セキュリティホール memo - 2014.04

Last modified: Mon Mar 30 12:39:22 2015 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2014.04.30

追記

Microsoft Security Advisory 2963983: Vulnerability in Internet Explorer Could Allow Remote Code Execution (2014.04.28)

 関連:

 ……と言っている間に、Microsoft Security Advisory 2963983: Vulnerability in Internet Explorer Could Allow Remote Code Execution が 2014.04.29 付で改訂されていることに気がついた。 IE 10 でも拡張保護モード ON で ok、VGX.DLL 解除方法を更新、VGX.DLL への ACL 設定による回避方法は削除など。 また、拡張保護モード ON が筆頭手順になった。 これにあわせて、4/28 付で書いた部分を更新した。

FreeBSD-SA-14:08.tcp - TCP reassembly vulnerability
(FreeBSD, 2014.04.30)

 FreeBSD 8.x〜10.x に欠陥。TCP の再構築機構に欠陥があり、複数の攻略パケットによる DoS 攻撃 (kernel クラッシュ) が可能。さらに、 カーネルメモリーの一部が露呈し、ログイン資格情報などのセンシティブ情報が漏洩する恐れもある。 while extremely difficult とあるので簡単ではなさそうだが、可能性としてはある模様。 CVE-2014-3000

 patch があるので適用して kernel を再構築し再起動すればよい。 また pf を使って scrub in all を設定することで回避できる。

#2167: openssl-1.0.0-beta5 - fails if used from multiple threads and with SSL_MODE_RELEASE_BUFFERS
(rt.openssl.com, 2010.02.09)

 OpenSSL 1.0.0 以降に欠陥。SSL_MODE_RELEASE_BUFFERS フラグを設定した場合に、s3_pkt.c の ssl3_read_bytes() において競合状態が発生。 remote から、あるコネクションのデータを別のコネクションに挿入できる。 CVE-2010-5298 では「OpenSSL through 1.0.1g」となっているが、SSL_MODE_RELEASE_BUFFERS フラグが存在するのは 1.0.0 以降。

 official patch: http://git.openssl.org/gitweb/?p=openssl.git;a=commitdiff;h=94d1f4b0f3d262edf1cf7023a01d5404945035d5

 各 OS の対応:

OS アドバイザリ等
FreeBSD FreeBSD-SA-14:09.openssl。OS 本体には SSL_MODE_RELEASE_BUFFERS を使うアプリは無い
OpenBSD 004: SECURITY FIX: April 12, 2014

 SSL_MODE_RELEASE_BUFFERS を使うアプリの例としては nginx があるようだ。

Firefox 29.0 / ESR 24.5.0、Thunderbird 24.5.0、SeaMonkey 2.26 公開
(Mozilla, 2014.04.29)

 出ました。iida さん情報ありがとうございます。

2014.05.10 追記:

 Firefox 29.0.1 が公開されました。非セキュリティ fix のようです。


2014.04.29

追記

Microsoft Security Advisory 2963983: Vulnerability in Internet Explorer Could Allow Remote Code Execution (2014.04.28)

 関連:

Chrome Stable Channel Update (2014.04.26)

 Flash Player 更新は 0-day セキュリティ修正でした。APSB14-13: Security updates available for Adobe Flash Player

APSB14-13: Security updates available for Adobe Flash Player
(Adobe, 2014.04.28)

 またまた 0-day だそうです。Flash Player 13.0.0.206 (通常版)、11.7.700.279 (延長サポート版)、 11.2.202.356 (Linux 版) 出てます。 CVE-2014-0515。 通報者は Kaspersky。

 関連:

2014.05.26 追記:

  Technical Analysis of CVE-2014-0515 Adobe Flash Player Exploit (HP Security Research Blog, 2014.05.21)


2014.04.28

追記

Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020)

 Struts 2.3.16.2 出ました。

 関連:

Microsoft Security Advisory 2963983: Vulnerability in Internet Explorer Could Allow Remote Code Execution
(Microsoft, 2014.04.26)

 IE 6〜11 に 0-day 欠陥、攻略 Web ページを閲覧すると任意のコードが実行される。 CVE-2014-1776

 いくつかの回避方法:

 関連:

2014.04.29 追記:

 関連:

2014.04.30 追記:

 関連:

 ……と言っている間に、Microsoft Security Advisory 2963983: Vulnerability in Internet Explorer Could Allow Remote Code Execution が 2014.04.29 付で改訂されていることに気がついた。 IE 10 でも拡張保護モード ON で ok、VGX.DLL 解除方法を更新、VGX.DLL への ACL 設定による回避方法は削除など。これにあわせて、4/28 付で書いた部分を更新した。

2014.05.02 追記:

 更新プログラム出ました:

 回避策を実施している場合の注意:

2014.05.13 追記:

 関連:

2014.05.26 追記:

 The mechanism behind Internet Explorer CVE-2014-1776 exploits (HP Security Research Blog, 2014.05.14)


2014.04.26

追記

Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020) (2014.04.17)

 関連:

Chrome Stable Channel Update
(Google, 2014.04.24)

 4/24 付の Chrome 34.0.1847.131 (Windows, Mac) および 34.0.1847.132 (Linux) はセキュリティ更新だったそうで。9 件のセキュリティ欠陥を修正。あわせて Flash Player も 13.0.0.206 に。

 Chrome OS 34.0.1847.134 も出ています。

2014.04.29 追記:

 Flash Player 更新は 0-day セキュリティ修正でした。APSB14-13: Security updates available for Adobe Flash Player


2014.04.25

いろいろ (2014.04.25)
(various)

Wireshark

 Wireshark 1.10.7、1.8.14 公開 (2014.04.22)。1.10.7 には 1 件のセキュリティ欠陥修正が含まれる。

Symantec PGP Desktop、Symantec Encryption Desktop Professional

rsync

Django

Notes, Domino

xpdf, poppler

追記

Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020) (2014.04.17)

 関連:

About the security content of iOS 7.1.1 (2014.04.23)

 iOSユーザーは判明済みの深刻な脆弱性を数週間放置されていたと元社員がAppleを批判 (gigazine, 2014.04.24)

これはつまり、Safariで脆弱性が修正された後もiOSでは3週間にわたって脆弱性が放置されていたことを示しています。

マイクロソフト セキュリティ アドバイザリ (2953095) Microsoft Word の脆弱性により、リモートでコードが実行される (2014.03.25)


2014.04.24

追記

OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (2014.04.08)

 追加したもの:

いろいろ (2014.02.19)

Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020) (2014.04.17)

 この欠陥、2.3.16.1 でも直り切っていないそうです。

  • Apache Struts2(2.3.16、S2-020の修正版)に対するゼロディを弊社エンジニアが発見いたしました。 (三井物産セキュアディレクション, 2014.04.22)

    このバージョン(2.3.16.1)に対して修正が不十分であるため、未だClassLoaderを操作される脆弱性が存在しており、現在も未対応の状態です。
    弊社にて調査結果、ウェブアプリケーションの動作権限内で情報の窃取や特定ファイルの操作、およびウェブアプリケーションを一時的に使用不可にできることを確認いたしました。

    また、攻撃者が操作したファイルにJavaコードが含まれている場合、任意のコードが実行される可能性があります。
    (中略)
    公式な対応が発表されるまでの暫定対応策として作成した、サーブレットフィルタのソースコードを公開致します。
    添付ファイルのクラスを、サーブレットコンテナのフィルタに設定してください。

    暫定対応版のソースコード▶
  • Re: [ANN] Struts 2.3.16.1 GA release available - security fix (fulldisclosure ML, 2014.04.20)

 さらに、Struts 1 にも存在するそうです。もちろん修正されてません (サポート終了のため)。


2014.04.23

追記

APSB14-09: Security updates available for Adobe Flash Player (2014.04.08)

 2014.04.17 付で 13.0.0.201 が公開されました。 http://forums.adobe.com/thread/1450656 を参照。

OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (2014.04.08)

 追加したもの:

some codes and notes about the backdoor listening on TCP-32764 in linksys WAG200G. (2014.01.06)

 つづきがあった模様: Port 32764 Router Backdoor is Back (or was it ever gone?) (SANS ISC, 2014.04.23)。特定のパケットを送るとバックドアが復活する……。

Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020) (2014.04.17)

 関連: 例えば、Strutsを避ける (WAF Tech Blog, 2014.04.23)

セキュリティ的な観点から見た場合、Strutsは控えめに言っても「どうしようもない」という印象です。

About the security content of Apple TV 6.1.1
(Apple, 2014.04.22)

 Apple TV 6.1.1 公開。19 件のセキュリティ欠陥を修正。

About the security content of iOS 7.1.1
(Apple, 2014.04.22)

 iOS 7.1.1 公開。19 件のセキュリティ欠陥を修正。

2014.04.25 追記:

 iOSユーザーは判明済みの深刻な脆弱性を数週間放置されていたと元社員がAppleを批判 (gigazine, 2014.04.24)

これはつまり、Safariで脆弱性が修正された後もiOSでは3週間にわたって脆弱性が放置されていたことを示しています。

OS X Security Update 2014-002
(Apple, 2014.04.22)

 OS X v10.7.5、v10.8.3、10.9.2 用セキュリティ更新 2014-002 公開。 13 件のセキュリティ欠陥を修正。

いろいろ (2014.04.23)
(various)

Symantec Messaging Gateway Management Console

F-Secure Messaging Secure Gateway

cups-filters

Toshiba 4690 Operating System


2014.04.22

いろいろ (2014.04.22)
(various)

strongSwan

Winamp

FreeBSD

追記

Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020) (2014.04.17)


2014.04.21

追記

OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (2014.04.08)

[RELEASE] curl and libcurl 7.36.0
(curl, 2014.03.26)

 curl、libcurl 7.36.0 公開。4 件のセキュリティ欠陥が修正されている。

アドバイザリ 影響する版 CVE 等 説明
libcurl IP address wildcard certificate validation 7.1〜7.35.0 CVE-2014-0139
JVNDB-2014-002142
ワイルドカード SSL 証明書を、ホスト名が IP アドレスの場合にも使えてしまう。TLS ライブラリが OpenSSL, axtls, qsossl, gskit の場合にのみ発生
libcurl wrong re-use of connections 7.10.6〜7.35.0 CVE-2014-0138
JVNDB-2014-002141
libcurl re-use of wrong HTTP NTLM connection と同様の欠陥が、SCP, SFTP, POP3(S), IMAP(S), SMTP(S), LDAP(S) にも存在。
libcurl not verifying certs for TLS to IP address / Darwinssl 7.27.0〜7.35.0 CVE-2014-1263 TLS コネクションが名前ではなく IP アドレスを含む URL で指定された際、証明書のサーバ名を検証しない。TLS ライブラリが Darwinssl (Mac OS X、iOS) の場合にのみ発生。
libcurl not verifying certs for TLS to IP address / Winssl 7.27.0〜7.35.0 CVE-2014-2522 TLS コネクションが名前ではなく IP アドレスを含む URL で指定された際、証明書のサーバ名を検証しない。TLS ライブラリが SChannel/Winssl (MS Windows) の場合にのみ発生。

いろいろ (2014.04.21)
(various)

東芝テック e-Studio シリーズ

サイボウズ リモートサービスマネージャー

Drupal


2014.04.17

追記

OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (2014.04.08)

 WinSCP に関する記述を追加 (4.3.8〜4.4.0 も OpenSSL 1.0.1 系だった件)。 @windsturm さん情報ありがとうございます。

 証明書の失効チェックが機能しているかどうかを確認できる https://www.cloudflarechallenge.com/heartbleed の記述を追加。

Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020)
(IPA, 2014.04.17)

 2014.03.02 に出た Struts 2.3.16.1 GA で修正された S2-020 の攻略プログラムが世に出回っていているそうで。

IPA で再現検証を実施した結果、ウェブアプリケーションの動作権限内で情報の窃取や特定ファイルの操作、およびウェブアプリケーションを一時的に使用不可にできることを確認しました。また、攻撃者が操作したファイルに Java コードが含まれている場合、任意のコードが実行される可能性があります。

 悪の限りを尽せるようです。Struts2 ご利用の方は更新を。

2014.04.22 追記:

 関連: IPAが注意喚起をしたApache Struts2の脆弱性CVE-2014-0094について調べてみた。 (piyolog, 2014.04.17)

2014.04.23 追記:

 関連: 例えば、Strutsを避ける (WAF Tech Blog, 2014.04.23)

セキュリティ的な観点から見た場合、Strutsは控えめに言っても「どうしようもない」という印象です。

2014.04.24 追記:

 この欠陥、2.3.16.1 でも直り切っていないそうです。

 さらに、Struts 1 にも存在するそうです。もちろん修正されてません (サポート終了のため)。

2014.04.25 追記:

 関連:

2014.04.26 追記:

 関連:

2014.04.28 追記:

 Struts 2.3.16.2 出ました。

 関連:

2014.05.01 追記:

 関連:

2014.05.06 追記:

 関連:

 とか言っている間に Struts 2.3.16.3 出ました。セキュリティ修正を含みます。

2014.05.07 追記:

 関連:

2014.06.06 追記:

 InterScan MessagingSecurity シリーズ のApache Strutsの脆弱性(CVE-2014-0094)について (トレンドマイクロ, 2014.06.06 更新)。InterScan Messaging Security Suite 7.1、InterScan Messaging Security Virtual Appliance 8.5 / 8.2 用の CriticalPatch は公開済。InterScan Messaging Security Suite 7.0 用については 6 月中旬を予定。

2014.06.17 追記:

 JVN#30962312: TERASOLUNA Server Framework for Java(Web) において ClassLoader が操作可能な脆弱性 (JVN, 2014.06.17)

2014年5月23日、本脆弱性を修正した Apache Struts 1.2.9 with SP1 by TERASOLUNA を含む TERASOLUNA Server Framework for Java(Web) 2.0.5.2 が公開されました。

2014.04.16

いろいろ (2014.04.16)
(various)

Movable Type

Redmine

APSB14-12: Security update available for Adobe Reader Mobile
(Adobe, 2014.04.14)

 Android 版 Adobe Reader Mobile 11.1.3 以前に欠陥。Javascript API の実装に欠陥があり、任意のコードを実行される。CVE-2014-0514。Priority rating: 2

 Android 版 Adobe Reader Mobile 11.2 で修正されている。

追記

WordPress 3.8.2 セキュリティリリース (2014.04.10)

 WordPress 3.8.2 の、ダッシュボード画面の「クイックドラフト」がうまく動かないバグを修正するため、WordPress 3.8.3 が公開された。日本語版も公開されている。

OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (201404.08)

 WinSCP 5.5.3 が公開されたので記述を変更。akamai 追加。解説等に 6 件追加。

(緊急)キャッシュポイズニング攻撃の危険性増加に伴う DNSサーバーの設定再確認について(2014年4月15日公開) 〜問い合わせUDPポートのランダム化の速やかな確認・対応を強く推奨〜 (2014.04.15)

 実はとてつもなくデカい毒入れ可能話の存在が背景にあった模様です。榎本さん情報ありがとうございます。

Oracle Critical Patch Update Advisory - April 2014
(Oracle, 2014.04.15)

 定期 Oracle 製品更新出ました。次回は 2014.07.15 (US 時間)。

 Java SE は 5.0u65, 6u77, 7u55, 8u5 に更新されました。後者 2 点が一般公開品。


2014.04.15

追記

APSB14-09: Security updates available for Adobe Flash Player (2014.04.09)

 アドビ サポート担当さんのツイート:

OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (2014.04.08)

 FileMakerコモドジャパンの情報を追加した。松尾さん情報ありがとうございます。

マイクロソフト セキュリティ アドバイザリ (2915720) Windows Authenticode 署名検証の変更 (2013.12.11)

 Windows Authenticode 署名検証の変更は 6 月に自動更新で有効化 (日本のセキュリティチーム, 2014.04.15)。開始 2 か月前となったので改めて告知。

Authenticode 署名に関する情報は、Public-Key Cryptography Standards (PKCS) #7 の署名データおよび X.509 証明書を使用しており、署名対象のバイナリ (Windows Portable Executable) のデータの一部として保存されています。署名されたバイナリを利用する際は、Windows の WinVerifyTrust 機能を利用し、この保存されているデータを利用して、署名が正しいものであるか検証が行われます。

より厳格な署名の検証においては、この署名データや証明書を格納しておく部分に、無関係なデータが含まれているかをチェックするようになります。もし、無関係なデータが含まれている場合は、署名は非準拠とみなします。(署名がされていないバイナリとして判断します) 非準拠のバイナリを使用している場合は、例えばバイナリがアプリケーションの場合は警告が表示されたり実行不可となる、インストーラーの場合は、インストールが行えないなどが発生する可能性があります。

(緊急)キャッシュポイズニング攻撃の危険性増加に伴う DNSサーバーの設定再確認について(2014年4月15日公開) 〜問い合わせUDPポートのランダム化の速やかな確認・対応を強く推奨〜
(JPRS, 2014.04.15)

 何はともあれ、まずは Web-based DNS Randomness Test (DNS-OARC) を実施しましょう。結果のどこかが POOR や GOOD だった場合は対処が必要と。

現状を考慮した場合「GOOD」と表示された場合も十分ではなく、適切な対策が必要になります。

だそうです。

 上原哲太郎さんのツイート:

 うわ、なるほど……。

 JPCERT/CC からも来てました: DNS キャッシュポイズニング攻撃に関する注意喚起 (JPCERT/CC, 2014.04.15)

2014.04.16 追記:

 実はとてつもなくデカい毒入れ可能話の存在が背景にあった模様です。榎本さん情報ありがとうございます。


2014.04.14

追記

OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (2014.04.08)

 大幅に書き直し・追加した。

APSB14-09: Security updates available for Adobe Flash Player (2014.04.09)

 特定の環境において、Mac 用 13.0.0.182 で不具合が発生している模様です。

  • Flash Player 13.0.0.182 プラグインエラーについて (Adobe, 2014.04.11)

    Flash Player 13.0.0.182 をインストール後にウェブサイト上の動画を再生しようとすると、「プラグインエラー」などのエラーやシステムクラッシュが起こる場合があります。

    これは、2006年から2007年に製造された古いアーキテクチャのMac環境で起こることが確認されています。

 Adobe は回避策として、大穴がある 12.0.0.77 へのダウングレード (!) を推奨している。拡張サポート版 11.7.700.275 では駄目なのか?! と思ったが、拡張サポート版は Safari でうまく動かないそうで。Firefox なら大丈夫だそうで。

  • ATTENTION MAC CUSTOMERS - Flash Player 13 "Plugin Failure" Workaround (Adobe, 2014.04.12)

    Unfortunately, the ESR (extended support release) version will not work with Safari. If you primarily use Firefox, then the ESR version should work great.

    On a related note, we are working to fix the ESR / Safari compatibility problem with cooperation from Apple in an upcoming release. The ESR is typically used by our enterprise customers that require a stable version of Flash Player with the latest security updates. The downside of the ESR is that is does not contain bug fixes or new features.

 うへえ。


2014.04.11


2014.04.10

マイクロソフト 2014 年 4 月のセキュリティ情報
(マイクロソフト, 2014.04.09)

 予定どおり出ました。

MS14-017 - 緊急: Microsoft Word および Office Web Apps の脆弱性により、リモートでコードが実行される (2949660)

 Word 2003・2007・2010・2013、Word Viewer、Office 互換性パック、Office for Mac 2011、Word Automation Services (SharePoint Server 2010・2013)、Office Web Apps 2010、Office Web Apps Server 2013 に 3 つの欠陥。

 FAQ にこんな記述が:

Microsoft Word 2010 をインストールしています。なぜ、更新プログラム 2863919 が提供されないのですか?
更新プログラム 2863919 は、特定の構成の Microsoft Office 2010 を実行しているシステムにのみ適用されます。それ以外のシステムにこの更新プログラムは提供されません。

 2010 用 hotfix は (2863926) と (2863919) があり、後者は特定の構成にしか適用されない模様。

MS14-018 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (2950467)

 IE 6〜9 および 11 に 6 件のメモリ破壊の欠陥 CVE-2014-0235 CVE-2014-1751 CVE-2014-1752 CVE-2014-1753 CVE-2014-1755 CVE-2014-1760。 IE 10 には影響しない。 Exploitability Index はいずれも 1。

MS14-019 - 重要: Windows のファイル操作コンポーネントの脆弱性により、リモートでコードが実行される (2922229)

 Windows XP、Server 2003、Vista、Server 2008、7、Server 2008 R2、8・8.1、Server 2012・2012 R2、RT 8・8.1 に欠陥。.bat および .cmd ファイルの処理に欠陥があり、攻略 .bat・.cmd ファイルを「信頼できる、または部分的に信頼されるネットワークの場所」から実行すると任意のコードが実行される。 CVE-2014-0315。 Exploitability Index: 1。

MS14-020 - 重要: Microsoft Publisher の脆弱性により、リモートでコードが実行される (2950145)

 Office 2003・2007 に欠陥。Publisher コンバーター (pubconv.dll) における .pub ファイルの処理に欠陥があり、攻略 .pub ファイルを開くと任意のコードが実行される。 CVE-2014-1759。 Exploitability Index: 1。

 今回、1 件を除いて Exploitability Index は 1 ですね……。

追記

マイクロソフト セキュリティ アドバイザリ (2953095) Microsoft Word の脆弱性により、リモートでコードが実行される

 MS14-017 - 緊急: Microsoft Word および Office Web Apps の脆弱性により、リモートでコードが実行される (2949660) (Microsoft) で修正されました。Fix it 51010 を適用している場合は、 MS14-017 patch 適用後に Fix it 51011 を適用して無効にしましょう。 (RTF 処理をひきつづき無効にしたい場合はそのままでもいいです)

WordPress 3.8.2 セキュリティリリース
(WordPress, 2014.04.09)

 WordPress 3.8.2 公開。 2 件のセキュリティ欠陥が修正されている。

 また 3 件のセキュリティ強化が行われた。

 WordPress 日本語版 3.8.2 はまだ公開されていない。

2014.04.16 追記:

 WordPress 3.8.2 の、ダッシュボード画面の「クイックドラフト」がうまく動かないバグを修正するため、WordPress 3.8.3 が公開された。日本語版も公開されている。


2014.04.09

追記

OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (2014.04.08)

 patch:

 解説:

  • Patch Now: OpenSSL "Heartbleed" Vulnerability (SANS ISC, 2014.04.08)

    Check if you are vulnerable. "openssl version -a" will return the version information. If your version is 1.0.1, you MAY be vulnerable. Only version 1.0.1g is NOT vulnerable. Other major versions (0.9x, 1.0.0 ...) are not vulnerable.

    Rule of thumb: If you are using OpenSSL, and if you are supporting TLS 1.2 (check ssllabs.com) , then you are vulnerable unless patched.

    OpenSSL 1.0.1 系 (1.0.1g を除く) + TLS 1.2 対応の場合、欠陥の影響を受ける。

    nginx, after being patched, logs the following from the PoC exploit:

    2014/04/08 12:37:18 [info] 4151#0: *724561 peer closed connection in SSL handshake while SSL handshaking, client: 70.91.145.11, server: 0.0.0.0:8443

    patch 後、nginx が攻撃を受けると、上記のようなログが残るそうだ。

  • CVE-2014-0160 OpenSSL Heartbleed 脆弱性まとめ (めもおきば, 2014.04.08)。超まとまってる。

    脆弱性のあるバージョンを使っていた場合、最悪でSSL証明書の秘密鍵が奪取されている可能性があります。この場合、現在使っているSSL証明書を失効(revoke)させ、再発行する必要があります。

    ですよねえ……。各 CA で対応されているようです。

  • [ビデオ]OpenSSLのバグ“Heartbleed”ってどんなの? (techcrunch, 2014.04.09)

  • Hijacking user sessions with the Heartbleed vulnerability (Matt's Life Bytes, 2014.04.08)。メモリ内容を取得できることの恐しさの一例。

Chrome Stable Channel Update
(Google, 2014.04.08)

 Chrome 34.0.1847.116 が stable に。セキュリティ欠陥 31 件の修正と Flash Player の更新を含む。

APSB14-09: Security updates available for Adobe Flash Player
(Adobe, 2014.04.08)

 Flash Player および AIR の更新版登場。Pwn2Own 2014 でヤラレたものを含め、4 件のセキュリティ欠陥 CVE-2014-0506 CVE-2014-0507 CVE-2014-0508 CVE-2014-0509 を修正。Priority rating は Linux 版と AIR が 3、他は 1。

プラットホーム バージョン
Windows 13.0.0.182
Mac 13.0.0.182
Linux 11.2.202.350
Google Chrome 13.0.0.182
Windows 8 / Server 2012 / RT の Internet Explorer 10 13.0.0.182
Windows 8.1 / Server 2012 R2 / RT 8.1 の Internet Explorer 11 13.0.0.182
AIR 13.0.0.83 (Android)
AIR SDK & Compiler 13.0.0.83 (Windows, Mac)
AIR SDK 13.0.0.83 (Windows, Mac)

 Windows / Mac 用には拡張サポート版 11.7.700.275 も用意されている。 しかし 5 月には、拡張サポート版は 11.7 から 13 になるそうだ。

2014.04.14 追記:

 特定の環境において、Mac 用 13.0.0.182 で不具合が発生している模様です。

 Adobe は回避策として、大穴がある 12.0.0.77 へのダウングレード (!) を推奨している。拡張サポート版 11.7.700.275 では駄目なのか?! と思ったが、拡張サポート版は Safari でうまく動かないそうで。Firefox なら大丈夫だそうで。

 うへえ。

2014.04.15 追記:

 アドビ サポート担当さんのツイート:

Mac版Flash Player13の最新アップデート(4/9リリース)でプラグインエラーが発生する問題ですが、日本時間4/17に修正アップデート公開予定です。申し訳ありませんが、しばらくお待ちください。フォーラムでも情報を提供中です。http://t.co/d2d0E1gnvS

— アドビ サポート担当 (@AdobeSupportJ) April 15, 2014

2014.04.23 追記:

 2014.04.17 付で 13.0.0.201 が公開されました。 http://forums.adobe.com/thread/1450656 を参照。

インターネットからの攻撃によるヤマハルーターのリブート等について
(ヤマハ, 2014.04.09)

 昨日からヤマハルーターの古いファームウェアに対する攻撃パケットがそこかしこに流れており、あちこちで再起動したりハングったりする現象が発生していた模様。

 攻撃対象となる一般販売品は RT58i、RTX3000、RTX1100、RTX1500、RT107e、RT250i、RTX1000、RTX1000、RTX2000、RT57i、RTV700。最新ファームウェアに更新することで対応できる。

なお、特定事業者様向けで一般のお客様には公開していないファームウェアにおいて、最新リビジョンにおいても一部修正が不十分だったことが判明しており、対応を進めております。

2014.04.08

追記

マイクロソフト セキュリティ アドバイザリ (2953095) Microsoft Word の脆弱性により、リモートでコードが実行される (2014.03.25)

 関連:

DocuWorks 8 (バージョン:8.0.3) において、特定の条件下でPDF から DocuWorksへの変換をおこなうとファイルが消失する不具合についてのお詫びと対処のお願い (2014.03.19)

OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ
(ITmedia, 2014.04.08)

 OpenSSL 1.0.1 系列、1.0.2-beta 系列に欠陥。 TLS/DTLS Heartbeat Extension の実装に欠陥があり、領域チェックが行われていなかったため、最大 64k バイトのメモリ内容が、接続しているクライアントあるいはサーバーに漏洩する。 OpenSSL 1.0.0 系列以前にはこの欠陥はない。 CVE-2014-0160

 OpenSSL 1.0.1g で修正されている。また -DOPENSSL_NO_HEARTBEATS を設定し Heartbeat Extension を無効化して再構築することで、この欠陥を回避できる。1.0.2-beta 系列は 1.0.2-beta2 で修正される予定 (まだリリースされていない)。

 オフィシャル:

 patch:

OS、アプリ アドバイザリ等
Adobe Heartbleed Update
Adobe、OpenSSLの脆弱性対応について説明
Akamai Heartbleed FAQ: Akamai Systems Patched (4/8)
Heartbleed Update (4/11)
Heartbleed Update (v3) (4/13)
Akamai Heartbleed patch not a fix after all (4/14)
Android

4.1.1 および 4.2.2 の一部に影響がある模様 (google, gigazine)。 確認アプリ () で確認した上で、端末メーカーに問いあわせる。

毎日新聞記事 (OpenSSL欠陥:国内のスマホ6機種 OSに問題) によれば、対象となるのは

 【NTTドコモ】
 (1)ギャラクシー・ネクサスSC−04D(2011年12月)※
 (2)ギャラクシー・ノート2SC−02E(12年11月)
 (3)ギャラクシーS3αSC−03E(12年12月)
 【KDDI(au)】
 (4)HTC−JバタフライHTL21(12年12月)
 (5)インフォバーA02(13年2月)
 【ウィルコム】
 (6)ディグノデュアルWX04K(12年6月)※
 (1)は昨年5月、(2)と(3)は4月17日、(4)と(5)は4月30日、問題解消可能に。(6)は未対応。
 ※は元々は問題のないOSだが、発売後「アンドロイド4・1・1」にバージョンアップ可能に。バージョンアップした場合のみ該当

その後ウイルコム DIGNO DUAL WX04K も更新されてます。関連:

GALAXY NEXUS SC-04Dの製品アップデート情報 (NTT ドコモ)
GALAXY Note II SC-02Eの製品アップデート情報 (NTT ドコモ)
GALAXY S III α SC-03Eの製品アップデート情報 (NTT ドコモ)
HTC J butterfly HTL21 アップデート情報 (KDDI)
INFOBAR A02 アップデート情報 (KDDI)
Android 4.1 ソフトウェア更新情報: DIGNO DUAL (WX04K) (京セラ)
Amazon AWSからOpenSSLの脆弱性について AWS のサービスアップデート
Apple ・OS X: 本体は影響なし。 MacPorts を使っている場合は必要に応じて更新を。
・AirMac Extreme、AirMac Time Capsule: AirPort Base Station Firmware Update 7.7.3
Aruba Networks Advisory Number 040814: OpenSSL 1.0.1 library (Heartbleed) vulnerability.
Bitcoin Core (Bitcoin 公式クライアント) Bitcoin Core version 0.9.1 released
Buffalo Buffalo Technology NAS products unaffected by ‘Heartbleed’ bug
CentOS [CentOS-announce] CESA-2014:0376 Important CentOS 6 openssl Update 。CentOS 6.5 に影響。
Cisco OpenSSL Heartbeat Extension Vulnerability in Multiple Cisco Products
DD-WRT Heartbleed & DD-WRT/DD-WRT Online Services
Debian DSA-2896-1 openssl -- security update。wheezy、jessie、sid に影響。squeeze は影響なし。
F5 sol15159: OpenSSL vulnerability CVE-2014-0160
Fedora Status on CVE-2014-0160, aka "Heartbleed"。 Fedora 19、20 に影響。
FFFTP FFFTP-1.98g1 で対応。ただし 1.98g1 には不具合があるので FFFTP-1.98g2 を使ってください。
FileMaker ソフトウェア アップデート: FileMaker Server 13.0v1a
ソフトウェア アップデート: FileMaker Pro 13.0v3 および FileMaker Pro 13.0v3 Advanced
ソフトウェア アップデート: FileMaker Go 13.0.4
FileZilla Server FileZilla Server 0.9.44 で OpenSSL 1.0.1g に移行。 FileZilla Client には問題はない (GnuTLS を使用)
FortiGuard Information Disclosure Vulnerability in OpenSSL (Heartbleed)
FreeBSD FreeBSD-SA-14:06.openssl。 FreeBSD 10.0 に影響。FreeBSD 8 / 9 用の patch も用意されているのは、 CVE-2014-0076 もあわせて修正されているから。
ports については openssl-1.0.1_10 で修正されている。
Google Google Services Updated to Address OpenSSL CVE-2014-0160 (the Heartbleed bug)
ICS (産業制御機器) Alert (ICS-ALERT-14-099-01E): Situational Awareness Alert for OpenSSL Vulnerability (Update E)
Juniper 2014-04 Out of Cycle Security Bulletin: Multiple products affected by OpenSSL "Heartbleed" issue (CVE-2014-0160)
mod_spdy New mod_spdy binary bugfix release (v0.9.4.2) - SECURITY FIX。v0.9.4.2 で修正されている
Mozilla Heartbleed Security Advisory。Persona と Firefox Account のほとんどは AWS で動いているので、4/8 までは影響を受けていた。心配な人は、パスワードやアカウントパスワードの変更が可能。
NetBSD advance notice: OpenSSL CVE-2014-0160 ("heartbleed")
OpenVPN OpenSSLのTLS heartbeat extensionに関連した脆弱性について。TLS-Auth オプションが有効な場合は影響を受けない。TLS-Auth オプションが無効な場合は、「OpenSSLのアップグレードに加え、念のためサーバー/クライアントの鍵と証明書の再発行も検討してください」。
Opera Heartbleed and other heartaches。影響なし。
Opera 12.17 out。Windows 版のスタンドアロン autoupdater が Heartbleed バグの影響を受けるそうで。
Oracle ‘Heartbleed’ (CVE-2014-0160) Vulnerability in OpenSSL
QNAP QNAP が Heartbleed OpenSSL の脆弱性を修正するためのシステムアップデートを発表
Red Hat RHSA-2014:0376-1 - Important: openssl security updateRHEL 6.5 に影響。
Synology DSM 5.0-4458 アップデート 2
DSM 4.2-3248
DSM 4.3-3827 アップデート 2
VPN Server 1.2-2414 & 1.2-2318
Tor OpenSSL bug CVE-2014-0160
Tor Browser 3.5.4 is Released
[tor-relays] Rejecting 380 vulnerable guard/exit keys
TorノードにOpenSSLの脆弱性、通信内容の平文流出も
Ubuntu USN-2165-1: OpenSSL vulnerabilities。Ubuntu 12.04 LTS、12.10、13.10 に影響。
VMware Response to OpenSSL security issue CVE-2014-0160/CVE-2014-0346 a.k.a: "Heartbleed" (2076225)
WinSCP 5.5.3 で OpenSSL 1.0.1g に対応。 Recent Version History によると 5.0.7 beta から OpenSSL 1.0.1 系に移行したようなので、 5.0.7 以降の利用者は 5.5.3 に更新を。
WinSCP 4.3.8〜4.4.0 も OpenSSL 1.0.1 系でした。 全バージョン 5.5.3 に移行した方がよさげ。 @windsturm さん情報ありがとうございます。
エフセキュア 【お知らせ】OpenSSL Heartbleed の脆弱性 CVE-2014-0160 について
オバマケア オバマケアのWebサイトがパスワードリセット、Heartbleed対策で
サイボウズ OpenSSLの脆弱性に伴う弊社製品への影響について
日立 HIRT-PUB14005:日立製品における OpenSSL 情報漏えいを許してしまう脆弱性(CVE-2014-0160) への対応について (JVNVU#94401838, JVNDB-2014-001920, CVE-2014-0160)
シマンテック Is Symantec Endpoint Protection affected by the Heartbleed OpenSSL vulnerability (CVE-2014-0160)。Symantec Endpoint Protection Manager。
マイクロソフト Microsoft サービスは OpenSSL「Heartbleed」脆弱性の影響を受けません
マカフィー マカフィーセキュリティ情報 – OpenSSL Heartbleed 脆弱性の影響を受ける マカフィー製品。 McAfee Web Gateway、Next Generation Firewall、McAfee Firewall Enterprise、 McAfee Enterprise Security Manager、 ePO、McAfee Email Gateway、VirusScan Enterprise for Linux。

 本欠陥の影響があったサイトについては、OpenSSL を更新した後で、サーバ証明書を再発行・再設定し、さらに古い証明書の失効処理を行ってください。

ベンダー 説明
シマンテック (VeriSign) Security Advisory - 脆弱性:OpenSSL Heartbleed Bug (CVE-2014-0160/CVE-2014-0346) について
グローバルサイン OpenSSL 1.0.1に含まれる脆弱性への対応のお願い
セコムトラストシステムズ OpenSSL (1.0.1〜1.0.1fおよび1.0.2-betaシリーズ)に含まれる 脆弱性に関する重要なお知らせ
クロストラスト OpenSSL 1.0.1に含まれる脆弱性への対応に関するお知らせ
ジオトラスト Security Advisory - 脆弱性:OpenSSL Heartbleed Bug (CVE-2014-0160/CVE-2014-0346) について
OpenSSL 1.0.1系の脆弱性対応に関して
コモドジャパン OpenSSL の脆弱性対策に関する重要なお知らせ及び確認ツールのご提供

 調査手法:

 攻略手法:

 攻撃の検知:

 まとめページ:

 NSA:

 被害事例だとされるもの

 解説等:

2014.04.14 追記:

 大幅に書き直し・追加した。

2014.04.15 追記:

 FileMakerコモドジャパンの情報を追加した。松尾さん情報ありがとうございます。

2014.04.16 追記:

 WinSCP 5.5.3 が公開されたので記述を変更。akamai 追加。解説等に 6 件追加。

2014.04.17 追記:

 WinSCP に関する記述を追加 (4.3.8〜4.4.0 も OpenSSL 1.0.1 系だった件)。 @windsturm さん情報ありがとうございます。

 証明書の失効チェックが機能しているかどうかを確認できる https://www.cloudflarechallenge.com/heartbleed の記述を追加。

2014.04.21 追記:

 追加したもの:

2014.04.23 追記:

 追加したもの:

2014.04.24 追記:

 追加したもの:

2014.05.09 追記:

 追加したもの:

2014.05.12 追記:

 追加したもの:

2014.05.13 追記:

 追加したもの:

2014.05.29 追記:

 追加したもの:

2014.06.26 追記:

 追加したもの:

2014.08.21 追記:

 「被害事例だとされるもの」に「米病院チェーン Community Health Systems(CHS)社」を追加。


2014.04.07

追記

LINE電話で発信者番号通知の偽装ができる件 (2014.03.19)

 対応に動くことになったようです。

  • 「LINE電話」における端末・電話番号確認プロセスの強化について (LINE, 2014.04.04)

    防止策を、段階的に実施していくことを決定 (中略) 第一弾として、4月中を目処に現行バージョンのアップデートを行い、下記の端末・電話番号確認プロセスを追加適用いたします。
    • 端末のSIM情報の確認
    • ネットワーク接続状況の確認
    • 不正使用検知アルゴリズムによる確認
    上記の確認要件のうち、いずれかもしくは複数が確認されない場合、電話番号を利用した再認証を行います。再認証が完了しない場合、当該アカウントからの「LINE電話」での発信は全て非通知となります。
  • 「LINE電話」の悪用防止策発表、番号偽装の懸念に対応 (日経 IT Pro, 2014.04.05)

いろいろ (2014.04.07)
(various)

PHP

 file コマンドで使用している magic ファイルには awk スクリプトの検出において DoS 状態となる欠陥 CVE-2013-7345 があった。PHP の fileinfo モジュールではコンパイルした magic ファイル (file -C の出力) を使用しているため、この欠陥の影響を受ける。 PHP 5.4.27、5.5.11 で修正された。

McAfee Application Control 6.0.0 build 340

  • 【臨時配信】マカフィーサポート通信 - 2014/04/04 (マカフィー, 2014.04.04)。McAfee Application Control 6.0.0 build 340 に欠陥があり、「特定のシナリオにおいて管理者権限を保持する認証されたユーザーが MAC の書き込み保護および実行防止機能をバイパスする事が可能」。 MAC 6.0.0 Build 9703 で修正されている。また MAC 6.1.[012] にはこの欠陥はない。

Postfix Admin


2014.04.04

マイクロソフト セキュリティ情報の事前通知 - 2014 年 4 月
(マイクロソフト, 2014.04.04)

 緊急 x 2、重要 x 2。Office あり、IE あり。 マイクロソフト セキュリティ アドバイザリ (2953095) Microsoft Word の脆弱性により、リモートでコードが実行される の件も修正される予定。


2014.04.03

いろいろ (2014.04.03)
(various)

Oracle Java Cloud サービス

Qiita

Android アプリ

  • Androidのカスタムパーミッションで顧客情報流出のおそれ (トレンドマイクロ セキュリティ blog, 2014.03.24)。 当該アプリのつくりがあれなだけだと思うけど、「トレンドマイクロでは、この脆弱性の危険にさらされているアプリケーションが約1万個あることを確認してい」るそうで。

追記

「Galaxyシリーズ」にデータの閲覧・削除が可能なバックドアが発見される (2014.03.13)


2014.04.02

いろいろ (2014.04.02)
(various)

Allied Telesis

Symantec

About the security content of Safari 6.1.3 and Safari 7.0.3
(Apple, 2014.04.01)

 Safari 6.1.3、7.0.3 公開。WebKit のセキュリティ欠陥 27 件を修正。 内 15 件は Google Chrome Security Team から。 Pwn2Own でやられた件も修正されている。


2014.04.01


[セキュリティホール memo]
[私について]