セキュリティホール memo - 2011.02

Last modified: Wed Apr 4 18:02:42 2012 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2011.02.28


2011.02.27


2011.02.26


2011.02.25

追記

マイクロソフト セキュリティ アドバイザリ (2491888) Microsoft Malware Protection Engine の脆弱性により、特権が昇格される

 Windows Live OneCare に関して、山口さんから (情報ありがとうございます)

OneCareは下記URLのとおり4月でサポート終了です。
http://support.microsoft.com/lifecycle/search/default.aspx?sort=PN&alpha=Windows+Live+OneCare&Filter=FilterNO
Live OneCareのトップページでもMSEへの移行を推奨している状態です。
http://onecare.live.com/standard/ja-jp/default.htm?mkt=ja-jp

つまり最近流行の白い悪魔風に

「僕と契約してMSEのユーザーになってよ。」
「訳が分からないよ。どうして君たちはパッチの在処にこだわるんだい?」

とMSは言いたいようです。

2011.02.24

HDD用データ抹消技術ではSSDデータの抹消は困難——米研究者が報告  一部モデルの抹消技術の実装に問題、個別ファイルの抹消が特に困難
(ComputerWorld.jp, 2011.02.23)

 Reliably Erasing Data From Flash-Based Solid State Drives (USENIX FAST '11) の件。FAST '11 TECHNICAL SESSIONS から video も見れる。

 一般的なさまざまな抹消プロトコルを使ってSSDから1個のファイルを抹消するテストでは、さらに悪い結果となり、4〜75%のデータが復元可能だった。USBドライブでの抹消の失敗が目立ち、0.57〜84.9%のデータが、依然としてアクセス可能だった。
 根本的な問題は、磁気ドライブとは異なり、SSDはデータを物理ページに保存するが、論理ブロック・アドレス(LBA)から消去することにある。このプロセスは、フラッシュ変換レイヤ(FTL)で管理される。このことから、ATAドライバやSCSIドライバが、データが存在すると認識する場所と、データが物理的に存在する場所が食い違ってしまう。SSDはデータをあちこちにコピーすることで、この食い違いを解消している。このコピーのせいで、データの危険な痕跡がSSD内に散乱することになる。

 「HDDとSSDのこうした違いが、ユーザーの期待とSSDの実際の振る舞いの危険な乖離につながる可能性がある」と、研究者らはコメントしている。「SSDユーザーは、HDD用の抹消技術を適用すれば、SSDデータは基本的に復元できなくなると思い込んでいるかもしれない。実際には、データがSSD上に残り、少し高度な技術を使うだけで、復元できてしまう可能性がある」

 つまり、既存の確立された抹消技術がSSDやフラッシュ・メディア全般にも適用できるという想定は、間違っているということだ。これらの技術は、有効に機能することもあるが、実装の不備のせいで、あるいは個別ファイルを抹消しようとする場合には、うまく抹消されないことがある——。こうした新しい認識が必要になっている。

 関連: SSDs prove difficult to securely erase (Sophos, 2011.02.20)。Sophos は全部暗号化するしかないよ、と言っている。

To properly secure data and take advantage of the performance benefits that SSDs offer, you should always encrypt the entire disk and do so as soon as the operating system is installed.

 Sophos Free Encryption というものもあるそうで。

いろいろ (2011.02.24)
(various)

JVNVU#323172: Microsoft Windows にバッファオーバーフローの脆弱性
(JVN, 2011.02.17)

 Windows 全バージョンに欠陥。Mrxsmb.sys に heap overflow する欠陥があり、remote から DoS 攻撃、あるいは任意のコードの実行が可能。関連:

[Mailman-Announce] Mailman Security Patch Announcement
(mailman-annouce ML, 2011.02.18)

 mailman 2.1.14 以前に欠陥。Cgi/confirm.py に XSS 欠陥があり、remote から任意のスクリプトを挿入できる。CVE-2011-0707

 patch が添付されている。

マイクロソフト セキュリティ アドバイザリ (2491888) Microsoft Malware Protection Engine の脆弱性により、特権が昇格される
(Microsoft, 2011.02.24)

 Windows Live OneCare, Microsoft Security Essentials, Windows Defender, Forefront Client Security, Forefront Endpoint Protection 2010, 悪意のあるソフトウェアの削除ツールに欠陥。これらで使用されている Microsoft Malware Protection Engine 1.1.6502.0 以前にはレジストリキーの処理に欠陥があり、local user による権限上昇が可能。CVE-2011-0037

 Microsoft Malware Protection Engine 1.1.6603.0 で対応されている。Microsoft Security Essentials, Windows Defender, Forefront Client Security, Forefront Endpoint Protection 2010 については自動更新機能により対応され (てい) る。悪意のあるソフトウェアの削除ツールについては、次回配布分 (2011.03.09) から対応される。 エンジンバージョンの確認方法については KB2510781 を参照。

 ……Windows Live OneCare は?

 関連: Microsoft Malware Protection Engine に関する新規アドバイザリ 2491888 を公開 (日本のセキュリティチーム, 2011.02.23)

2011.02.25 追記:

 Windows Live OneCare に関して、山口さんから (情報ありがとうございます)

OneCareは下記URLのとおり4月でサポート終了です。
http://support.microsoft.com/lifecycle/search/default.aspx?sort=PN&alpha=Windows+Live+OneCare&Filter=FilterNO
Live OneCareのトップページでもMSEへの移行を推奨している状態です。
http://onecare.live.com/standard/ja-jp/default.htm?mkt=ja-jp

つまり最近流行の白い悪魔風に

「僕と契約してMSEのユーザーになってよ。」
「訳が分からないよ。どうして君たちはパッチの在処にこだわるんだい?」

とMSは言いたいようです。

追記

いろいろ (2011.02.03)

(緊急)BIND 9.7.xの脆弱性を利用したサービス不能(DoS)攻撃について - 9.7.3へのバージョンアップを強く推奨 -

主に UNIX / Linux 系サーバを対象としたインターネット公開サーバのセキュリティ設定に関する注意喚起

 A Distributed Cracker for VoIP (Symantec, 2011.02.16) の日本語訳: 分散型の VoIP クラッカー (シマンテック, 2011.02.16)


2011.02.23

(緊急)BIND 9.7.xの脆弱性を利用したサービス不能(DoS)攻撃について - 9.7.3へのバージョンアップを強く推奨 -
(JPRS, 2011.02.23)

 BIND 9.7.1〜9.7.2-P3 に欠陥。IXFR や Dynamic Update を実施中に DNS query を受信するとデッドロックが発生する場合がある。このため remote からの DoS 攻撃が可能。 CVE-2011-0414。 岡崎図書館事件のような、意図しない DoS 攻撃の発生もあり得るか。

 BIND 9.7.3 で修正されている。

2011.02.24 追記:

 9.7.1〜9.7.2-P3までのBIND 9にDoS攻撃を可能にする脆弱性 - 緊急パッチ適用を強く推奨 - (DNCSEC ジャパン, 2011.02.24)


2011.02.22

追記

CVE-2010-4478: OpenSSH / J-PAKE

 OpenSSH 5.7/5.7p1 で修正されている。そもそも実験的サポートだからなのか、リリースノートに記載されてない。


2011.02.21


2011.02.20


2011.02.19


2011.02.18


2011.02.17


2011.02.16

February 2011 Java SE and Java for Business Critical Patch Update Released
(Oracle, 2011.02.15)

 Java SE 6 Update 24 登場。21 種類の欠陥が修正されているそうで。 ダウンロード

2011.03.09 追記:

 Java SE 6 Update 24 に対応する Mac OS X 用 Java が登場:

 Mac OS X 利用者は更新しませう。

いろいろ (2011.02.16)
(various)

追記

Stuxnet worm 'targeted high-value Iranian assets'

 関連:

  • Stuxnet Information and Resources (2) (ESET blog, 2011.01.23)

  • Stuxnet Information and Resources (3) (ESET blog, 2011.02.14)

  • W32.Stuxnet 調査詳細の改定版を公開 (シマンテック, 2011.02.12)。ホワイトペーパー Version 1.4 。

    • Stuxnet は 5 種類の組織を狙った標的型攻撃であった。
    • 12,000 件の感染例を追跡すると、これら 5 つの組織に行き着く。
    • 3 つの組織は 1 回標的となり、残る 2 つの組織はそれぞれ 2 回と 3 回標的になっている。
    • 組織が攻撃を受けたのは、2009 年 6 月、2009 年 7 月、2010 年 3 月、2010 年 4 月、2010 年 5 月であった。
    • 攻撃を受けた組織はすべて、イランに拠点があった。
    • 3 つの亜種(2009 年 6 月型、2010 年 4 月型、2010 年 5 月型)が存在する。4 種類目も存在する可能性があるが、まだ回収されていない。
  • 「Stuxnet」再び (エフセキュアブログ, 2011.02.14)

主に UNIX / Linux 系サーバを対象としたインターネット公開サーバのセキュリティ設定に関する注意喚起

 関連かなあ: A Distributed Cracker for VoIP (Symantec, 2011.02.16)。ここで紹介されている Hacktool は Windows 上で動くようだけど。

「SHA-1+salt」はパスワードに十分だと思いますか?
(エフセキュアブログ, 2011.02.09)

 MD / SHA 系列のハッシュ関数は高速処理のための設計となっているため、 GPU コンピューティング時代におけるブルートフォース攻撃への耐性が弱いという話。 たとえば IGHASHGPU では Recovery speed on ATI HD 5970 peaks at 5600M/s MD5 hashes and 2300M/s SHA1 hashes だそうだ。

 すなわち、単一のATI HD 5970でさえ、攻撃者は33日で典型的レインボーテーブル(2^52.5ハッシュ)に相当するパスワードスペースをカバーすることができる、ということを意味している。そしてシリアスな攻撃者が、仕事に複数のカードを使用していることは間違いない。

 エフセキュアブログでは、ブルートフォース攻撃への耐性がより強い方式として、 PBKDF2bcryptHMAC を挙げている。

 関連:

Ruby on Rails New Releases: 2.3.11 and 3.0.4
(Riding Rails, 2011.02.08)

 Ruby on Rails 2.3.11 / 3.0.4 登場。4 つの欠陥が修正されている。

Django 1.2.5 and Django 1.1.4 - Security releases issued
(Django weblog, 2010.02.08)

 改正点が 3 つあるそうで。

  1. AJAX リクエストに関して、特定の条件下では Django の CSRF 防御機構が適用されない仕様だったのだが、Django 1.2.5 / 1.1.4 でこれが廃止された (常に CSRF 防御機構が働くようになった)。 Ruby on Rails の CVE-2011-0447 に対応する変更。 CVE-2011-0696

  2. 潜在的な XSS 欠陥が修正された。 CVE-2011-0697

  3. Windows におけるディレクトリトラバーサル欠陥が修正された。 CVE-2011-0698


2011.02.15

追記

トレンドマイクロ アラート/アドバイザリ:TMTDIドライバがカーネル内での任意コード実行を許可してしまう脆弱性について

 アドバイザリが 2011.02.14 20:00 付で改訂されていた。ウイルスバスター 16 / 2010 / 2011 用の修正プログラムはこちらから: ウイルスバスターにおける任意コードの実行を許可してしまう脆弱性について (トレンドマイクロ)

 なお、ウイルスバスター 16 というのは、ウイルスバスター 2008 が元になっている、DELL 専用の製品みたい。ウイルスバスター 2009 が出てこないのは、昨年末にサポート終了になっているからか。

APSB11-03: Security updates available for Adobe Reader and Acrobat

Microsoft 2011 年 2 月のセキュリティ情報

いろいろ (2011.02.15)
(various)

RealNetworks, Inc.、セキュリティ脆弱性に対応するアップデートをリリース
(RealNetworks, 2011.02.08)

 Windows 用 RealPlayer 14.0.1 以前、RealPlayer Enterprise 2.1.4 以前に欠陥。 Windows 用 RealPlayer 14.0.2、RealPlayer Enterprise 2.1.5 で修正されている。 CVE-2011-0694

WordPress 3.0.5 (and 3.1 Release Candidate 4)
(WordPress.org, 2011.02.07)

 WordPress 3.0.5 登場。2 件の XSS 欠陥、1 件の情報漏洩欠陥が修正されている。また 2 件のセキュリティ機能拡張があるそうで。 CVE-2011-0700 CVE-2011-0701

Google Chrome Stable Channel Update
(Google, 2011.02.08)

 Google Chrome 9.0.597.94 登場。Flash Player 10.2 へ追従した他、5 件の欠陥が修正されている。

 Windows 版については、その後さらに 9.0.597.98 がリリースされている。


2011.02.14

トレンドマイクロ アラート/アドバイザリ:TMTDIドライバがカーネル内での任意コード実行を許可してしまう脆弱性について
(トレンドマイクロ, 2011.02.14)

 Trend Micro ビジネスセキュリティ 5.0 / 5.1 / 6.0、ウイルスバスター 16 / 2010 / 2011、ウイルスバスター コーポレートエディション 10.0 / 10.5 / 8.0 に欠陥。 TMTDI ドライバに欠陥があり、local user による権限上昇が可能。

 修正プログラムが用意されている。最新版ダウンロードから入手できる。……と、トレンドマイクロ製品のTMTDIドライバに存在する脆弱性および脆弱性に関する修正プログラムの提供について (トレンドマイクロ) には書かれているのだが、ウイルスバスター 16 / 2010 / 2011 用の修正プログラムが見当らない……。自動更新機能で流れてきているのかな。

2011.02.15 追記:

 アドバイザリが 2011.02.14 20:00 付で改訂されていた。ウイルスバスター 16 / 2010 / 2011 用の修正プログラムはこちらから: ウイルスバスターにおける任意コードの実行を許可してしまう脆弱性について (トレンドマイクロ)

 なお、ウイルスバスター 16 というのは、ウイルスバスター 2008 が元になっている、DELL 専用の製品みたい。ウイルスバスター 2009 が出てこないのは、昨年末にサポート終了になっているからか。


2011.02.13

追記

マイクロソフト セキュリティ アドバイザリ (2490606) Graphics Rendering Engine の脆弱性により、リモートでコードが実行される

 MS11-006 - 緊急: Windows シェルのグラフィック処理の脆弱性により、リモートでコードが実行される (2483185) で修正されました。KB 2490606 から Fix it を適用して [有効に] している場合は、[無効にする] Fix it を適用してから、修正プログラムを適用してください。でないと適用に失敗します。(アクセスを拒否する ACL を設定しているので当然なのですが)

[SA42713] Microsoft IIS FTP Server Pre-Authentication Memory Corruption

 MS11-004 - 重要: インターネット インフォメーション サービス (IIS) の FTP サービスの脆弱性により、リモートでコードが実行される (2489256) で修正された。実は任意のコードの実行が可能だが、Exploitability Index: 2 であり、不安定な模様。CVE-2010-3972

JVNVU#634956: Microsoft Internet Explorer に任意のコードが実行される脆弱性

 MS11-003 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (2482017) で修正されました。 KB 2488013 から Fix it を適用して [有効に] している場合は、[無効にする] Fix it を適用してから修正プログラムをインストールしませう。

Microsoft 2011 年 2 月のセキュリティ情報
(Microsoft, 2011.02.09)

MS11-003 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (2482017)

 IE 6 / 7 / 8 に 4 つの欠陥。

 IE 9 βにも欠陥があり、更新プログラムが用意されてます。 IE 9 RC が出たみたいなんだけど、RC では直ってるのかなあ。

MS11-004 - 重要: インターネット インフォメーション サービス (IIS) の FTP サービスの脆弱性により、リモートでコードが実行される (2489256)

 Microsoft FTP Service 7.0 / 7.5 (どちらも IIS 7.0 用) に欠陥。 remote から任意のコードの実行が可能ではあるものの、 Exploitability Index: 2 であり、不安定。 [SA42713] Microsoft IIS FTP Server Pre-Authentication Memory Corruption の件。CVE-2010-3972

 関連: MS11-004 FTP サービスのバージョン確認方法 (日本のセキュリティチーム, 2011.02.09)

MS11-005 - 重要: Active Directory の脆弱性により、サービス拒否が起こる (2478953)

 Windows Server 2003 に欠陥。Active Directory におけるサービスプリンシパル名 (SPN) の検証方法に欠陥があり、remote から攻略パケットを送信することで DoS 攻撃が可能。 Exploitability Index: 3。 CVE-2011-0040

MS11-006 - 緊急: Windows シェルのグラフィック処理の脆弱性により、リモートでコードが実行される (2483185)

MS11-007 - 緊急: OpenType Compact Font Format (CFF) ドライバーの脆弱性により、リモートでコードが実行される (2485376)

 Windows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。OpenType Compact Font Format (CFF) ドライバーに欠陥があり、 攻略 CFF フォントでレンダリングされたコンテンツを表示させることで任意のコードを実行できる。 Exploitability Index: 2。 CVE-2011-0033

MS11-008 - 重要: Microsoft Visio の脆弱性により、リモートでコードが実行される (2451879)

 Visio 2002 / 2003 / 2007 に 2 件の欠陥。いずれも remote からの任意のコードの実行を招く。

  • Visio のオブジェクトのメモリ破損の脆弱性- CVE-2011-0092

    Exploitability Index: 1

  • Visio のデータ型のメモリ破損の脆弱性- CVE-2011-0093

    Exploitability Index: 1

MS11-009 - 重要: JScript および VBScript スクリプト エンジンの脆弱性により、情報漏えいが起こる (2475792)

 Windows 7 / Server 2008 R2 に欠陥。 JScript 5.8 / VBScript 5.8 に欠陥があり、情報漏洩が発生。 Exploitability Index: 3。 CVE-2011-0031

MS11-010 - 重要: Windows クライアント/サーバー ランタイム サブシステムの脆弱性により、特権が昇格される (2476687)

 Windows XP / Server 2003 に欠陥。クライアント/サーバー ランタイム サブシステム (CSRSS) に欠陥があり、local user による権限上昇を招く。 Exploitability Index: 1。 CVE-2011-0030

MS11-011 - 重要: Windows カーネルの脆弱性により、特権が昇格される (2393802)

 Windows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に 2 件の欠陥。local user による権限上昇を招く。

  • ドライバーの Windows カーネルとの不適切な対話の脆弱性 - CVE-2010-4398

    Exploitability Index: 1

  • Windows カーネルの整数の切り捨ての脆弱性- CVE-2011-0045

    Exploitability Index: 1

MS11-012 - 重要: Windows カーネルモード ドライバーの脆弱性により、特権が昇格される (2479628)

 Windows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に 5 つの欠陥。Windows カーネル モード ドライバーに欠陥があり、local user による権限上昇を招く。

  • Win32k の不適切なユーザー入力の検証の脆弱性 - CVE-2011-0086

    Exploitability Index: 1

  • Win32k の不十分なユーザー入力の検証の脆弱性 - CVE-2011-0087

    Exploitability Index: 1

  • Win32k のウィンドウ クラスのポインターの混同の脆弱性 - CVE-2011-0088

    Exploitability Index: 1

  • Win32k のウィンドウ クラスの不適切なポインター検証の脆弱性 - CVE-2011-0089

    Exploitability Index: 1

  • Win32k のメモリ破損の脆弱性 - CVE-2011-0090

    Exploitability Index: 1

MS11-013 - 重要: Kerberos の脆弱性により、特権が昇格される (2496930)

 Windows XP / Server 2003 / 7 / Server 2008 R2 の Kerberos 実装に欠陥。

  • Kerberos の Unkeyed チェックサムの脆弱性 - CVE-2011-0043

    Windows XP / Server 2003 の欠陥。local user による権限上昇を招く。 Exploitability Index: 1

  • Kerberos のなりすましの脆弱性 - CVE-2011-0091

    Windows 7 / Server 2008 R2 の欠陥。暗号化アルゴリズムを DES にダウングレードさせることにより、なりすましを可能にする。 Exploitability Index: 1

MS11-014 - 重要: Local Security Authority Subsystem Service (LSASS) の脆弱性により、ローカルで特権が昇格される (2478960)

 Windows XP / Server 2003 に欠陥。Local Security Authority Subsystem Service (LSASS) に欠陥があり、local user による権限上昇を招く。 Exploitability Index: 1。 CVE-2011-0039

 関連:

2011.02.15 追記:

 VMware View Client の利用者は、MS11-003 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (2482017)、 あるいは An update that addresses issues that occur when system binaries are unloaded and loaded in Windows 7 and in Windows Server 2008 R2 is available (Microsoft KB 2467023) を適用する前に、VMware View Client build 353760 にアップデートしてねだそうです。 Unable to connect from the View Client on Windows 7 to the View Connection Server after installing the patch in Microsoft Knowledge Base article 2482017 or 2467023 (VMware, 2011.02.08)

2011.03.22 追記:

 MS11-012 が改訂された。Windows 7 / Server 2008 R2 の SP1 も更新の対象だそうだ。


2011.02.12


2011.02.11

追記

ShmooCon 2011 presentation: USB autorun attacks against Linux

 Gnomeで無効化するには (slashdot.jp, 2011.02.11)


2011.02.10

APSB11-04: Hotfix available for ColdFusion
(Adobe, 2011.02.08)

 ColdFusion 9.0.1 以前に 5 種類の欠陥。patch が用意されている。 CVE-2011-0580, CVE-2011-0581, CVE-2011-0582, CVE-2011-0583, CVE-2011-0584

APSB11-03: Security updates available for Adobe Reader and Acrobat
(Adobe, 2011.02.08)

 Adobe Reader / Acrobat 10.0.1 / 9.4.2 / 8.2.6 登場 (Windows / Mac 版のみ)。29 種類の欠陥が修正されている。 CVE-2010-4091, CVE-2011-0562, CVE-2011-0563, CVE-2011-0564, CVE-2011-0565, CVE-2011-0566, CVE-2011-0567, CVE-2011-0568, CVE-2011-0570, CVE-2011-0585, CVE-2011-0586, CVE-2011-0587, CVE-2011-0588, CVE-2011-0589, CVE-2011-0590, CVE-2011-0591, CVE-2011-0592, CVE-2011-0593, CVE-2011-0594, CVE-2011-0595, CVE-2011-0596, CVE-2011-0598, CVE-2011-0599, CVE-2011-0600, CVE-2011-0602, CVE-2011-0603, CVE-2011-0604, CVE-2011-0605, CVE-2011-0606

 なお、UNIX 版の Adobe Reader 新版は 2011.02.28 の週の登場が予定されている。 (x s さん感謝)

2011.02.15 追記:

 Our First SCUP Catalog for Acrobat and Reader X is Here (Adobe Reader blog, 2011.02.09)

APSB11-02: Security update available for Adobe Flash Player
(Adobe, 2011.02.08)

 Flash Player 10.2.152.26 登場。13 種類の欠陥が修正されている。 CVE-2011-0558, CVE-2011-0559, CVE-2011-0560, CVE-2011-0561, CVE-2011-0571, CVE-2011-0572, CVE-2011-0573, CVE-2011-0574, CVE-2011-0575, CVE-2011-0577, CVE-2011-0578, CVE-2011-0607, CVE-2011-0608

 なお、Flash Player 9 のサポートは終了しました

2012.04.04 追記:

 あまり知られていないBlackholeのエクスプロイト (エフセキュアブログ, 2012.04.02)。CVE-2011-0559 攻略プログラムが含まれるそうで。

APSB11-01: Security update available for Shockwave Player
(Adobe, 2011.02.08)

 Shockwave Player 11.5.9.620 登場。21 種類の欠陥が修正されている。 CVE-2010-2587, CVE-2010-2588, CVE-2010-2589, CVE-2010-4092, CVE-2010-4093, CVE-2010-4187, CVE-2010-4188, CVE-2010-4189, CVE-2010-4190, CVE-2010-4191, CVE-2010-4192, CVE-2010-4193, CVE-2010-4194, CVE-2010-4195, CVE-2010-4196, CVE-2010-4306, CVE-2010-4307, CVE-2011-0555, CVE-2011-0556, CVE-2011-0557, CVE-2011-0569

OpenSSL Security Advisory [8 February 2011] OCSP stapling vulnerability in OpenSSL
(OpenSSL.org, 2011.02.08)

 OpenSSL 0.9.8h 〜 0.9.8q / 1.0.0 〜 1.0.0c に欠陥。攻略 ClientHello ハンドシェークメッセージを送ることにより、 DoS 攻撃 (crash) あるいはメモリの内容が漏洩する可能性。ただし影響するのは、 サーバの SSL_CTX (SSL Context) で SSL_CTX_set_tlsext_status_cb() を呼び出している場合のみ。 影響する例として、Apache 2.3.3 以降で SSLUseStapling On している場合を挙げている。 CVE-2011-0014

 OpenSSL 0.9.8r / 1.0.0d で修正されている。また Advisory に patch が添付されている。関連:

 iida さん情報ありがとうございます。

Java Hangs When Converting 2.2250738585072012e-308
(Exploring Binary, 2011.01.31)

 PHP Hangs On Numeric Value 2.2250738585072011e-308 と同様の話が Java にもあったという話。 オフィシャル: Security Alert For CVE-2010-4476 Released (Oracle, 2011.02.08)。CVE-2010-4476

 Java SE Floating Point Updater Tool (FPUpdater Tool) を使うことで修正される。また 2011.02.15 にリリースされる予定の JRE 6 update 24 で修正されている。


2011.02.09

 Microsoft 月例だけでなく、Adobe からも Flash, Shockwave, ColdFusion, Adobe Reader / Acrobat 出ているようで。おいおい書いていきます。

追記

Windows で自動再生機能への更新します。

 971029 更新プログラムが自動更新で配布されるようになりました。関連:

Microsoft Office における複数の未修正の欠陥
(Zero Day Initiative, 2011.02.07)

 180日ルールにより、Zero Day Initiative から未修正のまま情報が開示されたもの:

 http://dvlabs.tippingpoint.com/blog/2011/02/07/zdi-disclosure-microsoft も参照。


2011.02.08

ShmooCon 2011 presentation: USB autorun attacks against Linux
(IBM ISS, 2011.02.07)

 autorun は Windows に特有なわけではない模様……。

2011.02.11 追記:

 Gnomeで無効化するには (slashdot.jp, 2011.02.11)

Apache Tomcat 方面
(apache.org, various)

 Tomcat の最新は 7.0.77.0.8 / 6.0.31 / 5.5.32。

2011.02.09 追記:

 誤記修正。Tomcat 7.0.7 はリリースされていない。(iida さん感謝)

レガシーな証明書署名の脆弱性を修正したOpenSSH 5.8/5.8p1リリース
(sourceforge.jp, 2011.02.08)

 OpenSSH 5.8 / 5.8p1 登場。1 件の欠陥が修正されている。

バージョン5.6/5.6p1で導入されたCA鍵を使ったレガシーな証明書の署名における脆弱性の修正。5.6および5.7で署名されたレガシーな証明書はスタックからのデータを含み、これは機密情報の漏洩につながる可能性があると報告されていた。

 詳細はこちら: http://www.openssh.com/txt/legacy-cert.adv

主に UNIX / Linux 系サーバを対象としたインターネット公開サーバのセキュリティ設定に関する注意喚起
(JPCERT/CC, 2011.02.08)

 こういうことかしら:

  1. ヨワヨワな UNIX / Linux 機を運用していると侵入され、SIP スキャン・攻撃ツールを設置され、攻撃拠点にされる。 ヨワヨワの種類はいろいろ。 設置されるツールだが、/.old/aloha に設置される事例が確認されている。

  2. 攻撃拠点から SIP スキャン (5060/udp) が実行され、スキャンに反応したものに対して辞書攻撃 (13万行) が行われる。 ファイアウォールや IDS の log に、5060/udp へのアクセスログがないかどうか確認してみよう。

  3. 攻撃結果はメールで攻撃者に返される。

2011.02.16 追記:

 関連かなあ: A Distributed Cracker for VoIP (Symantec, 2011.02.16)。ここで紹介されている Hacktool は Windows 上で動くようだけど。

2011.02.24 追記:

 A Distributed Cracker for VoIP (Symantec, 2011.02.16) の日本語訳: 分散型の VoIP クラッカー (シマンテック, 2011.02.16)

追記

Intel、6シリーズチップセットに不具合、リコールへ


2011.02.07


2011.02.05


2011.02.04

Google Chrome Stable Channel Update
(Google, 2011.02.03)

 Google Chrome 9.0.597.84 登場。9 件の欠陥が修正されている。内 2 つは Mac 版のみが対象。

APSB11-03: Prenotification Security Advisory for Adobe Reader and Acrobat
(Adobe, 2011.02.03)

 Adobe Reader / Acrobat 10.0 / 9.4.1 に対する更新の提供が予定されている。 critical security issues が修正されるという。

マイクロソフト セキュリティ情報の事前通知 - 2011 年 2 月
(Microsoft, 2011.02.04)

 はい、来ましたよ。緊急 x 3、重要 x 9。IE (緊急)、Office (重要) あり。 Office と言っても Visio ですが。

追記

【速報】IANAからAPNICへ、二つの/8ブロックが割り振られました

 IANAにおけるIPv4アドレス在庫枯渇、 およびJPNICの今後のアドレス分配について (JPNIC, 2011.02.04)。IANA 在庫は正式に枯渇しました。

APNIC/JPNICの在庫枯渇時期は2011年2月現在、 IANA在庫枯渇から約3〜6ヶ月後になるとAPNICでは予測しています。
(中略)
 なお、APNIC/JPNICにおいては、 IPv4アドレスの在庫が/8サイズで残り1ブロックになった時点が、 実質的な「枯渇」です。 その後は、その/8ブロックを利用し、 「1指定事業者(新規および既存)につき、 /22(1,024アドレス)を1ブロック」という、 限定された割り振りとなります。 これはすなわち、 1指定事業者あたり/22 1ブロックの分配しか受けられなくなることを意味しています。

2011.02.03

いろいろ (2011.02.03)
(various)

2011.02.24 追記:

 Security vulnerability announcement: CVE-2011-0720 - Privilege escalation (Plone.org, 2011.02.02) の件、2011.02.08 に patch 出てます。 Plone Hotfix CVE-2011-0720 (Feb 08, 2011)

追記

いろいろ (2011.02.01)

 VLC 1.1.7 出ました。

Intel、6シリーズチップセットに不具合、リコールへ

 関連:


2011.02.02

いろいろ (2011.02.02)
(various)

The OpenOffice.org Community Announces the Release of OpenOffice.org 3.3
(OpenOffice.org, 2011.01.27)

 OpenOffice.org 3.3 登場。複数のセキュリティ欠陥が修正されています。

 OpenOffice.org から派生した LibreOffice も 3.3 が出ています。

2011.03.23 追記:

 LibreOffice 3.3.2 Final (2011-03-22) (libreoffice.org, 2011.03.22)。OpenOffice.org 3.3 で修正された欠陥は LibreOffice 3.3.2 で対応されたようです。

PostgreSQL: Security update 2011-02-01 released
(PostgreSQL.org, 2011.01.31)

 PostgreSQL 9.0.3 / 8.4.7 / 8.3.14 / 8.2.20 登場。 contrib/intarray の query_int 型用の入力関数において buffer overrun が発生する欠陥が修正されている。 CVE-2010-4015

追記

JVNVU#634956: Microsoft Internet Explorer に任意のコードが実行される脆弱性

 IEの脆弱性攻撃とEMETによる防御 (SPN通信, 2011.01.24)

Opera 11.01 Final

Intel、6シリーズチップセットに不具合、リコールへ

 関連:

  • The Source of Intel's Cougar Point SATA Bug (AnandTech, 2011.01.31)。技術解説。

    The problem in the chipset was traced back to a transistor in the 3Gbps PLL clocking tree. The aforementioned transistor has a very thin gate oxide, which allows you to turn it on with a very low voltage. Unfortunately in this case Intel biased the transistor with too high of a voltage, resulting in higher than expected leakage current. Depending on the physical characteristics of the transistor the leakage current here can increase over time which can ultimately result in this failure on the 3Gbps ports. The fact that the 3Gbps and 6Gbps circuits have their own independent clocking trees is what ensures that this problem is limited to only ports 2 - 5 off the controller.
  • “Intel 6”に欠陥——アキバに与える影響は? (ITmedia, 2011.02.02)

     インテルの発表後、秋葉原の自作PCパーツショップは即座の対応を迫られることになった。2月1日昼過ぎの時点ではほぼすべての店舗が販売中止を決断し、P67/H67マザーとそれを組み込んだショップブランドPCは購入することができなくなっている。
  • 「Intel 6」チップセット問題、PCメーカー各社対応へ (ITmedia, 2011.02.02)


2011.02.01

いろいろ (2011.02.01)
(various)

2011.02.03 追記:

 VLC 1.1.7 出ました。

[exim-announce] Exim 4.74 Release
(exim-announce ML, 2011.01.26)

 Linux において権限上昇を許す欠陥 CVE-2011-0017 が修正されているそうです。

Intel、6シリーズチップセットに不具合、リコールへ
(PC Watch, 2011.02.01)

 SATA 方面で不具合が発生するそうで。元ねた: Intel Identifies Chipset Design Error, Implementing Solution (Intel, 1/31)。

The systems with the affected support chips have only been shipping since January 9th and the company believes that relatively few consumers are impacted by this issue. The only systems sold to an end customer potentially impacted are Second Generation Core i5 and Core i7 quad core based systems.

 対象となる可能性があるのは、1/9 以降に出荷された、第2世代 Core i5 / Core i7 クアッドコアベースのシステムだそうです。該当する場合はお問いあわせを。

2011.02.02 追記:

 関連:

2011.02.03 追記:

 関連:

2011.02.08 追記:

 関連:

【速報】IANAからAPNICへ、二つの/8ブロックが割り振られました
(JPNIC, 2011.02.01)

 その時、歴史は動いた。

 これにより、IANAの/8ブロックの残りは5ブロックとなりました。近日中に「/8ブロックの残りが最後5ブロックとなった際、それらは世界に五つあるRIRに一つずつ分配され、すべての割り振りを終了する」というポリシーが、IANAによって施行される予定です。このポリシーが施行されると、IANAの中央在庫は枯渇することになります。このポリシー施行の際には、またあらためてお知らせします。

 というわけで、IPv4 アドレスの IANA 在庫は事実上枯渇しました。あとは各 RIR に残る分だけです。

 IANAの在庫枯渇後も、各RIRはIPv4アドレスの分配を継続していきますが、アジア・太平洋地域では、2011年後半には在庫が枯渇すると予測されています。その後には、基本的にIPv4アドレスの新規分配はできなくなりますので、関連各位におかれましては、IPv4アドレス新規分配を受けられなくなることを前提としたご準備、ご対応のほど、お願いいたします。

 ちなみに龍大の IPv6 対応の目処はまだ立ってません。しくしく。

 関連:

2011.02.04 追記:

 IANAにおけるIPv4アドレス在庫枯渇、 およびJPNICの今後のアドレス分配について (JPNIC, 2011.02.04)。IANA 在庫は正式に枯渇しました。

APNIC/JPNICの在庫枯渇時期は2011年2月現在、 IANA在庫枯渇から約3〜6ヶ月後になるとAPNICでは予測しています。
(中略)
 なお、APNIC/JPNICにおいては、 IPv4アドレスの在庫が/8サイズで残り1ブロックになった時点が、 実質的な「枯渇」です。 その後は、その/8ブロックを利用し、 「1指定事業者(新規および既存)につき、 /22(1,024アドレス)を1ブロック」という、 限定された割り振りとなります。 これはすなわち、 1指定事業者あたり/22 1ブロックの分配しか受けられなくなることを意味しています。

[セキュリティホール memo]
[私について]