セキュリティホール memo - 2015.04

Last modified: Wed Jul 8 16:27:36 2015 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2015.04.30

ClamAV 0.98.7 has been released!
(ClamAV, 2015.04.29)

 ClamAV 0.98.7 公開。無限ループに陥る、crash する、heap overflow するといった、複数のセキュリティ欠陥の修正を含みます。


2015.04.29

いろいろ (2015.04.29)
(various)

e-Guven 認証局証明書

AndroidシステムのWebView

cURL

 7.42 で修正。

 7.42.1 で修正。

SQLite

Chrome Stable Channel Update
(Google, 2015.04.28)

 Chrome 42.0.2311.135 公開。5 件のセキュリティ修正を含む。

追記

WordPress 4.2.1 Security Release (2015.04.28)

 WordPress 4.2.1 日本語版出ました。


2015.04.28

WordPress 4.2.1 Security Release
(WordPress, 2015.04.27)

 WordPress 4.2.1 公開。コメント機能に XSS 欠陥が存在し、コメントにスクリプトを混入可能。 コメントを閲覧すると挿入されたスクリプトが実行される。詳細:

 日本語アドバイザリ: WordPress 4.2.1 セキュリティリリース (WordPress, 2015.04.28)

 WordPress 4.2.1 日本語版はまだ公開されていない。

2015.04.29 追記:

 WordPress 4.2.1 日本語版出ました。


2015.04.27


2015.04.24

無線LANルーター「WRC-1167GHBK2」「WRC-1167GHBK2-I」に関するお詫びとお願い
(ELECOM, 2015.04.17)

 これは……

弊社無線LANルーター「WRC-1167GHBK2」、「WRC-1167GHBK2-I」の一部において、自動ファームウェアアップデート時に、異なるファームウェアが適用されてしまうことで、本製品が正常に起動しなくなることが判明いたしました。 (中略) 自動ファームウェアアップデート時に、異なるファームウェアが適用されてしまった場合、本製品が正常に起動しなくなります。

 自動ファームウェアアップデートの実行中に、手動でファームウェアアップデートしてしまうと、起動しなくなることがある、という話だろうか……。

 起動しなくなった場合は無償交換するそうです。

いろいろ (2015.04.24)
(various)

PowerDNS

2015.04.28 追記:

2015.05.07 追記:

2015.07.08 追記:

 これまでの修正には穴があった模様。更新版が出ている。

TransmitMail

Xen


2015.04.23

追記

APSB15-06 - Security updates available for Adobe Flash Player (2015.04.15)

 CVE-2015-0359 の攻略プログラムがさっそく登場しているそうです:

 ……と思ったら、トレンドマイクロはこれを否定しています:

2015 年 4 月のマイクロソフト セキュリティ情報の概要 (2015.04.16)

 MS15-034 exploit 関連:

「OS X Yosemite」の深刻な脆弱性「Rootpipe」--パスワード入力なしに特権昇格が可能に (2014.11.05)

 OS X 10.10.3 で修正された……はずだったが、10.10.3 でも類似の攻撃が成功してしまうそうで。

WordPress 4.1.2 セキュリティリリース (2015.04.22)

 plugin のセキュリティ修正って、この件ですかね: Security Advisory: XSS Vulnerability Affecting Multiple WordPress Plugins (sucuri, 2015.04.20)

AFNetworking 2.5.2 以下の脆弱性について
(GitHub, 2015.03.30)

 広く利用されている iOS 用のライブラリ AFNetworking 2.5.2 以前に欠陥、別のサーバー用の証明書が使われてもエラーとならない。

 AFNetworking 2.5.3 で修正されている。

「iOS 8」に脆弱性--クラッシュや無限再起動のおそれ
(CNET, 2015.04.23)

 iOS 8 に欠陥。SSL 証明書の処理に欠陥があり、攻略 SSL 証明書によって iOS や iOS アプリが crash する。WiFi アクセスポイントと組み合わせることによって、近づいただけで iOS が再起動を繰り返す“No iOS Zone” を実装できる。

 iOS 8.3 で部分的に修正されている。


2015.04.22

ThinkPadバッテリー自主回収についてのお知らせ
(lenovo, 2015.04.22)

 「ごくまれに安全上の問題が発生する可能性」ですか。

日本国内で販売され、無償交換の対象となる可能性のあるバッテリー・パックは、2010年2月から2012年6月までの期間に出荷された以下のThinkPadに搭載されたものか、またはオプション製品として単体で販売されたものか、修理交換されたものです。

Edge 11, Edge 13シリーズ

E120, E125, E420, E425, E430, E520, E525, E530シリーズ

T410, T420, T510, T520, W510, W520, L412, L420, L520シリーズ

X100e, X120e, X121e, X130e, X131e, X200, X201, X201i, X201s X220, X220i シリーズ

X220 Tablet, X220i Tablet シリーズ


無償交換の対象となる可能性のあるバッテリー・パックには、以下の部品番号(ASM P/N)が印字されています。

42T4695

42T4711

42T4798

42T4804

42T4812

42T4816

42T4828

42T4834

42T4840

42T4862

42T4868

42T880

42T4890

42T4944

42T4948

42T4954

42T4958

45N1050

 対象かどうかは http://www.lenovo.com/batteryprogram2014 から確認できるそうです。

WordPress 4.1.2 セキュリティリリース
(WordPress, 2015.04.22)

 WordPress 4.1.2 登場。 「権限のないユーザーによるサイトの不正操作が可能」となる「深刻なクロスサイトスクリプティング脆弱性」の他、計 4 点のセキュリティ欠陥を修正。 WordPress 4.1.2 日本語版も出ました。

また、いくつかのプラグインにおいて昨日セキュリティ修正版がリリースされています。すべて最新の状態を維持して安全性を確保しましょう。プラグイン開発者の方はこちらの記事を参照してあなたのプラグインが同様の問題の影響を受けていないことを確認してください。

2015.04.23 追記:

 plugin のセキュリティ修正って、この件ですかね: Security Advisory: XSS Vulnerability Affecting Multiple WordPress Plugins (sucuri, 2015.04.20)

Firefox リリースノート バージョン 37.0.2
(Mozilla, 2015.04.20)

 Firefox 37.0.2 出ました。 MFSA 2015-45 - プラグイン初期化失敗時のメモリ破壊 が修正されています。内容からして、PC 版のみっぽいです。 Firefox for Android 37.0.2 は 2015.04.14 付で出てますが、これは bugfix リリースのようです。

 iida さん情報ありがとうございます。


2015.04.20

いろいろ (2015.04.20)
(various)

OpenStack

Minecraft

穴あけパンチ(2穴パンチ)の使用中止のお願い
(コクヨ, 2015.04.16)

 コクヨの穴あけパンチ PN-[89][23]N?B、PN-9[23]N?DM と、MAX ブランドの DP-23、DP-45 の特定のロットに欠陥。「ハンドル部分のバネが破損した場合にバネ破片が飛び出す可能性」がある。

 回収・交換または回収・修理 (安全パーツの取り付け) で対応中。該当機種を所有する場合は確認し、 該当ロットであればフリーダイヤルに電話する。

Movable Type 6.0.8 and 5.2.13 released to close security vulnerability
(Movable Type, 2015.04.14)

 Movable Type 6.0.6 / 5.2.11 以前に remote からのコードの実行を招く欠陥。 Movable Type 6.0.8 / 5.2.13 で修正されている。CVE-2015-0845

 Movable Type 6.1.1 にはこの欠陥はない。

PHP 5.6.8 / 5.5.24 / 5.4.40 公開
(php.net, 2015.04.16)

 PHP 5.6.8 / 5.5.24 / 5.4.40 公開。セキュリティ修正を含みます。

Operation RussianDoll: Adobe & Windows Zero-Day Exploits Likely Leveraged by Russia’s APT28 in Highly-Targeted Attack
(FireEye, 2015.04.18)

 APT28。最新の Flash Player で修正された CVE-2015-3043 と、権限上昇を招く Windows の 0-day 欠陥 CVE-2015-1701 が使われているそうです。後者は修正作業中で、Windows 8 以降には影響しないそうです。

追記

APSB15-06 - Security updates available for Adobe Flash Player (2015.04.15)


2015.04.19


2015.04.17

追記

2015 年 4 月のマイクロソフト セキュリティ情報の概要 (2015.04.16)


2015.04.16

いろいろ (2015.04.16)
(various)

Windows

proftpd mod_copy

Cisco

APSB15-08 - Security vulnerability in output of Adobe Flex ASdoc Tool
(Adobe, 2015.04.14)

 Adobe Flex 4.6 以前に欠陥。 ASDoc ツールの JavaScript 出力に欠陥があり、反射型 XSS を招く。 CVE-2015-1773。Priority rating: 3

 対応方法が記載されている。

 関連: APSB15-08 - Adobe Flex ASdoc ツールの出力のセキュリティ脆弱性 (Adobe)

APSB15-07 - Security Update: Hotfixes available for ColdFusion
(Adobe, 2015.04.14)

 ColdFusion 10, 11 に、反射型 XSS を招く入力値検証欠陥 CVE-2015-0345。Priority rating: 2

 hotfix が用意されているので適用すればよい。

 関連: APSB15-07 - セキュリティアップデート:ColdFusion用ホットフィックス公開 (Adobe)

2015 年 4 月のマイクロソフト セキュリティ情報の概要
(マイクロソフト, 2015.04.15)

 出ました。

MS15-032 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (3038314)

 IE 6〜11 に 10 件の欠陥。

MS15-033 - 緊急: Microsoft Office の脆弱性により、リモートでコードが実行される (3048019)

 Office 2007 / 2010 / 2013 / 2013 RT、Outlook for Mac for Office 365、Office for Mac 2011、Word Viewer、Office 互換機能パック SP 3、Service Pack 2010 / 2013、Office Web Apps 2010 / 2013 に 5 件の欠陥。

MS15-034 - 緊急: HTTP.sys の脆弱性により、リモートでコードが実行される (3042553)

 Windows 7 / Server 2008 R2 / 8、8.1 / Servero 2012、2012 R2 に欠陥。HTTP.sys に欠陥があり、攻略 HTTP リクエストを処理するとシステム権限で任意のコードが実行される。 CVE-2015-1635。 Exploitability Index: 1

 IIS においては、IIS カーネル キャッシュを無効にすることで回避できる。

 exploit 出てます:

MS15-035 - 緊急: Microsoft Graphics コンポーネントの脆弱性により、リモートでコードが実行される (3046306)

 Windows Server 2003、Vista、Server 2008、7、Server 2008 R2 に欠陥。 拡張メタファイル (EMF) 形式の画像ファイルの扱いに欠陥があり、攻略 EMF ファイルを開くと任意のコードが実行される。CVE-2015-1645。Exploitability Index: 2

MS15-036 - 重要: Microsoft SharePoint Server の脆弱性により、特権が昇格される (3052044)

 SharePoint Server 2010、2013 に欠陥。XSS が 2 件存在。 CVE-2015-1640 (Exploitability Index: 2)、 CVE-2015-1653 (Exploitability Index: 3)

MS15-037 - 重要: Windows タスク スケジューラの脆弱性により、特権が昇格される (3046269)

 Windows 7、Server 2008 R2 に欠陥。 タスク スケジューラに欠陥があり、ローカルの認証済み攻撃者による権限上昇が可能。 CVE-2015-0098。Exploitability Index: 1

MS15-038 - 重要: Microsoft Windows の脆弱性により、特権が昇格される (3049576)

 Windows Server 2003、Vista、Server 2008、7、Server 2008 R2、8 / 8.1、Server 2012 / 2012 R2、RT / RT 8.1 に 2 件の欠陥。

  • NtCreateTransactionManager の種類の混同の脆弱性 - CVE-2015-1643 。Exploitability Index: 2

  • Windows MS-DOS デバイス名の脆弱性 - CVE-2015-1644 。Exploitability Index: 2

MS15-039 - 重要: XML コア サービスの脆弱性により、セキュリティ機能のバイパスが起こる (3046482)

 Windows Server 2003、Vista、Server 2008、7、Server 2008 R2 に欠陥。 Microsoft XML コア サービス 3.0 に欠陥があり、同一生成ポリシーのセキュリティ機能を回避できてしまう。CVE-2015-1646。 Exploitability Index: 2

MS15-040 - 重要: Active Directory フェデレーション サービスの脆弱性により、情報漏えいが起こる (3045711)

 Windows Server 2012 R2 の Active Directory フェデレーション サービス (ADFS) に情報漏えいの欠陥。CVE-2015-1638。Exploitability Index: 3

MS15-041 - 重要: .NET Framework の脆弱性により、情報漏えいが起こる (3048010)

 Microsoft .NET Framework 1.1 SP1、2.0 SP2、3.5、3.5.1、4、4.5、4.5.1、4.5.2 に欠陥。ASP.NET に情報漏えいの欠陥があり、特定の条件 (IIS サーバーが詳細エラー メッセージを提供する場合。デフォルト:無効) において発動。 CVE-2015-1648。Exploitability Index: 2

MS15-042 - 重要: Windows Hyper-V の脆弱性により、サービス拒否が起こる (3047234)

 Windows 8.1、Server 2012 R2 に欠陥。Hyper-V に欠陥があり、仮想マシン上で攻撃者が特定のアプリを動かすと DoS 状態となる。CVE-2015-1647 。Exploitability Index: 2

 関連:

2015.04.17 追記:

 MS15-034 exploit 関連:

2015.04.20 追記:

 MS15-034 exploit 関連:

2015.04.23 追記:

 MS15-034 exploit 関連:

2015.05.13 追記:

 .NET Framework 4.5/4.5.1/4.5.2 用の 3037580 更新プログラムに不具合があったそうで、再リリースされています。

 このあたりの件でしょうか……。


2015.04.15

APSB15-06 - Security updates available for Adobe Flash Player
(Adobe, 2015.04.14)

 Flash Player 更新。22 件のセキュリティ欠陥を修正。 CVE-2015-0346 CVE-2015-0347 CVE-2015-0348 CVE-2015-0349 CVE-2015-0350 CVE-2015-0351 CVE-2015-0352 CVE-2015-0353 CVE-2015-0354 CVE-2015-0355 CVE-2015-0356 CVE-2015-0357 CVE-2015-0358 CVE-2015-0359 CVE-2015-0360 CVE-2015-3038 CVE-2015-3039 CVE-2015-3040 CVE-2015-3041 CVE-2015-3042 CVE-2015-3043 CVE-2015-3044。 このうち CVE-2015-3043 は 0-day。 CVE-2015-0357 CVE-2015-3040 は ASLR バイパス、CVE-2015-3044 は情報漏洩。 他は任意のコードの実行を招く。

プラットホーム バージョン
Desktop Runtime (Windows, Mac) 17.0.0.169
Extended Support Release (Windows, Mac) 13.0.0.281
Linux 11.2.202.457
Google Chrome 17.0.0.169
Windows 8 / Server 2012 / RT の Internet Explorer 10 17.0.0.169
Windows 8.1 / Server 2012 R2 / RT 8.1 の Internet Explorer 11 17.0.0.169

 関連:

2015.04.20 追記:

 0-day 欠陥 CVE-2015-3043 が使われた事例: Operation RussianDoll: Adobe & Windows Zero-Day Exploits Likely Leveraged by Russia’s APT28 in Highly-Targeted Attack (FireEye, 2015.04.18)

2015.04.23 追記:

 CVE-2015-0359 の攻略プログラムがさっそく登場しているそうです:

 ……と思ったら、トレンドマイクロはこれを否定しています:

2015.05.21 追記:

 APT28 の件:

マイクロソフト セキュリティ アドバイザリ 3045755: PKU2U 認証を改善するための更新プログラム
(Microsoft, 2015.04.15)

 「この多層防御の更新プログラムを適用すると、最初の認証の試行が失敗した場合に、PKU2U が Windows Live ID (WLID) の認証にフォールバックすることがなくな」るそうです。

Chrome Stable Channel Update
(Google, 2015.04.14)

 Chrome 42.0.2311.90 が stable に。45 件のセキュリティ欠陥が修正されている。

Oracle Critical Patch Update Advisory - April 2015
(Oracle, 2015.04.14)

 出ました。次回は 2015.07.14。

Java SE 8u45、7u79/80 公開
(Oracle, 2015.04.14)

 Java SE 8u45、7u79/80 公開されました。14 件のセキュリティ欠陥を修正。Java SE 7 の無償アップデートはこれで終了となります。 7u79 はセキュリティ修正と最小限のバグ fix、7u80 はセキュリティ修正多くのバグ fix がされています。

 関連:


2015.04.14


2015.04.13

追記

About the security content of iOS 8.3 (2015.04.10)

 Darwin Nuke (Kaspersky, 2015.04.10)。CVE-2015-1102 の件か?

About the security content of OS X Yosemite v10.10.3 and Security Update 2015-004 (2015.04.10)

 Darwin Nuke (Kaspersky, 2015.04.10)。CVE-2015-1102 の件か?

いろいろ (2011.12.06)

 Flex SDK の件。

いろいろ (2015.04.13)
(various)

Dell System Detect

Symantec Workspace Streaming Agent

S2Struts

Juniper

Asterisk


2015.04.10

いろいろ (2015.04.10)
(various)

arj 3.10.22 以前

FreeBSD

 CVE-2015-2923 は、Linux では CVE-2015-2922 が類似だそうです。

mailman

Appleの「OS X」にバックドアとなる脆弱性が存在していることが判明
(gigazine, 2015.04.10)

 2011 年以降の OS X に未修正の欠陥があり、local user が root 権限を取得できる、のかな。 修正作業中だそうです。

About the security content of Xcode 6.3
(Apple, 2015.04.08)

 Xcode 6.3 公開。2 件のセキュリティ欠陥を修正。 CVE-2015-1149

About the security content of Apple TV 7.2
(Apple, 2015.04.08)

 Apple TV 7.2 公開。38 件のセキュリティ欠陥を修正。CVE-2015-1068 CVE-2015-1069 CVE-2015-1070 CVE-2015-1071 CVE-2015-1072 CVE-2015-1073 CVE-2015-1074 CVE-2015-1076 CVE-2015-1077 CVE-2015-1078 CVE-2015-1079 CVE-2015-1080 CVE-2015-1081 CVE-2015-1082 CVE-2015-1083 CVE-2015-1086 CVE-2015-1092 CVE-2015-1094 CVE-2015-1095 CVE-2015-1096 CVE-2015-1097 CVE-2015-1099 CVE-2015-1100 CVE-2015-1101 CVE-2015-1102 CVE-2015-1103 CVE-2015-1104 CVE-2015-1105 CVE-2015-1110 CVE-2015-1114 CVE-2015-1117 CVE-2015-1118 CVE-2015-1119 CVE-2015-1120 CVE-2015-1121 CVE-2015-1122 CVE-2015-1123 CVE-2015-1124

About the security content of iOS 8.3
(Apple, 2015.04.08)

 iOS 8.3 公開。58 件のセキュリティ欠陥を修正。CVE-2015-1068 CVE-2015-1069 CVE-2015-1070 CVE-2015-1071 CVE-2015-1072 CVE-2015-1073 CVE-2015-1074 CVE-2015-1076 CVE-2015-1077 CVE-2015-1078 CVE-2015-1079 CVE-2015-1080 CVE-2015-1081 CVE-2015-1082 CVE-2015-1083 CVE-2015-1084 CVE-2015-1085 CVE-2015-1086 CVE-2015-1087 CVE-2015-1088 CVE-2015-1089 CVE-2015-1090 CVE-2015-1091 CVE-2015-1092 CVE-2015-1093 CVE-2015-1094 CVE-2015-1095 CVE-2015-1096 CVE-2015-1097 CVE-2015-1098 CVE-2015-1099 CVE-2015-1100 CVE-2015-1101 CVE-2015-1102 CVE-2015-1103 CVE-2015-1104 CVE-2015-1105 CVE-2015-1106 CVE-2015-1107 CVE-2015-1108 CVE-2015-1109 CVE-2015-1110 CVE-2015-1111 CVE-2015-1112 CVE-2015-1113 CVE-2015-1114 CVE-2015-1115 CVE-2015-1116 CVE-2015-1117 CVE-2015-1118 CVE-2015-1119 CVE-2015-1120 CVE-2015-1121 CVE-2015-1122 CVE-2015-1123 CVE-2015-1124 CVE-2015-1125 CVE-2015-1126

2015.04.13 追記:

 Darwin Nuke (Kaspersky, 2015.04.10)。CVE-2015-1102 の件か?

About the security content of OS X Yosemite v10.10.3 and Security Update 2015-004
(Apple, 2015.04.08)

 OS X 10.10.3、および 10.9.5 / 10.8.5 用の Security Update 2015-004 公開。79 件のセキュリティ欠陥を修正。 CVE-2013-0118 CVE-2013-5704 CVE-2013-6438 CVE-2013-6712 CVE-2014-0098 CVE-2014-0117 CVE-2014-0118 CVE-2014-0207 CVE-2014-0226 CVE-2014-0231 CVE-2014-0237 CVE-2014-0238 CVE-2014-2497 CVE-2014-3478 CVE-2014-3479 CVE-2014-3480 CVE-2014-3487 CVE-2014-3523 CVE-2014-3538 CVE-2014-3569 CVE-2014-3570 CVE-2014-3571 CVE-2014-3572 CVE-2014-3587 CVE-2014-3597 CVE-2014-3668 CVE-2014-3669 CVE-2014-3670 CVE-2014-3710 CVE-2014-3981 CVE-2014-4049 CVE-2014-4380 CVE-2014-4404 CVE-2014-4405 CVE-2014-4670 CVE-2014-4698 CVE-2014-5120 CVE-2014-8275 CVE-2014-8830 CVE-2014-9298 CVE-2015-0204 CVE-2015-1069 CVE-2015-1088 CVE-2015-1089 CVE-2015-1091 CVE-2015-1093 CVE-2015-1095 CVE-2015-1096 CVE-2015-1098 CVE-2015-1099 CVE-2015-1100 CVE-2015-1101 CVE-2015-1102 CVE-2015-1103 CVE-2015-1104 CVE-2015-1105 CVE-2015-1117 CVE-2015-1118 CVE-2015-1130 CVE-2015-1131 CVE-2015-1132 CVE-2015-1133 CVE-2015-1134 CVE-2015-1135 CVE-2015-1136 CVE-2015-1137 CVE-2015-1138 CVE-2015-1139 CVE-2015-1140 CVE-2015-1141 CVE-2015-1142 CVE-2015-1143 CVE-2015-1144 CVE-2015-1145 CVE-2015-1146 CVE-2015-1147 CVE-2015-1148 CVE-2015-1545 CVE-2015-1546

2015.04.13 追記:

 Darwin Nuke (Kaspersky, 2015.04.10)。CVE-2015-1102 の件か?

About the security content of Safari 8.0.5, Safari 7.1.5, and Safari 6.2.5
(Apple, 2015.04.08)

 Safari 8.0.5, 7.1.5, 6.2.5 公開。 Safari と WebKit の計 10 件のセキュリティ欠陥を修正。 CVE-2015-1112 CVE-2015-1119 CVE-2015-1120 CVE-2015-1121 CVE-2015-1122 CVE-2015-1124 CVE-2015-1126 CVE-2015-1127 CVE-2015-1128 CVE-2015-1129

 (typo fixed: iida さん感謝)

追記

3月29日発生の当社液晶テレビ受信障害についてのお詫び (2015.03.29)

 三菱製液晶テレビ168万台障害の原因はソフト不具合、電波で“パッチ”配信へ (日経 IT Pro, 2015.04.09)。「4月13日以降に地上・BSデジタル放送の電波を使ってソフトウエア更新を実施し、不具合を修正する」そうです。


2015.04.09

いろいろ (2015.04.09)
(various)

Subversion

 3 件の欠陥を修正。 CVE-2015-0202 CVE-2015-0248 CVE-2015-0251CVE-2015-0202 は Subversion 1.8 系のみの欠陥。

VMware

Tor

unzoo

Apache Cassandra

Apache Flex

GNU C Library

Icecast

WP Super Cache

X-Cart

レストランカラオケ・シダックス

bBlog

追記

秀丸エディタの脆弱性について (2015.04.02)

Lhaplus に 2 件の欠陥、Version 1.71 で修正
(JVN, 2015.04.09)

 Lhaplus 1.70 以前に 2 件の欠陥。

 上記 JVN は 1.59 以前に存在し 1.70 で修正された件について述べたもののようだが、開発者による記述によると 1.70 にも同様だが別の欠陥があり、1.71 で修正されている。 最新は 1.72。ダウンロード

 なお、

インストーラに含まれる Setup.exe がごく一部のウィルススキャンエンジンにて 危険判定されることがあるようですが、誤検出ですので、ご安心ください。

 シマンテックで誤検出することがあるみたい。事例。1.72 には「ウィルススキャンエンジンによる誤検出対策テスト」が施してあるそうで、古谷さんによると (情報ありがとうございます)

現在Lhaplus1.71のインストールフォルダ内のSetup.exe/Uninst.exeが Symantec Endpoint Protection 12.1RU5 2015/04/08r4のウィルス定義にて Trojan.Gen.SMHとして誤検出されており、サポート問い合わせ中です。 (昨日までは検出されておりませんでした)

1.71につきましてはインストール済みのマシンの定時・起動時スキャンでも、 新規にインストールする時点でも誤検出されます。 1.59/1.72では現象は発生しません。

2015.04.08

April 2015 NTP Security Vulnerability Announcement
(ntp.org, 2015.04.07)

 ntp.org の NTP 実装に 2 つの欠陥。どちらも、共通鍵暗号を使った認証 (共通鍵認証) を用いている場合の欠陥。どちらも Red Hat の人が発見。

 ntp-4.2.8p2 で修正されている。

2015.04.10 追記:


2015.04.07


2015.04.06


2015.04.05

Firefox 37.0.1、Firefox for Android 37.0.1 がリリースされた
(MozillaZine, 2015.04.04)

 Firefox 37.0.1、Firefox for Android 37.0.1 公開。2 件のセキュリティ欠陥が修正されている。 Firefox ESR や Thunderbird には影響しない。


2015.04.03

追記

CNNIC が承認した中間認証局証明書の秘密鍵が man-in-the-middle proxy に入っていた (2015.03.25)

 Mozilla も CNNIC のルート証明書を無効化することになったみたい。

  • Distrusting New CNNIC Certificates (Mozilla Security Blog, 2015.04.02)

  • GoogleやMozillaが中国の認証局が発行する証明書を「信頼できないもの」として失効させる (gigazine, 2015.04.03)

    ただし、即座にCNNICによる証明書を失効してしまえば銀行や電子商取引サイトが接続不能となり、多くの人々が莫大な損害を被ることになります。そこで、GoogleとMozillaはCNNICから証明書を発行してもらっているウェブサイトを管理している人々が被害を受けないように、管理側がCNNIC以外の認証局から新しい証明書を取得できるだけの猶予期間を設けるため、既にCNNICから発行された証明書についてはしばらくの間、失効させないことを明らかにしています。ただし、その期間については不明なままで、CNNICやCNNICから認証を受けているCAが新たに発行する証明書については、信頼できないものとして扱う、とのこと。

PuTTY 0.64 公開 (2015.03.02)

 WinSCP 5.7.1 が 2015.03.25 付で出ています。PuTTY 0.64 対応、OpenSSL 1.0.1m 対応など。ChangeLog。 iida さん情報ありがとうございます。


2015.04.02

追記

JVNDB-2015-001596: Samba の smbd の Netlogon サーバの実装における任意のコードを実行される脆弱性 (2015.02.26)

 Buffalo 製品セキュリティ情報には記述がないのですが、いくつかの機種で CVE-2015-0240 の修正ファームが出てます。戸井さん情報ありがとうございます。

CNNIC が承認した中間認証局証明書の秘密鍵が man-in-the-middle proxy に入っていた (2015.03.25)

 Chrome 上の CNNIC のルート証明書、無効化されることになったっぽい。

秀丸エディタの脆弱性について
(秀まるおのホームページ, 2015.03.31)

 秀丸エディタ 8.52β8 以前に欠陥。プロジェクトファイル (.hmbook) の処理に欠陥があり、攻略プロジェクトファイルを「プロジェクトを開く」で開くと任意のコードが実行される。 「ファイル」メニューの「開く」は問題ない。

 秀丸エディタ 8.52β9 で修正されている。8.52 正式版が出るにはもうちょっとかかるのかな。

 関連: JVN#58784309: 秀丸エディタにおけるバッファオーバーフローの脆弱性 (JVN, 2015.04.02)。CVE-2015-0903

2015.04.09 追記:

 8.52 正式版出ました: サイトー企画、脆弱性を修正した「秀丸エディタ」の最新版v8.52を正式公開 (窓の杜, 2015.04.09)

Chrome Stable Channel Update
(Google, 2015.04.01)

 Chrome 41.0.2272.118 公開。Pwn2Own で公開されたものなど計 4 件のセキュリティ欠陥が修正されている。

Firefox 37.0 / ESR 31.6.0、Thunderbird 31.6.0 公開
(Mozilla, 2015.03.31)

 出たようなのだけど、自動更新にはまだ流れてきてない? 計 13 件のセキュリティ欠陥を修正。

 関連:


2015.04.01

いろいろ (2015.04.01)
(various)

GNU Libtasn1

MediaWiki

マルチキャスト DNS (mDNS) 実装

追記

CNNIC が承認した中間認証局証明書の秘密鍵が man-in-the-middle proxy に入っていた (2015.03.25)

 JVNVU#92002857とGoogle不正証明書事案のメモ (エフセキュアブログ, 2015.04.01)


[セキュリティホール memo]
[私について]