セキュリティホール memo - 2014.08

Last modified: Thu Aug 20 18:15:56 2015 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2014.08.29

いろいろ (2014.08.29)
(various)

Apache OpenOffice

QNAP

Panda Security 2014

Android 版アプリ Kindle


2014.08.28

追記

2014 年 8 月のマイクロソフト セキュリティ情報の概要 (2014.08.16)

 MS14-045、修正版の更新プログラム 2993651 が公開された。2982791 をインストールした状態でも 2993651 をインストールできるが、その場合、コントロールパネルの [インストールされた更新プログラム] に 2982791 が残ってしまう。このため、2982791 の事前アンインストールが推奨されている。

HPノートPCのAC電源コード 自主回収プログラムのご案内
(HP, 2014.08.27)

 HP note PC 用 AC コードのうち、2010年9月〜2012年6月に出荷された、「LS-15」のマークが付いているものの一部を無償回収・交換。対象品かどうかは http://www.hp.com/support/PowerCordReplacement で確認できる。

Chrome Stable Channel Update
(Google, 2014.08.26)

 Chrome 37.0.2062.94 公開。50 件のセキュリティ修正を含む。


2014.08.27


2014.08.26

いろいろ (2014.08.26)
(various)

Symantec Encryption Desktop、Symantec PGP Desktop

Cacti

Apache Traffic Server

WordPress プラグイン MailPoet Newsletters

Xen

MediaWiki


2014.08.25


2014.08.24


2014.08.23


2014.08.22

いろいろ (2014.08.22)
(various)

nginx

  • [nginx-announce] nginx security advisory (CVE-2014-3556) (nginx, 2014.08.05)。nginx の SMTP proxy に欠陥があり、特権的なネットワーク位置にいる攻撃者が、STARTTLS で開始される SSL セッションにコマンドを挿入し、クライアントから送られるセンシティブ情報を取得できる。nginx 1.7.4, 1.6.1 で修正されている。 iida さん情報ありがとうございます。

GNU Readline

Ruby on Rails

Rapiscan Secure 1000 全身 X 線スキャナー

Cisco

PHP 5.5.16、5.4.32、5.3.29 公開
(PHP, 2014.08)

 PHP 5.5.16 (2014.08.22) では 5 件のセキュリティ欠陥が修正されています。ChangeLog から抜粋:

Fileinfo: GD: Network:

 PHP 5.4.32 (2014.08.21) では 7 件のセキュリティ欠陥が修正されています。ChangeLog から抜粋:

Core: Fileinfo: GD: SPL:

 PHP 5.3.29 (2014.08.14、5.3.x 最終版) では 25 件のセキュリティ関連欠陥修正が PHP 5.4、5.5 からバックポートされているそうです。 5.3.29 ChangeLog では CVE 番号がついているのは 7 件ですが。

追記

ベネッセ個人情報漏洩、対策ソリューションが MTP/PTP に対応していなかったのが直接の原因か (2014.07.18)

 関連:

  • グループ ポリシーを用いた WPD デバイスの制限について (Ask CORE, 2014.08.18)

    (1) PTP/MTP による読み書きを制限する方法
    (中略)
    この設定をしていたとしても、PC にインストールされたスマート フォン専用のアプリケーションによってデータの書き込みを行える場合があります。 これは独自方法 (PTP/MTP 以外) によってファイルの転送を実装しているためです。 これを回避するには、PC へのアプリケーションのインストールを制限するか、後述する WPD デバイスのインストールそのものを制限する方法を実施する必要があります。
    (2) WPD デバイスのインストールを制限する方法
    (中略)
    スマート フォンの一部には、WPD デバイスとしてではなく、他のデバイスとして 認識されるものが存在し、WPD デバイスのインストール制限だけでは、デバイスが使用できてしまう場合もあります。これを回避するには、後述するホワイト リストを使用して制限する方法を実施する必要があります。
    (3) ホワイト リストによるデバイスのインストールを制限する方法
    (中略)
    ソフトウェア レベルで最も堅牢な対策をしたい場合は、この方法が推奨されます。(中略) その反面、許可対象のデバイスが増えるにつれ定義内容も増え、運用が煩雑になることがあります。また、デバイス検知時にインストールを制限するという性質上、既にインストール済みのデバイスについては、制限を行うことができません。このため、対象の PC の不要なデバイスをあらかじめ削除しておくなどの対処が必要です。

    具体的な設定方法については、記事本文を参照。あとここ:

    スマート フォンへの情報の書き出しを完全に防ぐためには、上記のソフトウェア側の対応だけではなく、USB の接続口をふさいだり、サーバー室にスマート フォンを持ち込ませないなどの物理的なセキュリティ対策もあわせて実施されることを強くお勧めします。
  • セキュリティクラスター まとめのまとめ 2014年7月版:ベネッセの情報漏えいがあぶり出してしまった、USBメモリ管理の穴 (@IT, 2014.08.11)

Chrome Stable Channel Update
(Google, 2014.08.12)

 Chrome 36.0.1985.143。Flash の更新だけじゃなくてセキュリティ修正 x 12 もあったのね。見逃してた。


2014.08.21

いろいろ (2014.08.21)
(various)

phpMyAdmin

Apache Subversion

US ミシガン州のある街に実在する信号システム

  • Wi-Fi経由で街中の道路信号システムが乗っ取られてしまう危険性が発覚 (gigazine, 2014.08.21)。ふつうの Note PC 1 つで落とせる模様。

    交通の安全を守る信号システムがこのような脆弱性を抱えながら動いているという実に驚くべき事実が明らかになったわけであり、調査チームはシステムを管理する行政やシステムを実際に構築したベンダーに対して早急な対応を求めています。しかし、報告書ではベンダーが寄せてきた回答で「業界標準の仕様に従ったものであり、セキュリティの観点を含めていないのは標準そのものです」という一言を一例に挙げ、各レベルでの責任感の低さやセキュリティ意識の低さが最大の問題点であるとしています。

    ぐはぁ (吐血)

追記

OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (2014.04.08)

 「被害事例だとされるもの」に「米病院チェーン Community Health Systems(CHS)社」を追加。


2014.08.20

いろいろ (2014.08.20)
(various)

Android 版 Ameba

Cakifo

追記

いろいろ (2014.07.30)

 Android 2.1 以降の Fake ID 脆弱性の件。


2014.08.19

Safari 6.1.6 および Safari 7.0.6 のセキュリティコンテンツについて
(Apple, 2014.08.14)

 Safari 6.1.6、7.0.6 公開 (v10.7.5, v10.8.5, v10.9.4 用)。WebKit の 7 件の欠陥を修正 (いずれも任意のコードの実行を招く)。CVE-2014-1384 CVE-2014-1385 CVE-2014-1386 CVE-2014-1387 CVE-2014-1388 CVE-2014-1389 CVE-2014-1390

追記

USB周辺機器が“悪者”に、BlackHatで実証ツール公開予定 (2014.08.01)

 Black Hat 2014:航空機、列車、自動車への攻撃 (Kaspersky, 2014.08.18)

「USBはこのように動作するよう設計されています。誰も間違ったことはしていません。そして、これを修正する方法はありません。USBを持っている限り、ほかのデバイスになりすますことのできるデバイスを持っていることになります。これはセキュリティの構造的な問題です」(ノール氏)
(中略)
なお、ノール氏が最初にこの攻撃を知るきっかけとなったのは、今では有名になったNSAのハッキングツールカタログでした。

2014 年 7 月のマイクロソフト セキュリティ情報の概要 (2014.07.10)

 IEの「Delay Free」、「解放後使用」の脆弱性利用の攻撃を軽減 (トレンドマイクロ セキュリティ blog, 2014.07.22)

2014年6月公開の Microsoft のセキュリティ更新プログラムで、「isolated heap(隔離されたヒープ)」と呼ばれる改善がありましたが、7月のセキュリティ更新プログラムでも、Internet Explorer(IE)に関するいくつかの改善が確認されています。なかでも最も興味深く、また賢明だと思われるのは、IE に存在する「Use After Free(解放後使用)」の脆弱性を利用した攻撃を軽減するように設計された改善策です。本稿では、この改善策を「delay free」と呼びます。この改善策により、参照数が 0 の場合、IE はオブジェクトのヒープ領域を即時に解放しなくなります。

 あと、MS14-039 で不具合が出ていたようで。修正プログラム出てます。

2014 年 6 月のマイクロソフト セキュリティ情報の概要 (2014.06.11)

 「隔離されたヒープ」により、「解放後使用」の脆弱性を利用した攻撃を軽減 (トレンドマイクロ セキュリティ blog, 2014.07.09)

Microsoft が 2014年6月10日(米国時間)に公開した定例セキュリティ情報で、Internet Explorer(IE)に存在する「Use After Free(解放後使用)」の脆弱性を利用した攻撃を軽減させる画期的な改善が確認されました。トレンドマイクロが「isolated heap(隔離されたヒープ)」と名づけたこの改善策は、「解放後使用」の脆弱性利用の影響を受けやすい多くのオブジェクトに、隔離されたメモリ領域を用意するように設計されています。

2014.08.18

追記

ベネッセから顧客情報 760 万世帯分が流出、名簿屋から情報を購入したジャストシステムがダイレクトメールを送付して発覚 (2014.07.10)

2014 年 8 月のマイクロソフト セキュリティ情報の概要 (2014.08.16)

 マイクロソフトは 2014.08.18 付で、MS14-045 更新プログラム 2982791 のアンインストールを推奨。(英語版 MS14-045 では 2014.08.15 付)

なぜこのセキュリティ情報は 2014 年 8 月 18 日に更新されたのですか?
マイクロソフトは、セキュリティ更新プログラム 2982791 のインストールに関連する既知の問題に対応するためにこのセキュリティ情報を更新しました。マイクロソフトは、この更新プログラムのインストールに関連する動作を調査中であり、詳細が明らかになりましたらこのセキュリティ情報を更新する予定です。マイクロソフトはお客様がこの更新プログラムをアンインストールすることをお勧めします。マイクロソフトは、追加の予防措置として、セキュリティ更新プログラム 2982791 のダウンロード リンクを削除しました。この更新プログラムのアンインストール方法については、サポート技術情報 2982791 (英語情報) を参照してください。

2014.08.17


2014.08.16

2014 年 8 月のマイクロソフト セキュリティ情報の概要
(マイクロソフト, 2014.08.13)

 予定どおり出てます。

MS14-043 - 緊急: Windows Media Center の脆弱性により、リモートでコードが実行される (2978742)

 Windows 7、Windows 8・8.1 の Windows Media Center、Windows Media Center TV Pack for Windows Vista に欠陥。MCPlayer.dll に欠陥があり、攻略 Office ファイルを開くと任意のコードが実行される。CVE-2014-4060。Exploitability Index: 2

MS14-044 - 重要: SQL Server の脆弱性により、特権が昇格される (2984340)

 SQL Server 2008、2008 R2、2012、2014 に 2 つの欠陥。

  • SQL マスター データ サービスの XSS の脆弱性 - CVE-2014-1820。 Exploitability Index: 2

  • Microsoft SQL Server のスタック オーバーランの脆弱性 - CVE-2014-4061。 Exploitability Index: 3

MS14-045 - 重要: カーネルモード ドライバーの脆弱性により、特権が昇格される (2984615)

 Windows Server 2003、Vista、Server 2008、7、Server 2008 R2、8・8.1、Server 2012・Server 2012 R2、RT・RT 8.1 に 3 つの欠陥。local user による権限上昇が可能。

  • Win32k の特権の昇格の脆弱性 - CVE-2014-0318。Exploitability Index: 3

  • フォント ダブルフェッチの脆弱性 - CVE-2014-1819。Exploitability Index: 2

  • Windows カーネル プール割り当ての脆弱性 - CVE-2014-4064。Exploitability Index: 3

 更新プログラムによる不具合が確認されているため、現在、ダウンロードは中止されている (後述)。

2014.08.18 追記:

 マイクロソフトは 2014.08.18 付で、更新プログラムのアンインストールを推奨。

なぜこのセキュリティ情報は 2014 年 8 月 18 日に更新されたのですか?
マイクロソフトは、セキュリティ更新プログラム 2982791 のインストールに関連する既知の問題に対応するためにこのセキュリティ情報を更新しました。マイクロソフトは、この更新プログラムのインストールに関連する動作を調査中であり、詳細が明らかになりましたらこのセキュリティ情報を更新する予定です。マイクロソフトはお客様がこの更新プログラムをアンインストールすることをお勧めします。マイクロソフトは、追加の予防措置として、セキュリティ更新プログラム 2982791 のダウンロード リンクを削除しました。この更新プログラムのアンインストール方法については、サポート技術情報 2982791 (英語情報) を参照してください。
2014.08.28 追記:

 MS14-045、修正版の更新プログラム 2993651 が公開された。2982791 をインストールした状態でも 2993651 をインストールできるが、その場合、コントロールパネルの [インストールされた更新プログラム] に 2982791 が残ってしまう。このため、2982791 の事前アンインストールが推奨されている。

MS14-046 - 重要: .NET Framework の脆弱性により、セキュリティ機能のバイパスが起こる (2984625)

 .NET Framework 1.1 SP1、2.0 SP2、3.0 SP2、3.5、3.5.1 に欠陥があり、 Address Space Layout Randomization (ASLR) を回避できる。 CVE-2014-4062。 Exploitability Index: 2

 この欠陥は .NET Framework 3.5 SP1、4.x にはない。 また .NET Framework 1.1 SP1 には更新プログラムは用意されない。

Microsoft .NET Framework 1.1 Service Pack 1 にも影響受けるコードは存在しますが、Microsoft .NET Framework 1.1 Service Pack 1 をサポートするオペレーティング システムは ASLR アーキテクチャをサポートしていなため、そのための修正プログラムを作成することは実現不可能です。修正プログラムを作成するには、Microsoft .NET 1.1 Service Pack 1 の大部分のアーキテクチャを変更する必要があり、基になるオペレーティング システムでサポートされていない ASLR はそれでも正常に機能しません。

MS14-047 - 重要: LRPC の脆弱性により、セキュリティ機能のバイパスが起こる (2978668)

 Windows 7、Server 2008 R2、8・8.1、Server 2012・Server 2012 R2、RT・RT 8.1 に欠陥。ローカル RPC にメモリリークする欠陥があり、悪用することで ASLR を回避できる。 CVE-2014-0316。 Exploitability Index: 3

MS14-048 - 重要: OneNote の脆弱性により、リモートでコードが実行される (2977201)

 OneNote 2007 SP3 に欠陥。OneNote ファイルの処理に欠陥があり、攻略 OneNote ファイルを開くと任意のコードが実行される。CVE-2014-2815。 Exploitability Index: 2

MS14-049 - 重要: Windows Installer サービスの脆弱性により、特権が昇格される (2962490)

 Windows Server 2003、Vista、Server 2008、7、Server 2008 R2、8・8.1、Server 2012・Server 2012 R2、RT・RT 8.1 に欠陥。Windows Installer サービスに欠陥があり、local user による権限上昇が可能。 CVE-2014-1814。 Exploitability Index: 2

MS14-050 - 重要: Microsoft SharePoint Server の脆弱性により、特権が昇格される (2977202)

 SharePoint Server 2013、2013 SP1 に欠陥。

この脆弱性は、SharePoint の extensibility モデルを使用してユーザーの代わりに任意の JavaScript を実行する特別に細工されたアプリを、SharePoint Server が適切に処理しない場合に発生します。アプリがアプリの権限管理をバイパスし、ログオンしているユーザーのセキュリティ コンテキストで任意のコードを実行する可能性がある状況が存在します。

 CVE-2014-2816。 Exploitability Index: 2

MS14-051 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (2976627)

 IE 6〜11 に 26 件の欠陥。メモリ破損の脆弱性 内 1 件は公開済であり、1 件は 0-day だった。

 いくつかの環境で不具合が発生しているようです:

 マイクロソフトも公式に認めました。対応方法も記載されています。

 その他:

2014.08.18 追記:

 マイクロソフトは 2014.08.18 付で、MS14-045 更新プログラム 2982791 のアンインストールを推奨。(英語版 MS14-045 では 2014.08.15 付)

なぜこのセキュリティ情報は 2014 年 8 月 18 日に更新されたのですか?
マイクロソフトは、セキュリティ更新プログラム 2982791 のインストールに関連する既知の問題に対応するためにこのセキュリティ情報を更新しました。マイクロソフトは、この更新プログラムのインストールに関連する動作を調査中であり、詳細が明らかになりましたらこのセキュリティ情報を更新する予定です。マイクロソフトはお客様がこの更新プログラムをアンインストールすることをお勧めします。マイクロソフトは、追加の予防措置として、セキュリティ更新プログラム 2982791 のダウンロード リンクを削除しました。この更新プログラムのアンインストール方法については、サポート技術情報 2982791 (英語情報) を参照してください。

2014.10.09 追記:

 MS14-046 更新プログラム 2966827・2966828 で不具合が発生しているようです。 更新プログラム 3005628 で修正。


2014.08.15

追記

APSB14-19 - Security Updates available for Adobe Reader and Acrobat


2014.08.13

APSB14-18 - Security updates available for Adobe Flash Player
(Adobe, 2014.08.12)

 Flash Player / AIR 更新。7 件のセキュリティ欠陥が修正されている。 CVE-2014-0538 CVE-2014-0540 CVE-2014-0541 CVE-2014-0542 CVE-2014-0543 CVE-2014-0544 CVE-2014-0545

プラットホーム バージョン
Windows (ActiveX) 14.0.0.176
Windows (NPAPI プラグイン) 14.0.0.179
Mac 14.0.0.176
Linux 11.2.202.400
Google Chrome 14.0.0.177
Windows 8 / Server 2012 / RT の Internet Explorer 10 14.0.0.176
Windows 8.1 / Server 2012 R2 / RT 8.1 の Internet Explorer 11 14.0.0.176
AIR 14.0.0.178 (Windows, Mac)
14.0.0.179 (Android)
AIR SDK & Compiler 14.0.0.178 (Windows, Mac, Android, iOS)
AIR SDK 14.0.0.178 (Windows, Mac, Android, iOS)

 Windows / Mac 用には拡張サポート版 13.0.0.241 も用意されている。

APSB14-19 - Security Updates available for Adobe Reader and Acrobat
(Adobe, 2014.08.12)

 Windows 版 Adobe Reader / Acrobat 11.x、10.x に 0-day 欠陥。sandbox を突破され、 ネイティブコードを上昇した権限で実行される。CVE-2014-0546。Kaspersky の人に謝辞が送られている。

 Windows 版 Adobe Reader / Acrobat 11.0.08、10.1.11 で修正されている。

2014.08.15 追記:

 Kasperskyが発見したAdobe Reader/Acrobatの脆弱性 CVE-2014-0546に関係する情報についてまとめてみた (piyolog, 2014.08.13)

追記

OpenSSL Security Advisory [6 Aug 2014] (2014.08.07)


2014.08.11

追記

ベネッセから顧客情報 760 万世帯分が流出、名簿屋から情報を購入したジャストシステムがダイレクトメールを送付して発覚 (2014.07.10)

 SD カードに残っていた約 2000 万件について、容疑者を再逮捕。 また、持ち出し総数はのべ 2 億 300 万件にのぼるとの警視庁タレ流し情報。

OpenSSL Security Advisory [6 Aug 2014] (2014.08.07)

 OpenSSLの最新脆弱性に対応! LibreSSL 2.0.5リリース (マイナビニュース, 2014.08.11)


2014.08.10

追記

Microsoft、IE 8のサポートを2016年1月12日に終了へ (2014.08.08)

 「最低でも IE 9」時代というより、「最新しかサポートしないからとっとと更新しやがれ」時代だった。

  • IEへのパッチ提供、最新バージョンだけに限定へ、2016年1月より実施 (Internet Watch, 2014.08.08)

  • Stay up-to-date with Internet Explorer (IEBlog, 2014.08.07)

    After January 12, 2016, only the most recent version of Internet Explorer available for a supported operating system will receive technical support and security updates. For example, customers using Internet Explorer 8, Internet Explorer 9, or Internet Explorer 10 on Windows 7 SP1 should migrate to Internet Explorer 11 to continue receiving security updates and technical support. For more details regarding support timelines on Windows and Windows Embedded, see the Microsoft Support Lifecycle site.

2014.08.09

追記

マイクロソフト セキュリティ アドバイザリ (2915720) Windows Authenticode 署名検証の変更 (2013.12.11)

 2014.07.30 付で、デフォルト有効化の施策が中止された旨が追記された。

マイクロソフトは 2013 年 12 月 11 日に、より厳格な Authenticode 署名検証動作の基になるコードを展開するためのセキュリティ情報 MS13-098 を公開しました。このアドバイザリでは以前、2014 年 8 月 12 日までにマイクロソフトが MS13-098 で実装される変更を既定の機能として有効にする予定であるとお知らせしました。しかし、マイクロソフトは顧客と共同でこの変更への適合を進めた結果、既存のソフトウェアへの影響が大きいと判断しました。したがってマイクロソフトは、より厳格な検証動作を既定の要件として適用する計画を中止しました。より厳格な検証の基礎的機能は実装されたままであり、お客様の選択に基づいて有効にすることができます。

 手動で有効化することはできるが、影響がデカすぎるのでデフォルト動作にはしないと。Takagi さん情報ありがとうございます。


2014.08.08

2014 年 8 月のマイクロソフト セキュリティ情報事前通知
(マイクロソフト, 2014.08.08)

 緊急 x 2、重要 x 7。IE、Office (OneNote 2007)、SQL Server (2008、2008 R2、2012、2014)、.NET Framework あり。

 関連: 2014 年 8 月 13 日のセキュリティ リリース予定 (月例) (日本のセキュリティチーム, 2014.08.08)

Microsoft、IE 8のサポートを2016年1月12日に終了へ
(ITmedia, 2014.08.08)

 「最低でも IE 9」時代へ。2016 年と言われるとずいぶん先の話みたいだけど、2015 年度中に発生する事象ですから。今年度中には対応準備しませう。

2014.08.10 追記:

 「最低でも IE 9」時代というより、「最新しかサポートしないからとっとと更新しやがれ」時代だった。

2014.09.02 追記:

 関連:


2014.08.07

いろいろ (2014.08.07)
(various)

Drupal

富士通 ServerView Operations Manager

追記

ベネッセから顧客情報 760 万世帯分が流出、名簿屋から情報を購入したジャストシステムがダイレクトメールを送付して発覚 (2014.07.10)

 関連:

  • 当社の対応についてのご報告 (ジャストシステム, 2014.08.07)

     当社は、株式会社ベネッセコーポレーションの個人情報漏洩の件に関して、このたび経済産業省、警視庁より依頼があったヒアリングへの対応を完了しました。
     2014年5月に株式会社文献社より購入した全データにつきましては、警視庁にも確認のうえ、8月6日(水)に削除したことをご報告します。

WordPress 3.9.2 セキュリティリリース
(WordPress, 2014.08.07)

 複数のセキュリティ欠陥を修正。

8月12日よりIEは古いActiveXコントロールをブロック
(PC Watch, 2014.08.07)

 元ねた: Internet Explorer begins blocking out-of-date ActiveX controls (IEBlog, 2014.08.06)。古い ActiveX コントールのブロッキング、はじまります (声: 田村ゆかり)。「8月12日」はもちろん US 時間でしょう。次回の Microsoft Update の日から。

 ブロッキングが有効となるのは Windows 7 SP1 (IE 8〜11)、Windows 8 以降 (デスクトップ版 IE) のみとされている。Vista や Windows Server では有効とならないようだ。 また、ローカルイントラネットゾーンおよび信頼済みサイトゾーンでは有効とならない。 さらに、グループポリシーを使って挙動を制御できる。

OpenSSL Security Advisory [6 Aug 2014]
(OpenSSL, 2014.08.06)

 OpenSSL に複数の欠陥。iida さん情報ありがとうございます。

欠陥 OpenSSL
0.9.8 1.0.0 1.0.1
Information leak in pretty printing functions (CVE-2014-3508)
Crash with SRP ciphersuite in Server Hello message (CVE-2014-5139)
Race condition in ssl_parse_serverhello_tlsext (CVE-2014-3509)
Double Free when processing DTLS packets (CVE-2014-3505)
DTLS memory exhaustion (CVE-2014-3506)
DTLS memory leak from zero-length fragments (CVE-2014-3507)
OpenSSL DTLS anonymous EC(DH) denial of service (CVE-2014-3510)
OpenSSL TLS protocol downgrade attack (CVE-2014-3511)
SRP buffer overrun (CVE-2014-3512)

 OpenSSL 0.9.8zb, 1.0.0n, 1.0.1i で修正されている。

2014.08.11 追記:

 OpenSSLの最新脆弱性に対応! LibreSSL 2.0.5リリース (マイナビニュース, 2014.08.11)

2014.08.13 追記:

 OpenSSLの脆弱性(CVE-2014-3511)でTLSプロトコルの基礎を学ぶ (ぼちぼち日記, 2014.08.08)

2014.08.29 追記:

 マカフィーセキュリティ情報 - 最新版 ePolicy Orchestrator (ePO) で対応される脆弱性 (OpenSSL) (マカフィー, 2014.08.28)。ePO 5.1.1 が CVE-2014-3511 の影響を受ける。Hotfix が用意されている。


2014.08.06

SYM14-013: Symantec Endpoint Protection ローカルクライアントのアプリケーションとデバイス制御 (ADC) におけるバッファオーバーフローの問題
(シマンテック, 2014.08.04)

 Symantec Endpoint Protection クライアント 11.0・12.1、 Symantec Endpoint Protection Small Business Edition 12.0 に 0-day 欠陥。 sysplant ドライバに buffer overflow する欠陥があり、「アプリケーションとデバイス制御機能」が動作している場合に、local user が SYSTEM 権限を取得できる。

 修正するには、

 欠陥を回避するには、

追記

ベネッセから顧客情報 760 万世帯分が流出、名簿屋から情報を購入したジャストシステムがダイレクトメールを送付して発覚 (2014.07.10)

USB周辺機器が“悪者”に、BlackHatで実証ツール公開予定 (2014.08.01)

 USB デバイスの脆弱性 - 「BadUSB」 (Sophos, 2014.08.06)。若干不思議な日本語があるが、わかりやすい解説。

整理すると、購入時に十分に注意 (2番目の問題の回避) したとしても、別の PC に USB を差し込んだ瞬間、セキュリティが損なわれる恐れがあります。その PC が細工され、悪意のあるソフトウェアがあると、USB のファームウェアが変更される可能性があるからです。
USB キーボードやマウスなどが警告なしにキーロガーとなってしまう可能性も否定できません。Stuxnet のようなウイルスが USB メモリではなく、キーボードやマウスを介して拡散する恐れもあります。つまり、一般的に記憶領域がない (悪質なファイルが書き込まれることはない) と考えられるデバイスすら信頼できなくなることなど。

2014.08.04

いろいろ (2014.08.04)
(various)

CUPS

Wireshark

Tor

 Tor の匿名化を解除しようとする攻撃を検知。0.2.4.23 / 0.2.5.6-alpha で対応。

  • Tor security advisory: "relay early" traffic confirmation attack (Tor Project, 2014.07.30)

  • Torでユーザーの匿名解除を試みる攻撃が発覚 (ITmedia, 2014.07.31)

    2月から7月4日の間に秘匿サービスを運営またはアクセスしていたユーザーが影響を受けた可能性がある (中略) Torはユーザーに対し、「Tor 0.2.4.23」または「Tor 0.2.5.6-alpha」に更新して攻撃に使われたプロトコルの脆弱性を修正するよう呼び掛けている。また、秘匿サービスの運営者はサービスのロケーション変更を検討するよう促した。
     Torの匿名解除を巡っては、カーネギーメロン大学CERTの研究者が8月にラスベガスで開かれるセキュリティカンファレンスの「Black Hat USA」で、「NSAでなくてもTorを破れる:ユーザーの匿名解除」と題した発表を予定していた。ところが大学側の許可が得られなかったという理由でこの発表は中止になった。
     この経緯についてTorでは、この発表を予定していた研究者が今回の攻撃に関与していた可能性があるとの見方を示した。ただ、問い合わせのメールに返事がないため確認はできないとしている。
  • 匿名化ツール「Tor」ユーザーの身元が特定された可能性 ソフト更新を呼びかけ (ロイター / ITmedia, 2014.08.04)

CVE-2014-3560: Remote code execution in nmbd
(samba, 2014.08.01)

 samba 4.x に欠陥。nmbd に欠陥があり、remote から無認証で任意のコードを実行できる。CVE-2014-3560

 samba 4.1.114.0.21 で修正されている。

マカフィーセキュリティ情報 - 最新版ePolicy Orchestrator(ePO) で対応された複数の脆弱性(Tomcat)
(マカフィー, 2014.08.03)

 ePO 5.1.0 以前に含まれる Tomcat に複数の欠陥。 ePO 5.1.1 で修正されている。

 ePO 5.0.0〜5.1.0 については、EPO511LC.zip の適用によって 5.1.1 にアップデートできるようだ。ePO 4.6.x (Tomcat 5.5.x を使用) については patch は提供されない模様。ePO 5.1.1 に移行するしかなさげ。 McAfee Product & Technology Support Lifecycle (McAfee) では「ePO 4.6 EOL: 31-Dec-2015」なのだが。

読売新聞 8月2日(土) 朝刊 ルーター攻撃ネット障害の記事につきまして
(buffalo, 2014.08.02)

 バッファローの WHR-300HP2・WHR-600D・WMR-300 シリーズルータの旧ファームウェアにオープンリゾルバとなる欠陥があり、昨今発生している DNS アンプ攻撃にも一役買っている模様。

 WHR-300HP2 についてはファームウェアバージョン 1.20 で修正されていることが変更履歴に明記されている。最新は 1.50。

●Ver.1.20
(中略)
・起動時にInternetポートからDNS 問い合わせを受けると、オープンリゾルバ(DNS キャッシュサーバ)
 として動作してしまう問題を修正しました。

 サポートに電話で問いあわせてみたところ、WHR-600D・WMR-300 シリーズについても「バージョン 1.20 以降」で修正されていると回答があった。WMR-300 については 1.03 の次が 1.30 (最新) なので、1.30 で修正されていることになる。


2014.08.03


2014.08.01

USB周辺機器が“悪者”に、BlackHatで実証ツール公開予定
(ITmedia, 2014.08.01)

 USB コントローラーをハックする攻撃手法が BlackHat USA 2014 で発表されるそうで。

2014.08.06 追記:

 USB デバイスの脆弱性 - 「BadUSB」 (Sophos, 2014.08.06)。若干不思議な日本語があるが、わかりやすい解説。

整理すると、購入時に十分に注意 (2番目の問題の回避) したとしても、別の PC に USB を差し込んだ瞬間、セキュリティが損なわれる恐れがあります。その PC が細工され、悪意のあるソフトウェアがあると、USB のファームウェアが変更される可能性があるからです。
USB キーボードやマウスなどが警告なしにキーロガーとなってしまう可能性も否定できません。Stuxnet のようなウイルスが USB メモリではなく、キーボードやマウスを介して拡散する恐れもあります。つまり、一般的に記憶領域がない (悪質なファイルが書き込まれることはない) と考えられるデバイスすら信頼できなくなることなど。

2014.08.19 追記:

 Black Hat 2014:航空機、列車、自動車への攻撃 (Kaspersky, 2014.08.18)

「USBはこのように動作するよう設計されています。誰も間違ったことはしていません。そして、これを修正する方法はありません。USBを持っている限り、ほかのデバイスになりすますことのできるデバイスを持っていることになります。これはセキュリティの構造的な問題です」(ノール氏)
(中略)
なお、ノール氏が最初にこの攻撃を知るきっかけとなったのは、今では有名になったNSAのハッキングツールカタログでした。

2014.09.03 追記:

 USB firmware: An upcoming threat for home and enterprise users (Microsoft Malware Protection Center, 2014.09.02)

2014.10.03 追記:

 Phison 2251-03 (2303) Custom Firmware & Existing Firmware Patches (BadUSB) (github)。コード公開されました。

2014.10.07 追記:

 DEF CON 22で仕入れた悪意のあるUSBデバイス (マクニカネットワークス セキュリティ研究センターブログ, 2014.10.03)。BadUSB のわかりやすい解説。

ユーザに対する教育として以下の基本的な2点を厳守させることが最も手っ取り早い対策となるかもしれません。

2014.11.12 追記:

 関連:

2014.12.18 追記:

 Teensy USB Development Board を使った USBdriveby が公開されています。$20 で ok だそうです。

2015.01.15 追記:

 Macに削除不能なマルウェアをインストールする「Thunderstrike」が明らかに (CNET, 2015.01.13)。USB ではなく Thunderbolt を使って攻撃。

 Hudson氏は「昔からある『悪意あるメイド攻撃』も可能だ。Thunderstrikeであれば、ファームウェアパスワードが設定されていても、ハードディスクが暗号化されていても、ユーザーのノートブックにほんの数分アクセスするだけでブートROMのファームウェアを書き換えられる」と述べたうえで、「このため、カンファレンスへの出席目的でホテルに滞在している際、レストランでの朝食時にノートブックを部屋に置いたままにしておくと、部屋に来た掃除係がベッドメーキングやタオル交換のついでにファームウェアのバックドアを仕掛けるということも考えられる」と説明している。

2015.01.20 追記:

 Mac向けブートキット「Thunderstrike」:知っておくべきこと (Kaspersky, 2015.01.19)

皆さんのコンピューターがThunderstrikeに感染する可能性があるのは、直接接触による体液付着が唯一の感染経路であるエボラ出血熱と同様に、誰かがコンピューターを分解したときか、誰かがコンピューターのThunderboltポートに周辺機器を接続して悪意あるファームウェアをインストールしたときくらいのものです。(中略) Thunderstrikeから身を守る最善策は、自分が不在にしているとき誰にもMacbookを触られないようにすることです。言い換えると、盗難に遭わないように気をつけているのであれば、危険にさらされることはおそらくないでしょう。

2015.03.26 追記:

 着実に忍び寄るBadUSBの脅威、「数秒でPC乗っ取り可能」の怖さにおののいた (日経 IT Pro, 2015.03.26)。市販の USB メモリを BadUSB 化するのではなく、市販の組み込みボードを BadUSB 化する手法の解説。ふつうの IT 雑誌記者が BadUSB やってみた part 2。

実はずっと簡単である。IoT(モノのインターネット)ブームの波に乗り、最近では秋葉原やネット通販で2000〜3000円程度から手軽に購入できる「組み込み用途向け小型コンピュータボード」(以下、組み込みボード)を使うことで、いとも簡単に「BadUSBデバイスと同様に動作する小型コンピュータ」を自作できるのだ。

 記事では Teensy 3.1 を使用。USB メモリを BadUSB 化するのに比べると、圧倒的に簡単なようだ。 もはやそういう時代になってしまったと。

2015.08.04 追記:

 Thunderstrike 2 登場。

2015.08.20 追記:

 Macに影響するPoC「Thunderstrike 2」:遠隔からも攻撃可能 (トレンドマイクロ セキュリティ blog, 2015.08.13)

今回 Hudson氏らが公開した「Thunderstrike 2」と以前の「Thunderstrike」には大きな違いが 1つあります。それは、「Thunderstrike 2」では拡散に物理的なアクセスを必要としないことです。「Thunderstrike2」ではこの PoC がフィッシングメールや不正な Webサイトを介して、遠隔から実行可能なことが実証されました。

[セキュリティホール memo]
[私について]