をさせていただきます。

窓の杜から Glary Utilities の 2.15.0.728 をダウンロードしたのが 2009/08/16 の15時ごろ。そのあとすぐにインストールをしたのですが、 Kaspersky Internet Security 2009 が Virus.Win32.Induc.a を検知しました。検知したファイルは、 encryptexe.exe と joinexe.exe の2つです。

すぐに Win32.Induc をキーワードに Google で検索をかけてみたのですが、検索結果をパッと見た感じでめぼしい情報が見つからなかったため、 Kaspersky の誤検知かもと思って今日まで放置してましたが…。

 Kaspersky の対応は、Symantec や McAfee よりも早かったみたいですね。 Trendmicro は最も遅い部類か。

2009.09.01 追記:

 日本の雑誌にも: DTMマガジン9月号付録DVDの収録フリーソフトが「Induc」感染 (Internet Watch, 2009.08.28)


2009.08.23


2009.08.22

いろいろ (2009.08.22)
(various, 2009.08.22)


2009.08.21

Thunderbird 2.0.0.23 リリースノート
(mozilla.jp, 2009.08.21)

 MFSA2009-42: SSL で保護された通信の情報漏えい が修正されています。


2009.08.20

GLSA 200908-07 / Compress-Raw-Zlib Compress-Raw-Bzip2: Perl Compress::Raw modules: Denial of Service
(gentoo.org, 2009.08.18)

 Compress-Raw-Zlib の件 CVE-2009-1391いろいろ (2009.06.12) で書いたけど、似たような話が Compress-Raw-Bzip2 にもあって CVE-2009-1884、2.020 以降で修正されている模様。

DB2 UDB Version 8.1 FixPak 18 (also known as Version 8.2 FixPak 11)
(IBM, 2009.08.14)

 セキュリティ修正が含まれているようです: CVE-2009-2858 CVE-2009-2859 CVE-2009-2860


2009.08.19

APSB09-12: Security Update: Hotfixes available for ColdFusion and JRun
(Adobe, 2009.08.17)

 ColdFusion 8.0.1 以前、および JRun 4.0 に複数の欠陥。

 patch があるので適用すればよい。関連: JVN#21388501: ColdFusion におけるクロスサイトスクリプティングの脆弱性 (JVN, 2009.08.19)

2009.10.23 追記:

 APSB09-12: セキュリティアップデート:ColdFusionおよびJRun用ホットフィックス公開 (Adobe, 2009.10.20)

追記

Safari 4.0.3 のセキュリティコンテンツについて


2009.08.18

[Hiki-dev:01292] Hiki 0.8.8.1 released
(sourceforge.jp, 2009.08.17)

 Hiki 0.8.8.1 登場。「Wikiスタイルのパーサの DoS 脆弱性」が修正されています。 この記述を見る限りでは、Hiki 0.8.8 にのみ存在する欠陥なのかな。


2009.08.16

追記

Microsoft 2009 年 8 月のセキュリティ情報

 以下を追記:


2009.08.15

マイクロソフト セキュリティ アドバイザリ(973811) 認証に対する保護の強化
(Microsoft, 2009.08.12)

 新機能を追加 (ただしデフォルト OFF) だそうで。

2009.12.10 追記:

 SA 973811 が更新された。

2009/12/09: このアドバイザリを更新し、「よく寄せられる質問 (FAQ)」 に、Windows HTTP Services、HTTP プロトコル スタック、インターネット インフォメーション サービス (IIS) に関連する 3 種類のセキュリティ以外の更新プログラムの情報を追加しました。

 なになに……

2009 年 12 月 9 日、マイクロソフトは次の更新プログラムを公開しました。

 ふむん……。

2010.06.29 追記:

 2010.06.09 付で、 Windows XP / Server 2003 / Vista / Server 2008 上の .NET Framework 2.0 / 3.0 への対応が追加されています。 マイクロソフト セキュリティ アドバイザリ(973811) 認証に対する保護の強化 を参照。 ただし、副作用に注意:

2010.09.15 追記:

 2010.09.15 付で、Outlook Express および Windows メールへの対応が追加されています。

2011.04.20 追記:

 2010.10.13 付で SMB、2010.12.30 付で Office Live Meeting Service Portal、2011.04.13 付で Outlook 2007 の対応が追加されてます。

 しかし、Outlook 2007 の修正プログラム 2509470 を適用すると、障害が発生する事例がある模様です。nkz さん情報ありがとうございます。

追記

Microsoft 2009 年 8 月のセキュリティ情報

MS09-036 - 重要: Microsoft Windows の ASP.NET の脆弱性により、サービス拒否が起こる (970957)

 Windows Vista / Server 2008 上の NET Framework 2.0 / 3.5 に欠陥。 IIS 7.0 + ASP.NET 統合モードにおいて欠陥が発現、攻略 HTTP リクエストによる DoS 攻撃が可能 (「影響を受ける Web サーバー上のアプリケーション プールが、再起動されるまで応答を停止する」)。 CVE-2009-1536。 Exploitability Index: 3

MS09-037 - 緊急: Microsoft ATL (Active Template Library) の脆弱性により、リモートでコードが実行される (973908)

 MS09-034MS09-035 のつづき。欠陥のある ATL を用いて作成された、各種 Microsoft 製アプリが修正されている。欠陥の類別としては次の 5 つが挙げられている。

  • Microsoft Video ActiveX コントロールの脆弱性 - CVE-2008-0015。 Exploitability Index: 1

  • ATL ヘッダーの Memcopy の脆弱性 - CVE-2008-0020。 Exploitability Index: 1

  • ATL の未初期化オブジェクトの脆弱性 - CVE-2009-0901

  • ATL COM の初期化の脆弱性 - CVE-2009-2493

  • ATL のオブジェクトの種類の不一致の脆弱性 - CVE-2009-2494。 Exploitability Index: 1

CVE-2009-0901, CVE-2009-2493 は MS09-035 で (も) 修正されている件。

CVE-2008-0015, CVE-2008-0020 って……去年じゃん。

MS09-038 - 緊急: Windows Media ファイル処理における脆弱性により、リモートでコードが実行される (971557)

 Windows 2000 / XP / Server 2003 / Vista / Server 2008 における、 Windows Media ファイルの処理に 2 つの欠陥。

  • 不正な形式の AVI ヘッダーの脆弱性 - CVE-2009-1545。 Exploitability Index: 2

  • AVI 整数のオーバーフローの脆弱性 - CVE-2009-1546。 Exploitability Index: 2

MS09-039 - 緊急: WINS の脆弱性により、リモートでコードが実行される (969883)

 Windows 2000 Server / Server 2003 の WINS に、任意のコードの実行を許す欠陥。

  • WINS のヒープ オーバーフローの脆弱性 - CVE-2009-1923。 Exploitability Index: 1

  • WINS の整数のオーバーフローの脆弱性 - CVE-2009-1924。 こちらは Windows 2000 Server のみ。 Exploitability Index: 2

MS09-040 - 重要: メッセージ キューの脆弱性により、特権が昇格される (971032)

 Windows 2000 / XP / Server 2003 / Vista に欠陥。 Windows Message Queuing Service (MSMQ) に欠陥があり、local user による local SYSTEM 権限の獲得が可能。CVE-2009-1922。 Exploitability Index: 1

MS09-041 - 重要: ワークステーション サービスの脆弱性により、特権が昇格される (971657)

 Windows XP / Server 2003 / Vista / Server 2008 に欠陥。 Windows ワークステーションサービスに二重 free する欠陥があり、 local user による local SYSTEM 権限の獲得が可能。 CVE-2009-1544。Exploitability Index: 1

MS09-042 - 重要: Telnet の脆弱性により、リモートでコードが実行される (960859)

 Windows 2000 / XP / Server 2003 / Vista / Server 2008 に欠陥。 Telnet サービスに欠陥があり、こんな攻撃が可能となるみたい。 CVE-2009-1930。Exploitability Index: 1

  1. 攻略 telnet サービスに儀牲者を NTLM 認証で telnet 接続させる

  2. 上記の telnet 接続における認証クリデンシャルを再利用して、儀牲者の telnet サービスに接続する

  3. 悪の限りをつくす

CVE-2000-0834 に関連する欠陥だそうで。Exploitability Index

MS09-043 - 緊急: Microsoft Office Web コンポーネントの脆弱性により、リモートでコードが実行される (957638)

 Office XP / 2003、Office 2000 / XP / 2003 / 2007 Web Components、 Internet Security and Acceleration Server 2004 / 2006、 BizTalk Server 2002、Visual Studio .NET 2003、Office Small Business Accounting 2006 に 4 つの欠陥。 いずれも Office Web コンポーネントの ActiveX コントロールに欠陥があり、攻略 Web ページによって任意のコードを実行できる。Exploitability Index: 1

  • Office Web コンポーネントのメモリの割り当ての脆弱性 - CVE-2009-0562

    Office Web コンポーネントの ActiveX コントロールに欠陥があり、攻略 Web ページによって任意のコードを実行できる。

  • Office Web コンポーネントのヒープの破損の脆弱性 - CVE-2009-2496

  • Office Web コンポーネントの HTML スクリプトの脆弱性 - CVE-2009-1136

  • Office Web コンポーネントのバッファー オーバーフローの脆弱性 - CVE-2009-1534

MS09-044 - 緊急: リモート デスクトップ接続の脆弱性により、リモートでコードが実行される (970927)

 Windows 2000 / XP / Server 2003 / Vista / Server 2008、および Remote Desktop Connection Client for Mac 2.0 に 2 つの欠陥。

  • リモート デスクトップ接続のヒープ オーバーフローの脆弱性 - CVE-2009-1133

    RDP クライアント (リモートデスクトップ接続) に欠陥があり、攻略 RDP サーバによって任意のコードを実行できる。 Exploitability Index: 2

  • リモート デスクトップ接続の ActiveX コントロールのヒープ オーバーフローの脆弱性 - CVE-2009-1929

    ターミナルサービスクライアントの ActiveX コントロールに欠陥があり、 攻略 Web ページによって任意のコードを実行できる。 Exploitability Index: 1

    この欠陥があるのは、Windows XP SP2 + RDP バージョン 6.1 の場合と、 Windows Vista SP1 / SP2、 Windows Server 2008 gold / SP2 の場合のみ (いずれも RDP バージョンは 6.1)。 Windows Vista gold (RDP バージョンは 6.0) にはこの欠陥はない。

SSLトラフィックを傍受する“ヌルターミネーション攻撃”—— 専門家が報告  ヌル文字の解釈を間違えるプログラムを利用

 libcurl embedded zero in cert name (curl.haxx.se, 2009.08.12)。curl / libcurl 7.4 〜 7.19.6 に欠陥があり、 curl / libcurl 7.19.6 で修正されている。 CVE-2009-2417

いろいろ (2009.08.15)
(various)

2009.09.08 追記:

 WordPressの旧版を狙うワーム出現、最新版に更新を (ITmedia, 2009.09.08)。CVE-2009-2762 を狙うワームが出てきたそうで。

[Full-disclosure] Linux NULL pointer dereference due to incorrect proto_ops initializations
(Full-disclosure ML, 2009.08.15)

 Linux 2.4.4 〜 2.4.37.4 / 2.6.0 〜 2.6.31-rc5 に欠陥。 proto_ops 構造体の初期化に欠陥があり、local user による権限上昇が可能。 CVE-2009-2692 。 攻略コードが公開されている (CVE 参照)。

2009.09.12 追記:

 関連:

[SA34627] SquirrelMail Cross-Site Request Forgery Vulnerability
(secunia, 2009.08.15)

 SquirrelMail 1.4.17 に CSRF 欠陥があり、1.4.20 RC1 で修正されたそうです。

2009.08.26 追記:

 CSRF in all forms (squirrelmail.org, 2009.08.12)。patch が掲載されています。 CVE-2009-2964


2009.08.14

追記

BIND Dynamic Update DoS


2009.08.13

追記

SSLトラフィックを傍受する“ヌルターミネーション攻撃”—— 専門家が報告  ヌル文字の解釈を間違えるプログラムを利用

 GnuTLS 2.8.2 登場。GNUTLS-SA-2009-4, CVE-2009-2730

Safari 4.0.3 のセキュリティコンテンツについて
(Apple, 2009.08.12)

 Safari 4.0.3 登場。6 件の欠陥が修正されている。

2009.08.19 追記:

 http://www.milw0rm.com/exploits/9454

Microsoft 2009 年 8 月のセキュリティ情報
(Microsoft, 2009.08.12)

 予定どおり出ました。(あとで追記)

 関連:

2009.08.15 追記:

MS09-036 - 重要: Microsoft Windows の ASP.NET の脆弱性により、サービス拒否が起こる (970957)

 Windows Vista / Server 2008 上の NET Framework 2.0 / 3.5 に欠陥。 IIS 7.0 + ASP.NET 統合モードにおいて欠陥が発現、攻略 HTTP リクエストによる DoS 攻撃が可能 (「影響を受ける Web サーバー上のアプリケーション プールが、再起動されるまで応答を停止する」)。 CVE-2009-1536。 Exploitability Index: 3

 関連:

MS09-037 - 緊急: Microsoft ATL (Active Template Library) の脆弱性により、リモートでコードが実行される (973908)

 MS09-034MS09-035 のつづき。欠陥のある ATL を用いて作成された、各種 Microsoft 製アプリが修正されている。欠陥の類別としては次の 5 つが挙げられている。

  • Microsoft Video ActiveX コントロールの脆弱性 - CVE-2008-0015。 Exploitability Index: 1

  • ATL ヘッダーの Memcopy の脆弱性 - CVE-2008-0020。 Exploitability Index: 1

  • ATL の未初期化オブジェクトの脆弱性 - CVE-2009-0901

  • ATL COM の初期化の脆弱性 - CVE-2009-2493

  • ATL のオブジェクトの種類の不一致の脆弱性 - CVE-2009-2494。 Exploitability Index: 1

 CVE-2009-0901, CVE-2009-2493 は MS09-035 で (も) 修正されている件。

 CVE-2008-0015, CVE-2008-0020 って……去年じゃん。

 関連:

MS09-038 - 緊急: Windows Media ファイル処理における脆弱性により、リモートでコードが実行される (971557)

 Windows 2000 / XP / Server 2003 / Vista / Server 2008 における、 Windows Media ファイルの処理に 2 つの欠陥。

  • 不正な形式の AVI ヘッダーの脆弱性 - CVE-2009-1545。 Exploitability Index: 2

  • AVI 整数のオーバーフローの脆弱性 - CVE-2009-1546。 Exploitability Index: 2

MS09-039 - 緊急: WINS の脆弱性により、リモートでコードが実行される (969883)

 Windows 2000 Server / Server 2003 の WINS に、任意のコードの実行を許す欠陥。

  • WINS のヒープ オーバーフローの脆弱性 - CVE-2009-1923。 Exploitability Index: 1

  • WINS の整数のオーバーフローの脆弱性 - CVE-2009-1924。 こちらは Windows 2000 Server のみ。 Exploitability Index: 2

 関連:

MS09-040 - 重要: メッセージ キューの脆弱性により、特権が昇格される (971032)

 Windows 2000 / XP / Server 2003 / Vista に欠陥。 Windows Message Queuing Service (MSMQ) に欠陥があり、local user による local SYSTEM 権限の獲得が可能。CVE-2009-1922。 Exploitability Index: 1

 関連:

MS09-041 - 重要: ワークステーション サービスの脆弱性により、特権が昇格される (971657)

 Windows XP / Server 2003 / Vista / Server 2008 に欠陥。 Windows ワークステーションサービスに二重 free する欠陥があり、 local user による local SYSTEM 権限の獲得が可能。 CVE-2009-1544。Exploitability Index: 1

 関連:

MS09-042 - 重要: Telnet の脆弱性により、リモートでコードが実行される (960859)

 Windows 2000 / XP / Server 2003 / Vista / Server 2008 に欠陥。 Telnet サービスに欠陥があり、こんな攻撃が可能となるみたい。 CVE-2009-1930。Exploitability Index: 1

  1. 攻略 telnet サービスに儀牲者を NTLM 認証で telnet 接続させる

  2. 上記の telnet 接続における認証クリデンシャルを再利用して、儀牲者の telnet サービスに接続する

  3. 悪の限りをつくす

CVE-2000-0834 に関連する欠陥だそうで。Exploitability Index

MS09-043 - 緊急: Microsoft Office Web コンポーネントの脆弱性により、リモートでコードが実行される (957638)

 Office XP / 2003、Office 2000 / XP / 2003 / 2007 Web Components、 Internet Security and Acceleration Server 2004 / 2006、 BizTalk Server 2002、Visual Studio .NET 2003、Office Small Business Accounting 2006 に 4 つの欠陥。 いずれも Office Web コンポーネントの ActiveX コントロールに欠陥があり、攻略 Web ページによって任意のコードを実行できる。Exploitability Index: 1

  • Office Web コンポーネントのメモリの割り当ての脆弱性 - CVE-2009-0562

    Office Web コンポーネントの ActiveX コントロールに欠陥があり、攻略 Web ページによって任意のコードを実行できる。

  • Office Web コンポーネントのヒープの破損の脆弱性 - CVE-2009-2496

  • Office Web コンポーネントの HTML スクリプトの脆弱性 - CVE-2009-1136

  • Office Web コンポーネントのバッファー オーバーフローの脆弱性 - CVE-2009-1534

 関連:

MS09-044 - 緊急: リモート デスクトップ接続の脆弱性により、リモートでコードが実行される (970927)

 Windows 2000 / XP / Server 2003 / Vista / Server 2008、および Remote Desktop Connection Client for Mac 2.0 に 2 つの欠陥。

  • リモート デスクトップ接続のヒープ オーバーフローの脆弱性 - CVE-2009-1133

    RDP クライアント (リモートデスクトップ接続) に欠陥があり、攻略 RDP サーバによって任意のコードを実行できる。 Exploitability Index: 2

  • リモート デスクトップ接続の ActiveX コントロールのヒープ オーバーフローの脆弱性 - CVE-2009-1929

    ターミナルサービスクライアントの ActiveX コントロールに欠陥があり、 攻略 Web ページによって任意のコードを実行できる。 Exploitability Index: 1

    この欠陥があるのは、Windows XP SP2 + RDP バージョン 6.1 の場合と、 Windows Vista SP1 / SP2、 Windows Server 2008 gold / SP2 の場合のみ (いずれも RDP バージョンは 6.1)。 Windows Vista gold (RDP バージョンは 6.0) にはこの欠陥はない。

 関連:

2009.10.28 追記:

 MS09-043 が更新された。

2009/10/28: このセキュリティ情報ページを更新し、検出の問題を解決する Microsoft Office 2003 Service Pack 3 および Microsoft Office 2003 Web Components Service Pack 3 用の更新プログラムのリリースをお知らせしました。これは検出の変更のみで、バイナリへの変更はありません。更新プログラムがシステムに正しくインストールされたお客様は、この更新プログラムを再インストールする必要はありません。

 ……エッ? Microsoft Update を実行していても、正常に適用されていなかった事例があるということですか?! MS09-043 は現在流行中の Gumblar Reloaded 方面でも利用されている攻撃界面ですから、 これは問題なのでは。


2009.08.12


2009.08.11

Subversion clients and servers up to 1.6.3 (inclusive) have heap overflow issues in the parsing of binary deltas
(subversion.tigris.org, 2009.08.07)

 Subversion 1.5.6 以前、および 1.6.0〜1.6.3 に欠陥。APR / APR-util の欠陥 CVE-2009-2412 に関連した欠陥があり、remote の認証済みユーザによって任意のコードを実行できる。 CVE-2009-2411

 Subversion 1.5.7 / 1.6.4 で修正されている。また、Subversion 1.5.x / 1.6.x 用の patch が添付されている。

Apache Portable Runtime 1.3.8 and APR-Utility 1.3.9 Released
(apache.org, 2009.08.06)

 Apache Portable Runtime (APR) core library 1.3.x および APR-util library 1.3.x に欠陥。

に buffer overflow する欠陥があり、remote から DoS 攻撃を実施できる (任意のコードの実行の可能性もある)。CVE-2009-2412

 APR 1.3.8 / APR-util 1.3.9 で修正されている。これにあわせて、APR 1.3.8 / APR-util 1.3.9 を同梱した Apache 2.2.13 がリリースされている (ChangeLog)。iida さん情報ありがとうございます。

 この欠陥は APR 0.9.x / APR-util 0.9.x にも存在するとされているが、現時点では SVN 版でのみ修正されている模様。CVE-2009-2412 参照。当然ながら、修正された APR / APR-util を同梱した Apache 2.0.x もリリースされていない。

2010.01.27 追記:

 APRライブラリおよびAPR-utilライブラリにおける脆弱性および脆弱性に対する修正プログラムの提供について (トレンドマイクロ, 2010.01.25)。InterScan Messaging Security 7.0 / 7.1 。


2009.08.10


2009.08.09

やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合
(高木浩光@自宅の日記, 2009.08.02)

 ニコニコ動画 for iPhone 1.4 以前に欠陥。第三者に知られる可能性のある、機器に固有の ID (UDID; Unique Device Identifier) をセッション ID として利用しているため、UDID を知った第三者によるなりすましが可能。

 ニコニコ動画 for iPhone Ver 1.05 で修正されている。

 関連: ケータイの流儀を常識と思いこむのは危険 (水無月ばけらのえび日記, 2009.08.05)

ツッコミがたくさん入っていますが、「流儀が違う」というのは、実は全くその通りなのですね。端末固有IDによる認証というのは、完全にケータイサイト固有の流儀です。重要なのは、その流儀が成立するにはシビアな条件があるということで、一言で言えば

* 端末固有IDが他人に漏れないか、あるいは詐称されないことが保証されている

ということです。この条件が無いと、他人の端末固有IDを詐称して認証を突破することができてしまいます。

 iPhone / iPod touch の UDID は、この条件が成立しないと。


2009.08.08

いろいろ (2009.08.08)
(various)

[SA36087] SquirrelMail Multiple Plugins Package Compromise
(secunia, 2009.08.04)

 SquirrelMail の web サーバが 2009.07.16 に改ざんされたのだが、その際、 以下の 3 つのプラグイン

のパッケージが改ざんされたバージョンに入れかえられていたそうで。 改ざんされたプラグインを使用すると、パスワード情報などが外部に漏洩するそうだ。 正しいプラグインの MD5 は以下のとおりだそうで。

a492922e5b0d2245d4e9bc255a7c5755  sasql-3.2.0.tar.gz
b143f2dc82f9e98dd43c632855255075  multilogin-2.4-1.2.9.tar.gz
2cff7c5d4f6f5d8455683bb5d96bb9fe  change_pass-3.0-1.4.0.tar.gz

2009.08.07

V1 DAT(Names.dat、Scan.dat、Clean.dat)の提供終了について
(マカフィー, 2009.08.06)

 ここ:

V1 DATの提供終了日を2009年12月31日(日本時間2010年1月1日)から2010年3月31日(日本時間2010年4月1日)に延期いたしました。 また、日本時間2010年4月2日以降は、SDAT、XDATや差分ファイルなどのV1 DATに関連したすべてのファイルがリリースされなくなります。

 「2009 年度末までは V1 利用可能」になった模様。

マイクロソフト セキュリティ情報の事前通知 - 2009 年 8 月
(Microsoft, 2009.08.07)

 つい先日定例外があったばかりなので、「えェッ! もう?!」という気分になりますね。おまけに、9 件もあります。緊急 x 5、重要 x 4。 Windows OS の修正が多いようですが、Office や Visual Studio、ISA、BizTalk、.NET Framework もあります。Client for Mac って何だ……Remote Desktop Connection Client for Mac のことか?

2009.08.13 追記:

 つづきはこちら


2009.08.06

いろいろ (2009.08.06)
(various)

APPLE-SA-2009-08-05-1 Security Update 2009-003 / Mac OS X v10.5.8
(Apple, 2009.08.06)

 Mac OS X 10.5.8 および Security Update 2009-003 (Mac OS X 10.4.11 用) が登場。18 種類の欠陥が修正されている。


2009.08.05

追記

Advance notification of Security Updates for Java SE

 JDK and JRE 6 Update 15 と JDK and JRE 5.0 Update 20 が一般公開されました。 SDK and JRE 1.4.2_22 と SDK and JRE 1.3.1_26 は EOL 過ぎてますから、一般公開はされません。

 椎名さん、やまぴ〜さん情報ありがとうございます。

Microsoft 2009 年 7 月のセキュリティ情報

 MS09-029のスプーラーの件と MS09-034 & MS09-035の更新 (日本のセキュリティチーム, 2009.08.05)。Microsoft でも MS09-029 patch による不具合を確認済で、現在対応作業中だそうだ。

マイクロソフト セキュリティ情報の事前通知 - 2009 年 7 月 (定例外)

 MS09-029のスプーラーの件と MS09-034 & MS09-035の更新 (日本のセキュリティチーム, 2009.08.05)。

  • MS09-034 の韓国語版 IE 6 patch に印刷関連の不具合があり、再リリースされた。 日本語版や英語版にこの不具合はない。

  • Windows Update や MBSA における MS09-035 patch の検出方法に不具合があり、適用済であるにもかかわらず「要適用」とされることがあった。検出方法を修正して対応。

いろいろ (2009.07.30)

 Squid 話つづき。一晩試してみたが、daily release 版 (20090804) でも落ちるなあ。

 あと、URL bar spoofing vulnerability (Mozilla Security Blog, 2009.07.28) については Firefox 3.5.2 / 3.0.13 で修正された模様。 MFSA 2009-44: 不正な URL での window.open() を通じたロケーションバーと SSL 表示の偽装 の件。

SSLトラフィックを傍受する“ヌルターミネーション攻撃”—— 専門家が報告  ヌル文字の解釈を間違えるプログラムを利用
(ComputerWorld.jp, 2009.07.31)

 NULL 話は、Firefox だと MFSA 2009-42: SSL で保護された通信の情報漏えい で修正された話 CVE-2009-2408 ですね。

 関連:

2009.08.13 追記:

 GnuTLS 2.8.2 登場。GNUTLS-SA-2009-4, CVE-2009-2730

2009.08.15 追記:

 libcurl embedded zero in cert name (curl.haxx.se, 2009.08.12)。curl / libcurl 7.4 〜 7.19.6 に欠陥があり、 curl / libcurl 7.19.6 で修正されている。 CVE-2009-2417

2009.09.08 追記:

 Qt patches released fixing potential security flaw - Patches for Qt versions 4.3.0 and newer available for download. (nokia, 2009.09.01)。Qt 4.3.0 用と Qt 4.4.x / 4.5.x 用の patch が用意されている。CVE-2009-2700

2009.09.25 追記:

 GNU wget 1.12 が登場しています。 CVE-2009-3490

2009.10.02 追記:

 BlackBerry browser dialog box does not clearly indicate mismatches between web site domain names and associated certificates (BlackBerry.com, 2009.09.30)

2009.10.21 追記:

 関連:

2009.10.22 追記:

 MS09-056 - 重要: Windows CryptoAPI の脆弱性により、なりすましが行われる (974571)CVE-2009-2510

2010.01.01 追記:

 sendmail 8.14.4 が公開されています。fix ではなく機能向上みたい。

SECURITY: Handle bogus certificates containing NUL characters in CNs by placing a string indicating a bad certificate in the {cn_subject} or {cn_issuer} macro. Patch inspired by Matthias Andree's changes for fetchmail.

無線LANのWPAをわずか数秒から数十秒で突破する新しい攻撃方法が登場、早期にWPA2に移行する必要あり
(gigazine, 2009.08.05)

 Wi-Fi 界のケンシロウ、森井昌克先生がまたやってしまった模様。たわばっ!

 ……今回の攻撃方法的には、ケンシロウというよりはジャギか?! 「おいお前、俺の名を言ってみろ!」

2009.08.29 追記:

 A Practical Message Falsification Attack on WPA (2009 Joint Workshop on Information Security)

2009.10.28 追記:

 関連:

インテルが新型SSDの販売を一時停止、データ破損のおそれ
(ComputerWorld.jp, 2009.08.04)

 Intel の SSD、X25-M と X18-M の新モデル (34nm プロセス採用品) に欠陥。

Intelによると、SSDでBIOSパスワードを設定し、その後パスワードを無効にするか、または変更してコンピュータをリブートしたときにのみデータ破損が発生する。この問題が発生したSSDは、操作不能になり、データを引き出すこともできなくなるという。

 BIOS パスワードを設定していない場合には、この欠陥は影響しないそうで。 修正版ファームウェアは準備中。

Firefox 3.5.2 / 3.0.13 リリース
(various, 2009.08.04)

 Firefox 3.5.2 / 3.0.13 がリリースされた。

 SSL がらみの修正が複数なされている。

MFSA 2009-42: SSL で保護された通信の情報漏えい

 ホスト名に NULL 文字を含む証明書の扱いが、多くの CA と Firefox とでは異なっているために、結果として、「あらゆるサイトで機能する証明書」を取得・利用できてしまい、SSL が何物をも保障しなくなってしまう。 CVE-2009-2408

 修正された版: Firefox 3.0.13 / 3.5

MFSA 2009-43: 証明書の正規表現パースにおけるヒープオーバーフロー

 証明書名の正規表現処理に欠陥があり、攻略証明書によって任意のコードを実行できる。CVE-2009-2404

 修正された版: Firefox 3.0.13 / 3.5

MFSA 2009-44: 不正な URL での window.open() を通じたロケーションバーと SSL 表示の偽装

 ロケーションバーにおける URL 表示を偽装できる欠陥がある。 さらに SSL 表示すら偽装できてしまうため、一見正常に SSL 接続できていても、それが本物サイトか偽物サイトなのかを判断するのは困難。 CVE-2009-2654

 修正された版: Firefox 3.0.13 / 3.5.2

 その他の修正:

MFSA 2009-38: 15 文字以上の DNS 名を含む SOCKS5 応答によるデータ破損

 15 文字以上の DNS 名を含む応答を SOCKS5 プロキシから受け取ると、後続の応答に含まれるデータストリームが破損してしまう。ただし、任意のコードの実行には発展しない。 CVE-2009-2470

 修正された版: Firefox 3.0.12 / 3.5.2

MFSA 2009-45: メモリ破壊の形跡があるクラッシュ (rv:1.9.1.2/1.9.0.13)

 JavaScript 実装に欠陥があり、任意のコードを実行できる。

 修正された版: Firefox 3.0.13 / 3.5.2

MFSA 2009-46: 誤ってキャッシュされたラッパーによるクローム特権昇格

 JavaScript でコンテンツポリシーを実装しているアドオン (例: AdBlock Plus、NoScript) をインストールしている場合に、 Link: HTTP ヘッダがあると機能しない。この欠陥を利用すると、 クローム特権において任意の JavaScript を実行できる。 この欠陥は Firefox 3.0.x 以前には存在しない。

 修正された版: Firefox 3.5.2

 今回は重大な欠陥の修正が特に多いかんじ。


2009.08.04

追記

いろいろ (2009.07.30)

 Squid 3.0.STABLE17 なのだが、FreeBSD 上で落ちまくるという話が: [squid-users] Squid 3.0.STABLE17 is available あたりからのスレッド参照。手元の FreeBSD 7.1-RELEASE amd64 でもボロボロ。 STABLE ってレベルじゃない。

 当該スレッド上で紹介されている patch は、daily release 版に反映されている模様。


2009.08.03

追記

APSB09-10: Security updates available for Adobe Flash Player, Adobe Reader and Acrobat

 記事中の Flash Player のダウンロードリンクのリンク先を変更した。

 当初掲載していたのは APSB09-10 の公開直後のページに記載されていたリンクのはずで、そこに MSI パッケージなどがあったので驚いて「別途許諾を取得する必要はなくなったようだ」という記載を行ったと記憶している。 のだが、現在の APSB09-10 にあるのは別のページへのリンクで、yuu さんや山下さんから懸念のメールを頂いた (ありがとうございます)。

 APSB09-10 の魚拓を取ってないので当初どうだったのかを確認できないのだが、少なくとも現状においては直リンクが想定されていないページとなっているようなので、ダウンロードリンクのリンク先を変更した。


2009.08.02

About the security content of iPhone OS 3.0.1
(apple, 2009.08.01)

 例の“SMS攻撃”、CVE-2009-2204 への対応。関連:


2009.08.01

Advance notification of Security Updates for Java SE
(Sun, 2009.07.31)

 2009.08.04 (US 時間ですかね) に以下が登場する予定だそうです。

2009.08.05 追記:

 JDK and JRE 6 Update 15 と JDK and JRE 5.0 Update 20 が一般公開されました。 SDK and JRE 1.4.2_22 と SDK and JRE 1.3.1_26 は EOL 過ぎてますから、一般公開はされません。

 椎名さん、やまぴ〜さん情報ありがとうございます。

追記

APSB09-10: Security updates available for Adobe Flash Player, Adobe Reader and Acrobat

 bulletin の題名が「Security updates available for Adobe Flash Player」から 「Security updates available for Adobe Flash Player, Adobe Reader and Acrobat」 に改訂され、Adobe Reader / Acrobat 9.1.3 が公開されました。


[セキュリティホール memo]
[私について]