セキュリティホール memo - 2014.07

Last modified: Mon Mar 30 12:39:21 2015 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2014.07.30

いろいろ (2014.07.30)
(various)

Apple QuickTime

 0-day 情報。

acmailer

Windows XP

Android 2.1 以降

2014.08.20 追記:
2014.09.01 追記:

 Androidの脆弱性「Fake ID」の危険性:正規アプリインストール後の改ざんが可能に (トレンドマイクロ セキュリティ blog, 2014.08.18)

OpenVPN

Android 版 Outlook.com

Cisco Wireless Residential Gateway

Cisco WebEx Meetings Server

追記

「iOS」全デバイスにバックドアが存在--専門家が指摘 (2014.07.22)

 関連:


2014.07.29

JVNDB-2014-000087: アイ・オー・データ機器製の複数の IP カメラにおける認証回避の脆弱性
(JVN, 2014.07.29)

 IO DATA のネットワークカメラ Qwatch シリーズに欠陥。特定の URL にアクセスすると、認証を回避してパスワード等の内部情報を取得できる。

 修正版ファームウェアが公開されているので適用すればよい。


2014.07.28


2014.07.25

いろいろ (2014.07.25)
(various)

PostgreSQL

Moodle

Citrix XenServer

D-Bus

MIT krb5

phpMyAdmin

CUPS

追記

ベネッセ個人情報漏洩、対策ソリューションが MTP/PTP に対応していなかったのが直接の原因か (2014.07.18)

 2014年7月18日のtwitterセキュリティクラスタ (twitterセキュリティネタまとめ, 2014.07.19)

Firefox 31.0 / ESR 24.7.0 / ESR 31.0、Thunderbird 31.0 公開 (2014.07.23)

 Improving Malware Detection in Firefox (Mozilla Security Blog, 2014.07.23)、 Download files more safely with Firefox 31 (Monica at Mozilla, 2014.07.24)。「Local lookups」「Remote lookup」の件。

「iOS」全デバイスにバックドアが存在--専門家が指摘 (2014.07.22)

 ユーザー監視用バックドアの存在が発覚したiOS、Appleはバックドアを否定するべく機能解説ページを公開 (gigazine, 2014.07.24)。Apple, diag 機能を公開。

Zdziarski氏は、自身が指摘したバックドアの存在を認めたAppleに感謝しつつも、これらの機能が悪用される危険性を指摘し、これらの機能をより制限すべきだと述べています。

2014.07.24

Apache HTTP Server 2.4.10 Released
(Apache.org, 2014.07.21)

 5 件のセキュリティ修正が行われています。

 後半 3 つは Apache 2.2 系列にも影響、Apache 2.2.28 で修正される予定です。

2014.09.04 追記:

 Apache 2.2.28 はリリースされず、Apache 2.2.29 で修正されました。


2014.07.23

Bug 1116198 - (CVE-2014-1544) CVE-2014-1544 nss: Race-condition in certificate verification can lead to Remote code execution (MFSA 2014-63)
(Red Hat, 2014.07.03)

 NSS (全バージョン?) の証明書検証部分 (lib/pk11wrap/pk11cert.c) に競合状態が発生する欠陥があり、 remote から任意のコードを実行させることが可能だそうで。 MFSA 2014-63: 信頼済みキャッシュにおける証明書操作時の解放後使用 の件。 CVE-2014-1544

Firefox 31.0 / ESR 24.7.0 / ESR 31.0、Thunderbird 31.0 公開
(Mozilla, 2014.07.22)

 出ました。ESR 24 系列は、次の 24.8.0 で終了です。 ESR 31 系列に移行してください。

2014.07.25 追記:

 Improving Malware Detection in Firefox (Mozilla Security Blog, 2014.07.23)、 Download files more safely with Firefox 31 (Monica at Mozilla, 2014.07.24)。「Local lookups」「Remote lookup」の件。


2014.07.22

「iOS」全デバイスにバックドアが存在--専門家が指摘
(CNET, 2014.07.22)

 iOS には Apple および法執行機関用のバックドアがもれなく標準装備されている模様です。 詳細は Identifying Back Doors, Attack Points, and Surveillance Mechanisms in iOS Devices を読めばいいみたい。

2014.07.25 追記:

 ユーザー監視用バックドアの存在が発覚したiOS、Appleはバックドアを否定するべく機能解説ページを公開 (gigazine, 2014.07.24)。Apple, diag 機能を公開。

Zdziarski氏は、自身が指摘したバックドアの存在を認めたAppleに感謝しつつも、これらの機能が悪用される危険性を指摘し、これらの機能をより制限すべきだと述べています。

2014.07.30 追記:

 関連:


2014.07.21


2014.07.19


2014.07.18

追記

ベネッセから顧客情報 760 万世帯分が流出、名簿屋から情報を購入したジャストシステムがダイレクトメールを送付して発覚 (2014.07.10)

 別立てにしてまとめた: ベネッセ個人情報漏洩、対策ソリューションが MTP/PTP に対応していなかったのが直接の原因か

 あと、関連報道等:

  • ベネッセ流出:39歳SE逮捕 顧客情報複製疑い 警視庁 (毎日, 2014.07.17)

  • ベネッセ流出:SEを逮捕…秘密複製容疑、1年で1億件 (毎日, 2014.07.17)

  • ベネッセ流出:重い補償金、最終益相当を計上…200億円 (毎日, 2014.07.17)。結局補償することにしたようです。

  • ベネッセ流出:妻子と4人「生活困っていた」…容疑者逮捕 (毎日, 2014.07.18)。十分な給与を与えなかったのが真の原因か。 十分な給与を与えておけば、200 億の被害は回避できたのだろうなあ。

  • 39歳派遣逮捕「金が欲しかった…」ベネッセ情報流出 (スポーツ報知, 2014.07.18)

    警視庁によると、松崎容疑者は「ベネッセの顧客情報を持ち出したことに間違いありません」と供述。逮捕前の任意聴取には「金が欲しかった。売ってはいけないことは知っていた」と話しており、「昨年7月から今年6月まで、月に1、2回の頻度でデータを持ち出し、インターネットで探した名簿業者に15回、計約250万円で売った。重複分も含め、延べ約1億件持ち出した」と説明していた。

    たった 250 万円! ずいぶん安く買い叩かれてるなあ。 本当に困窮していたのだろう。

  • ベネッセ流出:「ギャンブルや入院費で借金」SE供述 (毎日, 2014.07.18)。うわー出ましたギャンブル。

    「ギャンブルで約60万円の借金があり、家族の入院費などと合わせると約170万円の借金があった」と供述していることが捜査関係者への取材で分かった。(中略) 捜査関係者によると、松崎容疑者は趣味のパチンコや競馬に金をつぎ込み、消費者金融から借金を重ねていた。月給約38万円のうち、約11万円を毎月の返済に充てていたという。

    あちゃあ。実際に困窮していたのだろうが、その原因がギャンブルではなあ。 いくらあっても使っちゃうパターンか?

  • ベネッセが容疑者逮捕を受け緊急会見、お詫び対応に200億円 (日経 IT Pro, 2014.07.17)

  • ベネッセ情報漏洩事件容疑者は「ベテランで中心的な役割」、謝罪会見一問一答 (日経 IT Pro, 2014.07.18)

    —今回の事件を受けて、セキュリティを強化するなど、今後システムに投資する予定は。

    (原田氏)
     現段階では分からない。ハードウエア、ソフトウエア含め、世の中の水準よりも脆弱性があるシステムだとは思っていない。言えることは、システムへの投資よりも、(関係者に)徹底した倫理観、責任感を持たせたり、コンプライアンス教育のための費用などに、大きな投資をしたりということだ。

    倫理と責任は問うが給与は出さないのかな。

    —今日の警察発表では、情報漏洩の数は1019万7050件だ。数字に開きがある理由は。

    (松本氏)
     私たちで確認できたのは、760万件だ。警察の数字は警察が確認したものだろう。

    ふぅむ……。

 容疑者が情報を売った先に家宅捜索。

 そうこうしているうちに、ベネッセデータが ECC にも流れていたそうで。

  • ECCもデータ使用か 高校生2万7千件分 業者から名簿購入 (産経, 2014.07.18)

    ECCは名簿を購入する際、公正な方法で取得した情報か業者側に確認し、「個人情報保護法が施行される前に住民基本台帳から入手したものだと説明されたが、問題発覚後、業者からベネッセのデータだったと連絡があった」としている。
    (中略)
     ECCによると、同社は今年2月から4月にかけ、大阪市内の名簿業者から3回にわたって大阪府北部、兵庫県、名古屋市に住む高校1、2年の名簿計約7万5000件を計約60万円で購入した。

    末端価格では、75,000 件で 60 万円ですから。

  • ベネッセコーポレーションの個人情報漏えいの件に対するお詫びと当社の対応につきまして (ECC, 2014.07.18)

  • ベネッセの情報 ECCが2万7000件余利用か (NHK, 2014.07.18)

    ECCに高校生のデータを販売した大阪市の名簿業者が取材に応じ、販売したデータは去年11月に千葉県内の名簿業者から購入した800万人分の名簿の一部で、ECCのほかに全国の塾や予備校、着物の販売店など数十社に要望に応じて販売したことを明らかにしました。

いろいろ (2014.07.18)
(various)

サイボウズ ガルーン 2、ガルーン 3

サイボウズ リモートサービス

サイボウズLive

 「2014 年 6 月 24 日のシステムアップデートにて改修済み」

S2Struts

多機能メールフォームフリー

Drupal

FreeBSD

ベネッセ個人情報漏洩、対策ソリューションが MTP/PTP に対応していなかったのが直接の原因か
(various, 2014.07.17)

 報道によると……

 いまどきのスマートフォンやタブレット、メディアプレイヤーやデジタルカメラ等は MTP (Media Transfer Protocol; メディア転送プロトコル) や PTP (Picture Transfer Protocol; 画像転送プロトコル) を使ってファイル転送するのが一般的ですが、上記を見る限りでは、ベネッセが採用していた情報漏洩対策ソリューションは MTP/PTP に対応していなかった模様です。

 これ↓はクオリティソフトの QND の宣伝記事ですが、ベネッセのもそういう状況だったように見えます。

 ぐぐってみると、MTP/PTP 対応を明記している製品がいくつかありました。

 あと、グループポリシーを使うとか?

 関連: connect24h @connect24h さんの一連のツイート

2014.07.25 追記:

 2014年7月18日のtwitterセキュリティクラスタ (twitterセキュリティネタまとめ, 2014.07.19)

2014.07.29 追記:

 ベネッセ事件容疑者はなぜスマホでデータを持ち出せたか、IT部門は設定の再点検を (日経 IT Pro, 2014.07.29)。よくまとまっている記事。

デバイス制御ソフトがMTP/WPD使用制限機能に対応した時期の例
企業名 製品名 対応時期
日立ソリューションズ 秘文AE Information Fortress 2009年6月出荷の「Ver.9」から
エムオーテックス LanScope Cat 2011年3月出荷の「Ver.6.6」から
日本ファインアート TotalSecurityFort 2011年8月出荷の「Ver4.0.1.x」から
ハミングヘッズ evolution /SV 2011年12月出荷の「ベーシック evolution/SV Ver3.0.15」から
インテリジェント ウェイブ CWAT 2012年7月出荷の「V4.3.0」から
富士通 Systemwalker Desktop Keeper 2013年8月出荷の「V15」から

2014.08.22 追記:

 関連:


2014.07.17

Chrome Stable Channel Update
(Google, 2014.07.16)

 Chrome 36.0.1985.125 が stable に。セキュリティ修正 26 件を含む。


2014.07.16

Oracle Critical Patch Update Advisory - July 2014
(Oracle, 2014.07.15)

 Oracle 定期更新来ました。113 件のセキュリティ欠陥が修正されています。 VirtualBox や MySQL もあるよ。

 Java SE は 8u11 と 7u65 で修正されています。 ダウンロード

2014.07.25 追記:

 [FD] Oracle Data Redaction is Broken (fulldisclosure ML, 2014.07.16)、 Oracle Data Redaction is Broken (David Litchfield, 2013.11.08)


2014.07.15


2014.07.14

追記

ベネッセから顧客情報 760 万世帯分が流出、名簿屋から情報を購入したジャストシステムがダイレクトメールを送付して発覚 (2014.07.10)

 関連:


2014.07.12


2014.07.11

マイクロソフト セキュリティ アドバイザリ 2982792: 不適切に発行されたデジタル証明書により、なりすましが行われる
(マイクロソフト, 2014.07.11)

 インドでニセ google 証明書の件、マイクロソフトも対応。 google.com の他に gmail.com, googlemail.com, gstatic.com, yahoo.com, yahoo-inc.com, yahooapis.com のニセ証明書もあった (SA 2982792 に一覧あり)。CCA India (インド政府認証管理局) から発行された NIC (インド国立情報工学センター) の中間 CA 証明書を無効化することで対応。

 関連:

追記

ベネッセから顧客情報 760 万世帯分が流出、名簿屋から情報を購入したジャストシステムがダイレクトメールを送付して発覚 (2014.07.10)

 関連:

APSB14-17: Security updates available for Adobe Flash Player (2014.07.09)

 Adobe Flash Player updates available for OS X on July 10, 2014 (Apple, 2014.07.10)、Apple Forcing Users to Upgrade to Latest Adobe Flash Plug-In Due to Security Issues (MacRumors, 2014.07.10)。Mac OS X 方面では、Flash Player が 14.0.0.145 / 13.0.0.231 より古いとブロックされるようになりました。


2014.07.10

2014 年 7 月のマイクロソフト セキュリティ情報の概要
(マイクロソフト, 2014.07.09)

 予定どおり出ました。

MS14-037 – 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (2975687)

 IE 6〜11 に 24 件のセキュリティ欠陥。

MS14-038 – 緊急: Windows Journal の脆弱性により、リモートでコードが実行される (2975689)

 Windows Vista、Server 2008、7、Server 2008 R2、8、8.1、Server 2012、Server 2012 R2、RT、RT 8.1 に欠陥。Windows Journal に欠陥があり、攻略ジャーナルファイルを開くと任意のコードが実行される。CVE-2014-1824。 Exploitability Index: 1

MS14-039 – 重要: スクリーン キーボードの脆弱性により、特権が昇格される (2975685)

 Windows Vista、Server 2008、7、Server 2008 R2、8、8.1、Server 2012、Server 2012 R2、RT、RT 8.1 に欠陥。整合性レベルが「低レベル」となっているプロセス (IE 保護モードなど) からスクリーンキーボードを実行することで、現在のユーザーと同じ整合性レベルで任意のプログラムを実行できる。実際にはさらにもう一段ステップがあるようで:

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
この脆弱性を悪用するには、攻撃者はまず低整合性プロセスの脆弱性を使用してスクリーン キーボードを実行した後、特別に細工されたプログラムを標的となるシステムにアップロードする手段を確保する必要があります。

 「一部のプログラムが整合性レベルの異なるプログラムと通信する方法を修正」して対応。 CVE-2014-2781。Exploitability Index: 1

MS14-040 - 重要: Ancillary Function ドライバー (AFD) の脆弱性により、特権が昇格される (2975684)

 Windows Server 2003、Vista、Server 2008、7、Server 2008 R2、8、8.1、Server 2012、Server 2012 R2、RT、RT 8.1 に欠陥。Ancillary Function ドライバー (AFD) に欠陥があり、local user による管理者権限の取得が可能。CVE-2014-1767。Exploitability Index: 1

MS14-041 - 重要: DirectShow の脆弱性により、特権が昇格される (2975681)

 Windows Vista、Server 2008、7、Server 2008 R2、8、8.1、Server 2012、Server 2012 R2、RT、RT 8.1 に欠陥。DirectShow に欠陥があり、 MS14-039 などと組みあわせることで (という理解でいいのかな) 整合性レベル「低レベル」から、ログオンしているユーザーの権限への権限上昇が可能となる。 CVE-2014-2780。Exploitability Index: 1

MS14-042 – 警告: Microsoft Service Bus の脆弱性により、サービス拒否が起こる (2972621)

 Windows Server 2008 R2、Server 2012、Server 2012 R2 に欠陥。 Microsoft Service Bus for Windows Server 1.1 に欠陥があり、攻略 Advanced Message Queuing Protocol (AMQP) メッセージを受信すると Microsoft Service Bus が応答しなくなる。よって DoS 攻撃が成立。 CVE-2014-2814。 Exploitability Index: N/A

 関連:

2014.08.19 追記:

 IEの「Delay Free」、「解放後使用」の脆弱性利用の攻撃を軽減 (トレンドマイクロ セキュリティ blog, 2014.07.22)

2014年6月公開の Microsoft のセキュリティ更新プログラムで、「isolated heap(隔離されたヒープ)」と呼ばれる改善がありましたが、7月のセキュリティ更新プログラムでも、Internet Explorer(IE)に関するいくつかの改善が確認されています。なかでも最も興味深く、また賢明だと思われるのは、IE に存在する「Use After Free(解放後使用)」の脆弱性を利用した攻撃を軽減するように設計された改善策です。本稿では、この改善策を「delay free」と呼びます。この改善策により、参照数が 0 の場合、IE はオブジェクトのヒープ領域を即時に解放しなくなります。

 あと、MS14-039 で不具合が出ていたようで。修正プログラム出てます。

2014.09.19 追記:

 Windows 7・Server 2012・8.1・Server 2012 R2・RT 8.1 + 2973201 更新プログラム + Bentley MicroStation の環境で、不具合が発生していた模様。

 上記 URL から hotfix を入手できる。

追記

マイクロソフト セキュリティ アドバイザリ 2871997: 資格情報の保護と管理を改善する更新プログラム (2014.05.16)

 更新プログラム 29733512975625 が公開された。

  • Windows 8.1・Server 2012 R2・RT 8.1 に 2973351 (Windows 8.1 Update 適用済用) または 2975625 (Windows 8.1 Update 適用なし用) をインストールすると、制限管理モードがデフォルト OFF になる (これまではデフォルト ON だった)。HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa へのレジストリ設定 + 再起動で ON/OFF を切り替えられるようになる。

  • Windows 7、Server 2008 R2、8、Server 2012、RT の場合、これまでは、2871997 更新プログラムで制限管理モード機能を追加し、Fixit 20141 の適用で有効化するというしくみになっていた (なぜか無効化手順が説明されていない……)。

    今回、2871997 に加えて 2973351 を適用すると、HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa へのレジストリ設定 + 再起動で ON/OFF を切り替えられるようになる。

ベネッセから顧客情報 760 万世帯分が流出、名簿屋から情報を購入したジャストシステムがダイレクトメールを送付して発覚
(various, 2014.07.09)

 オフィシャル情報

 顧客からの声

 まとめ、分析

 関連報道など

2014.07.11 追記:

 関連:

2014.07.13 追記:

 関連:

 ジャストシステムホームページを見てびっくりしたのですが、スマイルゼミこそがジャストシステムのイチオシ商品なのですね。いつのまにかそういう会社になってたんだ。

2014.07.14 追記:

 関連:

2014.07.18 追記:

 別立てにしてまとめた: ベネッセ個人情報漏洩、対策ソリューションが MTP/PTP に対応していなかったのが直接の原因か

 あと、関連報道等:

 容疑者が情報を売った先に家宅捜索。

 そうこうしているうちに、ベネッセデータが ECC にも流れていたそうで。

2014.07.28 追記:

 関連:

2014.08.06 追記:

 関連:

2014.08.07 追記:

 関連:

2014.08.11 追記:

 SD カードに残っていた約 2000 万件について、容疑者を再逮捕。 また、持ち出し総数はのべ 2 億 300 万件にのぼるとの警視庁タレ流し情報。

2014.08.18 追記:

 関連:

2014.09.11 追記:

 関連:

2014.09.18 追記:

 ベネッセ情報漏洩『お詫び通知が』届き『どういうつもり?』と炎上中 (grape, 2014.09.17)。おわび金券とベネッセこども基金とは別個の存在なのだが、なぜわざわざこの場で混ぜるのか。「不要です」という選択肢を用意しておき、その場合はこども基金に回せばいいだけではないか。

2014.09.26 追記:

 関連:

2014.10.13 追記:

 関連:


2014.07.09

APSB14-17: Security updates available for Adobe Flash Player
(Adobe, 2014.07.08)

 Flash Player / AIR 更新。3 件のセキュリティ欠陥が修正されている。

プラットホーム バージョン
Windows 14.0.0.145
Mac 14.0.0.145
Linux 11.2.202.394
Google Chrome 14.0.0.145
Windows 8 / Server 2012 / RT の Internet Explorer 10 14.0.0.145
Windows 8.1 / Server 2012 R2 / RT 8.1 の Internet Explorer 11 14.0.0.145
AIR 14.0.0.137 (Windows, Mac, Android)
AIR SDK & Compiler 14.0.0.137 (Windows, Mac, Android, iOS)
AIR SDK 14.0.0.137 (Windows, Mac, Android, iOS)

 Windows / Mac 用には拡張サポート版 13.0.0.231 も用意されている。

 日本語訳版: APSB14-17: Adobe Flash Player用のセキュリティアップデート公開 (Adobe, 2014.07.08)

2014.07.11 追記:

 Adobe Flash Player updates available for OS X on July 10, 2014 (Apple, 2014.07.10)、Apple Forcing Users to Upgrade to Latest Adobe Flash Plug-In Due to Security Issues (MacRumors, 2014.07.10)。Mac OS X 方面では、Flash Player が 14.0.0.145 / 13.0.0.231 より古いとブロックされるようになりました。

2014.12.15 追記:

 Flashのlocal-with-filesystem Sandboxのバイパス (Masato Kinugawa Security Blog, 2014.12.10)。CVE-2014-0537 or CVE-2014-0539 の解説。

いろいろ (2014.07.09)
(various)

LibreOffice

IPMI

Ruby on Rails

RealPlayer

Foxit Reader


2014.07.08

いろいろ (2014.07.08)
(various)

Becky! Internet Mail

 2.68.00 で修正されている。

Cacti

file

横河電機 CENTUM, Exaopc

Netgear GS108PE

Android 方面
(various)

Android 4.3 KeyStore

Android 4.1.1〜4.4.2 com.android.phone

 Android 4.4.4 にはこの欠陥はない。Android Security Team には 2013 年中に通報済だという。 CVE-2013-6272

  • CVE-2013-6272 com.android.phone (curesec.com, 2014.07.04)

  • Androidに脆弱性、許可なく通話発信される恐れ (ITmedia, 2014.07.08)

    今回見つかった脆弱性を悪用すれば、このパーミッションを迂回することが可能になる。不正なアプリを使って許可なく電話をかけたり、通話を中断させたりできるほか、USSDコードやMMIコードを送信することも可能で、電話の転送やシムカードの妨害といった行為に使われる恐れもある。

「AVG Safeguard」および「AVG Secure Search」のActiveXコントロールに脆弱性
(窓の杜, 2014.07.08)

 というかそもそも、AVG Safeguard とか AVG Secure Search でぐぐると、マルウェア扱いされてるとしか思えないんだが……。フリーソフトにくっついて入ることがあるみたい。 AVG Japan の「AVG Secure Search(AVGセキュアサーチ)について」 にもアンインストール手順しか載ってないし。

 というわけで、アンインストールを推奨。どうしても使いたい人は、最新版をインストールすればいいんじゃないかな。 あと、kill bit 設定したい人は、VU#960193: AVG Safeguard and Secure Search ActiveX controls provides insecure methods (US-CERT) を参照。


2014.07.07

追記

いろいろ (2014.07.03)


2014.07.06


2014.07.04

マイクロソフト 2014 年 7 月 9 日のセキュリティ リリース予定 (月例)
(日本のセキュリティチーム, 2014.07.04)

 6 件を予定 (緊急 x 2、重要 x 3、警告 x 1)。 IE あり。「Windows Server 用の Microsoft Service Bus」というのも対象になっている。 Service Bus for Windows Server (Service Bus 1.0)Service Bus for Windows Server (Service Bus 1.1) のことでいいのかな。


2014.07.03

複数の LZO / LZ4 圧縮アルゴリズム実装に 20 年バグ、DoS や任意のコードの実行を招く
(various)

 複数の LZO / LZ4 圧縮アルゴリズム実装 (各アルゴリズムの参照実装を含む) に欠陥があり、特定の条件を満たすと integer overflow するそうです。 Linux カーネル, Libav, FFmpeg, ...

 対応

いろいろ (2014.07.03)
(various)

SQL::Maker

WordPress プラグイン MailPoet

2014.07.07 追記:
  • WordPress MailPoet (wysija-newsletters) Unauthenticated file Uploadの原因と対策 (yohgaki's blog, 2014.07.04)

    MetasploiteのプラグインはテーマとしてアップロードされるZIPファイルに攻撃用となるPHPスクリプトを入れています。WordPressのMailPoetがロールの確認を怠っていたため、管理者以外でもテーマのZIPファイルがアップロード可能となり、不正なファイルを含むZIPファイルが展開され配置されてしまっていた事が問題の原因です。 対策としてロールの確認、ZIPファイルコンテンツのバリデーションが追加されています。

D-Bus

サイレックス・テクノロジー USBデバイスサーバ SX-2000WG

Cisco Unified Communications Domain Manager

追記

Alert (ICS-ALERT-14-176-02A) ICS Focused Malware (Update A) (2014.07.01)

 シマンテックの、日本語版出ました:

APPLE-SA-2014-06-30-4 Apple TV 6.1.2 (2014.07.02)

 こちらでは、Apple TV 6.1.2 ではなく 6.2 になってますね: About the security content of Apple TV 6.2 (Apple, 2014.06.30)


2014.07.02

いろいろ (2014.07.02)
(various)

PHP

 PHP 5.5.14、5.4.30 公開。

 8 件のセキュリティ欠陥を修正。

looking-glass 関連 (mrlg4php, cougar-lg, cistron-lg, mrlg)

Symantec Data Insight Management Console

GnuPG

APPLE-SA-2014-06-30-4 Apple TV 6.1.2
(Apple / Bugtraq, 2014.06.30)

 Apple TV 6.1.2 公開。35 件の欠陥を修正。

2014.07.03 追記:

 こちらでは、Apple TV 6.1.2 ではなく 6.2 になってますね: About the security content of Apple TV 6.2 (Apple, 2014.06.30)

APPLE-SA-2014-06-30-3 iOS 7.1.2
(Apple / Bugtraq, 2014.06.30)

 iOS 7.1.2 公開。44 件の欠陥を修正。 また Trusted root certificates を更新。

APPLE-SA-2014-06-30-2 OS X Mavericks 10.9.4 and Security Update 2014-003
(Apple / Bugtraq, 2014.06.30)

 OS X Mavericks 10.9.4 および OS X Lion v10.7.5、Mountain Lion v10.8.5 用の Security Update 2014-003 公開。19 件の欠陥を修正。 また Trusted root certificates を更新。

 OS X Mavericks 10.9.4 には Safari 7.0.5 が同梱されている。

APPLE-SA-2014-06-30-1 Safari 6.1.5 and Safari 7.0.5
(Apple / Bugtraq, 2014.06.30)

 Safari 6.1.5、7.0.5 公開 (v10.7.5, v10.8.5, v10.9.3 用)。 Webkit の 12 件の欠陥を修正 (任意のコードの実行 x 10、ローカルファイル漏洩 x 1、アドレスバー詐称 x 1)。


2014.07.01

Alert (ICS-ALERT-14-176-02A) ICS Focused Malware (Update A)
(US-CERT, 2014.06.27)

 Havex / Dragonfly の件。

 攻撃対象はエネルギーセクターなのか……。

2014.07.03 追記:

 シマンテックの、日本語版出ました:

追記

マイクロソフト セキュリティ アドバイザリ (2719662) ガジェットの脆弱性により、リモートでコードが実行される (2012.07.12)

 7/Vista のガジェット、無効にしてますか? (山市良のえぬなんとかわーるど, 2014.07.01)


[セキュリティホール memo]
[私について]