セキュリティホール memo - 2014.05

Last modified: Mon Mar 30 12:39:22 2015 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2014.05.31


2014.05.30


2014.05.29

追記

OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ

 追加したもの:


2014.05.28

追記

サポート切れのWindows XPでセキュリティアップデートを受ける方法が公開される (2014.05.27)

 サポート切れのWindows XPでアップデートを受け取る方法にMicrosoftが警告 (gigazine, 2014.05.28)。 元ねたである Registry hack enables continued updates for Windows XP (ZDNet, 2014.05.26) に追記されたこの部分の話:

[UPDATE:] Late Monday we received a statement from a Microsoft spokesperson:

We recently became aware of a hack that purportedly aims to provide security updates to Windows XP customers. The security updates that could be installed are intended for Windows Embedded and Windows Server 2003 customers and do not fully protect Windows XP customers. Windows XP customers also run a significant risk of functionality issues with their machines if they install these updates, as they are not tested against Windows XP. The best way for Windows XP customers to protect their systems is to upgrade to a more modern operating system, like Windows 7 or Windows 8.1.

 MS 広報は、この手法で十分に保護できるわけではないし安定性も保障されないという、あたりまえの話しかしていない。むしろ、ライセンスについては一切言及しなかったという点が重要でしょう。

 あくまで自己責任でどうぞ。


2014.05.27

サポート切れのWindows XPでセキュリティアップデートを受ける方法が公開される
(gigazine, 2014.05.27)

 レジストリ設定によって Windows XP SP3 派生 OS である Windows Embedded POSReady 2009 に見せかけ、 Windows Embedded POSReady 2009 用の更新プログラムを入手する方法。 やりたい方は自己責任でどうぞ。

 やったらこんな感じ:

 関連:

2014.05.28 追記:

 サポート切れのWindows XPでアップデートを受け取る方法にMicrosoftが警告 (gigazine, 2014.05.28)。 元ねたである Registry hack enables continued updates for Windows XP (ZDNet, 2014.05.26) に追記されたこの部分の話:

[UPDATE:] Late Monday we received a statement from a Microsoft spokesperson:

We recently became aware of a hack that purportedly aims to provide security updates to Windows XP customers. The security updates that could be installed are intended for Windows Embedded and Windows Server 2003 customers and do not fully protect Windows XP customers. Windows XP customers also run a significant risk of functionality issues with their machines if they install these updates, as they are not tested against Windows XP. The best way for Windows XP customers to protect their systems is to upgrade to a more modern operating system, like Windows 7 or Windows 8.1.

 MS 広報は、この手法で十分に保護できるわけではないし安定性も保障されないという、あたりまえの話しかしていない。むしろ、ライセンスについては一切言及しなかったという点が重要でしょう。

 あくまで自己責任でどうぞ。


2014.05.26

いろいろ (2014.05.26)
(various)

Moodle

libgadu

Drupal core

追記

マイクロソフト セキュリティ アドバイザリ (2953095) Microsoft Word の脆弱性により、リモートでコードが実行される (2014.03.25)

Microsoft Security Advisory 2963983: Vulnerability in Internet Explorer Could Allow Remote Code Execution

 The mechanism behind Internet Explorer CVE-2014-1776 exploits (HP Security Research Blog, 2014.05.14)

APSB14-13: Security updates available for Adobe Flash Player (2014.04.29)

  Technical Analysis of CVE-2014-0515 Adobe Flash Player Exploit (HP Security Research Blog, 2014.05.21)

(0Day) Microsoft Internet Explorer CMarkup Use-After-Free Remote Code Execution Vulnerability (2014.05.22)

Android端末にカメラの映像を盗み見られるセキュリティホールが存在
(gigazine, 2014.05.26)

 Android って、スリープ状態でもカメラで撮影し送信できるのですね。

Sidorさんは同様のアプリの被害にあわないためには以下のような対策が有効であるとブログで呼びかけています。

1.アプリのインストール時に表示される「アプリの権限」に注意する メモ用アプリなど、カメラに関係なさそうなアプリにもかかわらずカメラ機能への権限を要求してくる場合は注意が必要です。

2014.05.25

いろいろ (2014.05.25)
(various)

マカフィー ePolicy Orchestrator

Cisco

Chrome Stable Channel Update
(Google, 2014.05.20)

 Chrome 35.0.1916.114 出てたんですね。セキュリティ修正も 23 件ありだそうで。

追記

Adobe Shockwave Player のびっくり仕様 (2012.12.19)

 JVNVU#93897900: Adobe Shockwave Player に旧バージョンの Flash ランタイムが同梱されている問題 (JVN, 2012.12.19) の元ねた、 VU#323161: Adobe Shockwave player provides vulnerable Flash runtime (US-CERT) が 2014.05.15 付で改訂されました。 Shockwave Player 11.6.8.638 ベースから 12.1.1.151 ベースの情報に変わってます。というか、

The "Full" installer for Shockwave player 12.1.1.151 provides Flash version 11.5.502.146, which was released on January 8, 2013.This version of Flash contains several exploitable vulnerabilities. Note that Shockwave uses its own Flash runtime, provided by the file Flash Asset.x32, rather than using a Flash runtime that may be installed on a system-wide basis.

こういう状況が全然変わってないと言うべきか。 腐ってる。

 関連: Why You Should Ditch Adobe Shockwave (Krebs on Security, 2014.05.21)

Not sure whether your computer has Shockwave installed? If you visit this link and see a short animation, it should tell you which version of Shockwave you have installed. If it prompts you to download Shockwave (or in the case of Google Chrome for some reason just automatically downloads the installer), then you don’t have Shockwave installed. To remove Shockwave, grab Adobe’s uninstall tool here. Mozilla Firefox users should note that the presence of the "Shockwave Flash” plugin listed in the Firefox Add-ons section denotes an installation of Adobe Flash Player plugin — not Adobe Shockwave Player.

2014.05.24


2014.05.23


2014.05.22

About the security content of Safari 6.1.4 and Safari 7.0.4
(Apple, 2014.05.21)

 Safari 6.1.4、7.0.4 公開。22 件のセキュリティ欠陥を修正。内 21 件は、攻略 Web ページの閲覧により任意のコードの実行を招くもの。 CVE-2013-2875 CVE-2013-2927 CVE-2014-1323 CVE-2014-1324 CVE-2014-1326 CVE-2014-1327 CVE-2014-1329 CVE-2014-1330 CVE-2014-1331 CVE-2014-1333 CVE-2014-1334 CVE-2014-1335 CVE-2014-1336 CVE-2014-1337 CVE-2014-1338 CVE-2014-1339 CVE-2014-1341 CVE-2014-1342 CVE-2014-1343 CVE-2014-1344 CVE-2014-1346 CVE-2014-1731

(0Day) Microsoft Internet Explorer CMarkup Use-After-Free Remote Code Execution Vulnerability
(Zero Day Initiative, 2014.05.21)

 IE 8 に 0-day 欠陥があり、攻略 Web ページを閲覧すると任意のコードが実行される。CVE-2014-1770

 Microsoft には 2013.10.11 に通知されているが、7 か月以上経過しても直らなかった。未修正でも 180 日経過したら公開するという ZDI のルールを 1 か月以上延長した上での公開。 なお、ZDI は今では 180 日ではなく 120 日で運用しているそうです: Picking up the pace: A new 120-day disclosure window (HP Security Research Blog, 2014.02.26)

2014.05.26 追記:

 Corelan Teamが発見したIEの脆弱性CVE-2014-1770に関係する情報についてまとめてみた (piyolog, 2014.05.22)

2014.11.14 追記:

 2014.06 の MS14-035 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (2969262) で修正されている。


2014.05.21


2014.05.20


2014.05.19

いろいろ (2014.05.19)
(various)

Symantec Workspace Streaming

Django

Dovecot

X.Org libXfont

Linux

About the security content of iTunes 11.2
(Apple, 2014.05.15)

 iTunes 11.2 公開。Windows 版はセキュリティ修正 CVE-2014-1296 を含む。

Set-Cookie HTTP headers would be processed even if the connection closed before the header line was complete. An attacker could strip security settings from the cookie by forcing the connection to close before the security settings were sent, and then obtain the value of the unprotected cookie. This issue was addressed by ignoring incomplete HTTP header lines.

 不完全な HTTP ヘッダを処理すると脆弱性になる時代なのですね……。


2014.05.17

旧バージョンの Movable Type の利用に関する注意喚起
(JPCERT/CC, 2014.05.15)

 古い Movable Type がバタバタ倒されている模様。 6.0.3、5.2.10、5.17 セキュリティアップデートの提供を開始 (movabletype.jp, 2014.04.09) が最新だそうです。

 あと、6.0.3、5.2.10、5.17 アップデートにはこんな注意が:

Movable Type 6.0.3、5.2.10 ならびに 5.17 では、セキュリティ問題の修正のために、ウェブサイトおよびブログのテーマに含まれているテンプレートの一部が変更されています。以下のテーマをご利用の場合は、テンプレートのリフレッシュを行うか、手動でテンプレートの修正を行ってください。

影響を受けるテーマ

2014 年 5 月のマイクロソフト セキュリティ情報の概要
(マイクロソフト, 2014.05.14)

 予定どおり出ました。

MS14-022 - 緊急: Microsoft SharePoint Server の脆弱性により、リモートでコードが実行される (2952166)

 SharePoint Server 2007・2010・2013、Office Web Apps 2010・2013、SharePoint Server 2013 Client Components SDK、SharePoint Designer 2007・2010・2013 に 3 件の欠陥。

  • SharePoint ページ コンテンツの脆弱性 - CVE-2014-0251 (Exploitability Index: 1)

    認証済み攻撃者が攻略ページコンテンツを送ると任意のコードが W3WP サービスの権限で実行される。

  • SharePoint XSS の脆弱性 - CVE-2014-1754 (Exploitability Index: 1)

    攻撃者は認証済みである必要がある。 XSS を踏むとログオンユーザーの権限でスクリプトが実行される。

  • Web Applications ページ コンテンツの脆弱性 - CVE-2014-1813 (Exploitability Index: 3)

    認証済み攻撃者が攻略ページコンテンツを送ると任意のコードが W3WP サービスの権限で実行される。

MS14-023 - 重要: Microsoft Office の脆弱性により、リモートでコードが実行される (2961037)

 Office 2007・2010・2013・2013 RT に 2 件の欠陥。

  • Microsoft Office の中国語文章校正の脆弱性 - CVE-2014-1756 (Exploitability Index: 1)

    簡体字中国語言語パックの校正ツール (2007) または 校正ツール (2010・2013) に、.dll ファイルのロード処理にまつわる欠陥。.docx など Office 文書ファイルと同じディレクトリに攻略 .dll ファイルを設置すると、文書ファイルを開いた時点で攻略 .dll ファイルが読み込まれ、任意のコードが実行される。

  • トークン再使用の脆弱性 - CVE-2014-1808 (Exploitability Index: 3)

    Web サイトにある Office 文書を開くときの応答の処理に欠陥があり、 攻略 Web サイトが細工した応答を返すとアクセストークンが漏洩する。 このアクセストークンはリプレイ攻撃に利用できる。

 DLL の安全な読み込み方法については、Load Library Safely (Microsoft Security Research & Defense, 2014.05.13) を参照。

MS14-024 - 重要: Microsoft コモン コントロールの脆弱性により、セキュリティ機能のバイパスが起こる (2961033)

 Office 2007・2010・2013・2013 RT に欠陥。 MSCOMCTL コモンコントロールライブラリに欠陥があり、 IE などで攻略 Web ページを閲覧するときに ASLR の回避に悪用される。 CVE-2014-1809 (Exploitability Index: N/A)

 この欠陥は「非公開で報告された」ものだったが、結果として 0-day となった。 2014 年 5 月のセキュリティ更新プログラムのリスク評価 (日本のセキュリティチーム, 2014.05.14) によると、

この脆弱性は、現場で悪用されている以下の CVE について ASLR のバイパスとして利用されています:
  • CVE-2012-0158
  • CVE-2012-1856
  • CVE-2013-3906
  • CVE-2014-1761

MS14-025 - 重要: グループ ポリシー基本設定の脆弱性により、特権が昇格される (2962486)

 Windows Vista、Server 2008、7、Server 2008 R2、8・8.1、2012・2012 R2 に欠陥。 「Active Directory がグループ ポリシー基本設定を使用して構成されているパスワードを配布する方法」に欠陥があり、認証済みユーザーによる権限上昇が可能。 Windows Vista、7、8・8.1 については、リモートサーバー管理ツールがインストールされている場合にのみ影響を受ける。 CVE-2014-1812 (Exploitability Index: 1)。この欠陥は 0-day だった。

 更新プログラムは Windows Update や自動更新では配布されない。 Microsoft ダウンロードセンター、あるいは Microsoft Update カタログから入手する。

 更新プログラムを適用すると、「グループポリシー基本設定拡張を使用してパスワードを構成および配布する機能」が削除される。

 関連: MS14-025: An Update for Group Policy Preferences (Microsoft Security Research & Defense, 2014.05.13)

MS14-026 - 重要: .NET Framework の脆弱性により、特権が昇格される (2958732)

 .NET Framework 1.1 SP1、2.0 SP2、3.5、3.5.1、4、4.5、4.5.1 に欠陥。 「正しくない形式の一部のオブジェクトに対して TypeFilterLevel チェックを処理する方法」に欠陥があり、認証済みユーザーによる権限上昇が可能。 CVE-2014-1806 (Exploitability Index: 1)

MS14-027 - 重要: Windows シェル ハンドラーの脆弱性により、特権が昇格される (2962488)

 Windows Server 2003、Vista、Server 2008、7、Server 2008 R2、8・8.1、Server 2012・2012 R2、RT・RT 8.1 に欠陥。 Windows シェルにおけるファイルの関連付け処理に欠陥があり、 認証済みユーザーが攻略アプリケーションを実行すると local SYSTEM 権限を取得できる。 CVE-2014-1807 (Exploitability Index: 1)

 この欠陥は「非公開で報告された」ものだったが、結果として 0-day となった。

MS14-028 - 重要: iSCSI の脆弱性により、サービス拒否が起こる (2962485)

 Windows Server 2008 (Storage Server 2008 のみ)、Server 2008 R2、Server 2012・2012 R2 の iSCSI 実装に 2 件の欠陥。 iSCSI ターゲットとなっている場合に remote から DoS 攻撃を受ける。

  • iSCSI ターゲットのリモートでサービス拒否が起こる脆弱性 - CVE-2014-0255 (Exploitability Index: 3)

  • iSCSI ターゲットのリモートでサービス拒否が起こる脆弱性 - CVE-2014-0256 (Exploitability Index: 3)

 なお Server 2008 用の更新プログラムは提供されない。

更新プログラムで提供される修正を適切にサポートするためのアーキテクチャが Windows Storage Server 2008 システムに存在しないため、Windows Storage Server 2008 用の修正プログラムを作成することが不可能です。作成するためには、影響を受けるコンポーネントだけでなく、Windows Storage Server 2008 オペレーティング システムのアーキテクチャの相当な部分を変更する必要があります。そのようなアーキテクチャ変更を行った製品は Windows Storage Server 2008 との互換性がなくなる可能性が高く、Windows Storage Server 2008 上で実行されるように設計されたアプリケーションが、更新されたシステムで引き続き動作する保証はありません。

(中略) マイクロソフトでは、Windows Storage Server 2008 を実行しているお客様に、インターネット トラフィックが流れるネットワークとは分離された独自のネットワーク上に iSCSI を配置し、信頼できないネットワークからの攻撃経路を制限することを推奨します。

MS14-029 - 緊急: Internet Explorer 用のセキュリティ更新プログラム (2962482)

 IE 6〜11 に 2 件の欠陥。どちらもメモリ破損が発生、任意のコードの実行を招く。 CVE-2014-0310 (Exploitability Index: 1) CVE-2014-1815 (Exploitability Index: 1)

 どちらも「非公開で報告された」ものだったが、CVE-2014-1815 は結果として 0-day となった。

 関連:


2014.05.16

マイクロソフト セキュリティ アドバイザリ 2962824: 失効した非準拠の UEFI モジュールの更新プログラムのロールアップ
(マイクロソフト, 2014.05.14)

 Windows 8、8.1、Server 2012、Server 2012 R2。「4 つの非公開のサードパーティ製 UEFI (Unified Extensible Firmware Interface) モジュールのデジタル署名を失効」。

マイクロソフト セキュリティ アドバイザリ 2960358: .NET TLS で RC4 を無効化するための更新プログラム
(マイクロソフト, 2014.05.14)

 タイトルどおりのもの。更新プログラム 2868725 の事前適用が必要 (Windows 8.1、Server 2012 R2、RT 8.1 を除く)。Windows Update では提供されない。 ダウンロードセンターと Microsoft Update カタログのみ。

マイクロソフト セキュリティ アドバイザリ 2871997: 資格情報の保護と管理を改善する更新プログラム
(マイクロソフト, 2014.05.14)

 Windows 7、Server 2008 R2、8、Server 2012、RT 用の「資格情報の保護とドメイン認証の制御を改善して資格情報の盗用を低減する更新プログラム」を公開。 Windows 8.1 系にはあらかじめこれ相当の機能が入っている感じ。

この更新プログラムは、Local Security Authority (LSA) の保護を強化し、Credential Security Support Provider (CredSSP) の制限管理モードを追加し、保護されているアカウント制限のあるドメイン ユーザー カテゴリのサポートを導入し、クライアントとしての Windows 7、Windows Server 2008 R2、Windows 8、および Windows Server 2012 コンピューターに対してより厳格な認証ポリシーを適用します。

 「よく寄せられる質問」の項で、もうすこし詳しい説明がされている。

2014.07.10 追記:

 更新プログラム 29733512975625 が公開された。


2014.05.15


2014.05.14

APSB14-11: Security hotfix available for Adobe Illustrator (CS6)
(Adobe, 2014.05.13)

 Windows 版および Mac 版の Illustrator CS6 (16.x) に任意のコードの実行を招く欠陥 CVE-2014-0513。 Priority rating は全て 3。

 Hotfix が用意されているので適用すればよい。 まず Illustrator CS6 を最新版に更新し、続いて Hotfix を適用する。 詳細は Install Instructions for Illustrator CS6 Hotfix.pdf を参照。

APSB14-15: Security Updates available for Adobe Reader and Acrobat
(Adobe, 2014.05.13)

 Windows 版および Mac 版の Adobe Reader / Acrobat XI (11.0.07)、X (10.1.10) 公開。11 件のセキュリティ欠陥 CVE-2014-0511 CVE-2014-0512 CVE-2014-0521 CVE-2014-0522 CVE-2014-0523 CVE-2014-0524 CVE-2014-0525 CVE-2014-0526 CVE-2014-0527 CVE-2014-0528 CVE-2014-0529 が修正されている。Priority rating は全て 1。

APSB14-14: Security updates available for Adobe Flash Player
(Adobe, 2014.05.13)

 Flash Player および AIR の更新版登場。6 件のセキュリティ欠陥 CVE-2014-0510 CVE-2014-0516 CVE-2014-0517 CVE-2014-0518 CVE-2014-0519 CVE-2014-0520 を修正。Priority rating は Linux 版と AIR が 3、他は 1。

プラットホーム バージョン
Windows 13.0.0.214
Mac 13.0.0.214
Linux 11.2.202.359
Google Chrome 13.0.0.214
Windows 8 / Server 2012 / RT の Internet Explorer 10 13.0.0.214
Windows 8.1 / Server 2012 R2 / RT 8.1 の Internet Explorer 11 13.0.0.214
AIR SDK & Compiler 13.0.0.111 (Windows, Mac)
AIR SDK 13.0.0.111 (Windows, Mac)

 Android 版 AIR も 13.0.0.111 になってるけど、 APSB14-14 を見る限りでは、今回の欠陥は Android 版には影響しないようです。 (APSB14-09 と見比べてください)

Chrome Stable Channel Update
(Google, 2014.05.13)

 34.0.1847.137 登場。3 件のセキュリティ修正 + Flash Player 更新。


2014.05.13

いろいろ (2014.05.13)
(various)

HP OneView

NTT DATA intra-mart

Fortinet Fortiweb

追記

OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (2014.04.08)

 追加したもの:

  • OpenSSL:事前調整間に合わず 欠陥公表の舞台裏 (毎日, 2014.05.13)。JPCERT/CC では早期警戒パートナーシップに基づく事前通報を用意したが、開始前に OpenSSL.org が予定前倒しで公開してしまったそうで。

    欠陥に誰がいつごろ気付き、公表前にどこまで伝わっていたかについては、欧米メディアによる詳細な検証がある(シドニー・モーニング・ヘラルド)。(中略) グーグルだけでなく、コードノミコンも欠陥を発見するなど、情報が広がり、攻撃者に知られる可能性が高まったため、開発者は予定より早く情報を開示した、という。
    グーグルは、CERT/CCやUS−CERTに欠陥の情報を伝えたか否かについては明らかにしていない。(中略) JPCERTの久保氏は「グーグルは今回、我々のような組織より、直接に開発者に連絡する方が適切と考えたのかもしれない」と推測する。今回の欠陥が非常に深刻だっただけに、高い技術力を持つグーグルが問題を発見し、開発者に修正パッチも提供したことで修正対応が早く進んだことを「不幸中の幸い」と評価した。

Microsoft Security Advisory 2963983: Vulnerability in Internet Explorer Could Allow Remote Code Execution (2014.04.28)

 関連:

  • IEに見つかった「ゼロデイ脆弱性」、“タイミング”と“誤解”で騒ぎ拡大 (日経 IT Pro, 2014.05.12)

  • なぜ、IEの脆弱性問題は過剰報道になったのか? 〜必要以上に危険性を煽った日本のメディアの問題点 (PC Watch, 2014.05.13)

    実は全世界で、この脆弱性に関して、報道機関向けにMicrosoftがニュースリリースを用意したのは日本だけ。そして、個人ユーザーの問い合わせ件数は、日本だけが圧倒的に多かったという。それだけ日本での報道が過熱していたことを示す事象だと言える。
  • ゴールデンウィークを襲ったIE問題、金融機関での対応秘話 (ITmedia, 2014.05.09)

  • お手柄、エメット(EMET)さん! (@IT, 2014.05.12)

     今回のIEの脆弱性に関して最初に公開されたマイクロソフトセキュリティアドバイザリ 2963983では、EMET 4.0以降を推奨設定で導入していれば、追加手順なしで今回の脆弱性の悪用を回避できたそうです。推奨設定には、IE(iexplore.exe)に対する全ての緩和策が構成済みになっています。

     その後に公開されたセキュリティチームの情報によると、IEに対する全ての緩和策に加えて、「Deep Hooks」(ディープフック)および「Anti Detours」(迂回回避)という追加のROP(Return-Oriented Programming)緩和策(Anti-ROP)を有効化することが、更新プログラム公開までの間の有効な回避策とされました。

     これらの緩和策がどういうものであるか、難しい話になるので説明はしません。重要なのは、次期バージョンのプレビュー版であるEMET 5.0 Technical Previewでは両オプションは既定で有効となっていますが、EMET 4.0/4.1では「Deep Hooks」は既定で無効だったということです。もしかしたら、実際に攻撃に遭った場合、EMET 4.0/4.1の推奨設定では防ぎきれなかったのかもしれません。

    ここがよくわからないのですよね。Microsoft の人達がそんなミスをするとは思えないのですが、EMET 4.1 Update 1 では Deep Hooks がデフォルト ON になったわけで。


2014.05.12

追記

OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (21014.04.08)

 追加したもの:

マイクロソフト 2014 年 3 月のセキュリティ情報 (2014.03.12)

 「2 月中旬」の CVE-2014-0324 0-day の件つづき。


2014.05.11


2014.05.10

追記

Firefox 29.0 / ESR 24.5.0、Thunderbird 24.5.0、SeaMonkey 2.26 公開

 Firefox 29.0.1 が公開されました。非セキュリティ fix のようです。

  • リリースノート: Firefox 29.0.1、 Android 版 Firefox 29.0.1


2014.05.09

(緊急)BIND 9.10.0の脆弱性(DNSサービスの停止)について(2014年5月9日公開) - BIND 9.10.0のキャッシュDNSサーバーが対象、バージョンアップを強く推奨 -
(JPRS, 2014.05.10)

 BIND 9.10.0 に欠陥。プリフェッチ機能 (デフォルトで有効) に欠陥があり、特定の属性を持つ応答を返すようなクエリの処理において異常終了する。キャッシュ DNS サーバーとして運用している場合に影響を受ける。

 BIND 9.10.0-P1 で修正されている。またプリフェッチ機能を無効にする (named.conf で prefetch 0; を設定する) ことで回避できる。

来週の予告
(various)

 2014.05.14 (日本時間) 公開予定。


2014.05.08

Dropboxの共有リンク、外部のWebサイトへ筒抜け
(ITmedia, 2014.05.07)

 リンクを含む文書 (PDF, Word 等) を「リンクを共有」で共有 (というか公開) したときに、当該文書を開いて文書中のリンクをたどると、referer ヘッダから当該文書への共有リンクが漏洩してしまう。

 Dropbox は、一旦既存の共有リンクを全て無効とした上で、リンクを含まない文書については順次共有リンクを有効にする処置を実施。また、既存の共有リンクを削除した上で新しい共有リンクを作成することで対応できる。

 関連:


2014.05.07

追記

Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020) (2014.04.17)

PHP 5.5.12、5.4.28 公開
(PHP, 2014.05.01)

 PHP 5.5.12、5.4.28 公開。デフォルト設定の状態で権限上昇が可能な欠陥 CVE-2014-0185 が修正されている。

2014.06.08 追記:

 PHP v5.4.28, v5.5.12以降で必要なPHP-FPMの設定 (Webアプリケーションセキュリティのメモ, 2014.06.07)。 socket ファイルのデフォルト mode が 666 → 660 になるので、必要に応じて owner / group を設定しましょうという話。


2014.05.06

いろいろ (2014.05.06)
(various)

Symantec

サイボウズ ガルーン

Google 検索アプライアンス

Apple Developer Center

追記

Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020) (2014.04.17)

APSB13-28: Security updates available for Adobe Flash Player (2013.12.11)


2014.05.02

追記

Microsoft Security Advisory 2963983: Vulnerability in Internet Explorer Could Allow Remote Code Execution (2014.04.28)

 更新プログラム出ました:

 回避策を実施している場合の注意:

  • VGX.DLL に ACL を設定している場合、更新プログラム適用前に ACL を再設定する必要がある。

  • VGX.DLL を登録解除している場合、更新プログラム適用後に再登録する必要がある。


2014.05.01

追記

Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020) (2014.04.17)


[セキュリティホール memo]
[私について]