セキュリティホール memo - 2012.03

Last modified: Tue Jul 3 17:41:23 2012 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2012.03.30


2012.03.29

Chrome Stable Channel Release and Beta Channel Update
(Google, 2012.03.28)

 Chrome 18 正式版 18.0.1025.142 登場。9 件のセキュリティ欠陥が修正されている他、Flash Player も更新されている。

APSB12-07: Security update available for Adobe Flash Player
(Adobe, 2012.03.28)

 Flash Player 11.2.202.228 / 10.3.183.18 for Windows / Mac / Linux / Solaris, Flash Player 11.1.111.8 for Android 3.x / 2.x, Adobe AIR 3.2.0.2070 登場。任意のコードの実行を招く 2 件のセキュリティ欠陥が修正されている。CVE-2012-0772 CVE-2012-0773

 Google Chrome 内蔵の Flash Player については、18.0.1025.142 で修正されている。

 ……あれ、for Android 4.x の更新はない?

 関連:

2012.04.04 追記:

 バックグラウンドアップデーターの導入について(Windows 版 Flash Player) (Adobe, 2012.03.30)。Windows 版 Flash Player 11.2 の自動更新機能 (バックグラウンドアップデーター) の説明、日本語版。

2012.04.06 追記:

 Security Bulletin が 2012.04.05 付で改訂された。Google Chrome 特有の項目 2 件が Chrome 18.0.1025.151 で修正されたそうだ。 CVE-2012-0724 CVE-2012-0725

The Google Chrome version 18.0.1025.151 update addresses two Flash Player memory corruption vulnerabilities in the Chrome interface (Google Chrome only) (CVE-2012-0724, CVE-2012-0725).

 Chrome 18.0.1025.151 の Flash バージョンは 11.2.202.229。


2012.03.28

いろいろ (2012.03.28)
(various)


2012.03.27

Opera 11.62 released
(Opera, 2012.03.27)

 Opera 11.62 登場。Windows は 5 件、Mac / Linux は 6 件のセキュリティ欠陥が修正されている。

いろいろ (2012.03.27)
(various)


2012.03.26

追記

Microsoft 2012 年 3 月のセキュリティ情報


2012.03.23

いろいろ (2012.03.23)
(various)

追記

When Do I Need to Apply This Update - Adding Priority Ratings to Adobe Security Bulletins


2012.03.22

Chrome Stable Channel Update
(Google, 2012.03.21)

 17.0.963.83。セキュリティ修正 10 件。

追記

Ghost Domain Names: Revoked Yet Still Resolvable

 「DNS浸透問題」は脆弱性だった!「幽霊ドメイン名脆弱性」 (Geek なぺーじ, 2012.03.21)。「DNS浸透問題」と「幽霊ドメイン名脆弱性」の関連性 (というか等価性) の解説。

 ちなみに、コミPo! でつくるとたとえばこんな感じです。

Evasion attacks expoliting file-parsing vulnerabilities in antivirus products
(Suman Jana, 2012.03.19)

 さまざまなアンチウイルス製品にさまざまな弱点。ファイルの処理 (アーカイブファイル、実行ファイル、Office 文書ファイル、CHM ファイル) に欠陥があり、ウイルスが存在しても見逃してしまう。 CVE-2012-1419 CVE-2012-1420 CVE-2012-1421 CVE-2012-1422 CVE-2012-1423 CVE-2012-1424 CVE-2012-1425 CVE-2012-1426 CVE-2012-1427 CVE-2012-1428 CVE-2012-1429 CVE-2012-1430 CVE-2012-1431 CVE-2012-1432 CVE-2012-1433 CVE-2012-1434 CVE-2012-1435 CVE-2012-1436 CVE-2012-1437 CVE-2012-1438 CVE-2012-1439 CVE-2012-1440 CVE-2012-1441 CVE-2012-1442 CVE-2012-1443 CVE-2012-1444 CVE-2012-1445 CVE-2012-1446 CVE-2012-1447 CVE-2012-1448 CVE-2012-1449 CVE-2012-1450 CVE-2012-1451 CVE-2012-1452 CVE-2012-1453 CVE-2012-1454 CVE-2012-1455 CVE-2012-1456 CVE-2012-1457 CVE-2012-1458 CVE-2012-1459 CVE-2012-1460 CVE-2012-1461 CVE-2012-1462 CVE-2012-1463 CVE-2012-0768

 IEEE Symposium on Security & Privacy 2012 において Abusing File Processing in Malware Detectors for Fun and Profit として発表されたそうです。 指摘された欠陥が、現時点で修正されているのかどうかは不明。

いろいろ (2012.03.22)
(various)


2012.03.21

いろいろ (2012.03.21)
(various)

追記

マルウェア「Duqu」のドロッパーは Windows カーネルの 0-day 欠陥を利用していたことが判明

 関連:


2012.03.20

追記

マルウェア「Duqu」のドロッパーは Windows カーネルの 0-day 欠陥を利用していたことが判明

 関連:


2012.03.19

いろいろ (2012.03.19)
(various)


2012.03.16

pidgin ChangeLog: version 2.10.2 (03/14/2012)
(pidgin, 2012.03.14)

 pidgin 2.10.2。2 件のセキュリティ欠陥が修正されている。


2012.03.15

いろいろ (2012.03.15)
(various)

追記

Microsoft 2012 年 3 月のセキュリティ情報

 セキュリティ情報を記載、構成を変更。

Firefox 11.0 / 10.0.3 ESR / 3.6.28 公開

2011年9月1日以降、はてなブックマークボタンはマイクロアドの行動ターゲティングのトラッキングタグが挿入されているよう変更されている

 関連:

  • 提携パートナー企業へのユーザー告知義務強化について (マイクロアド, 2012.03.14)

     今後マイクロアドでは、ブログパーツや外部ボタン等、マイクロアドと直接提携関係にあるパートナー以外の第三者にあたる媒体・配信面に付与される可能性のあるものについて、それらの表示領域にマイクロアドからの行動履歴情報の蓄積を無効化するオプトアウトページへの導線設置を義務化いたします。
  • はてなブックマークボタンがマイクロアド社の新ガイドラインに従ったらこうなる (ockeghem(徳丸浩)の日記, 2012.03.15)。上記↑の内容を実装するとどうなるのか、をわかりやすく解説。 まぁつまり、やっちゃ駄目、ということですね。

    だからこそ、はてなの状況は何故発生したのかが明らかになるべきなわけですが、 はてなもマイクロアドも沈黙したままですね。


2012.03.14

Firefox 11.0 / 10.0.3 ESR / 3.6.28 公開
(mozilla.jp, 2012.03.14)

 Firefox 11.0 / 10.0.3 ESR / 3.6.28 公開されてます。セキュリティ修正を含みます。

 Android 版 Firefox 11.0SeaMonkey 2.8 はまだβです。 Android 版 Firefox 11.0 は出ない、10.0.3 が出ているんだそうです。 Android 版 Firefox 10.0.3 リリースノート。 また SeaMonkey 2.8 はβが取れました。Ivarn さん情報ありがとうございます。 あと Thunderbird 新版は今日の深夜になるそうです。

2012.03.15 追記:

 Thunderbird 新版出ました。

Microsoft 2012 年 3 月のセキュリティ情報
(Microsoft, 2012.03.14)

 予定どおり出てます。

MS12-017 - 重要: DNS サーバーの脆弱性により、サービス拒否が起こる (2647170)

 Windows Server 2003 / Server 2008 / Server 2008 R2 に欠陥。 DNS サーバーにおけるキャッシュの処理に欠陥があり、remote からの攻略 DNS クエリによってサーバーが再起動する。 CVE-2012-0006。 Exploitability Index: 3

 関連: Windows DNSサーバーの脆弱性を利用したサービス不能(DoS)攻撃について (JPRS, 2012.03.15)

MS12-018 - 重要: Windows カーネルモード ドライバーの脆弱性により、特権が昇格される (2641653)

 Windows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。 Windows カーネルモード ドライバー win32k.sys に欠陥があり、 PostMessage 機能による入力を適切に処理しないため、 local user による権限上昇が可能。 CVE-2012-0157。 Exploitability Index: 2

MS12-019 - 警告: DirectWrite の脆弱性により、サービス拒否が起こる (2665364)

 Windows Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。 DirectWrite における Unicode 文字シーケンスの扱いに欠陥があり、攻略 Unicode 文字シーケンスによってアプリケーションが応答しなくなり、DoS 攻撃が成立する。 CVE-2012-0156。 Exploitability Index: N/A

MS12-020 - 緊急: リモート デスクトップの脆弱性により、リモートでコードが実行される (2671387)

 RDP に 2 つの欠陥。

MS12-021 - 重要: Visual Studio の脆弱性により、特権が昇格される (2651019)

 Visual Studio 2008 / 2010 に欠陥。アドインのロードに欠陥があり、 local user による権限上昇が可能。 CVE-2012-0008。Exploitability Index: 1

MS12-022 - 重要: Expression Design の脆弱性により、リモートでコードが実行される (2651018)

 Expression Design 1〜4 に欠陥。DLL ファイルのロード処理に欠陥があり、 正当なファイル (.xpr ファイルなど) を開くときに、同じディレクトリに攻略 DLL が存在すると、その DLL に含まれる攻略コードが実行される。DLL 読み込みに関する脆弱性関連。 CVE-2012-0016。Exploitability Index: 1

 関連:

2012.03.15 追記:

 セキュリティ情報を記載、構成を変更。

2012.03.19 追記:

 MS12-020 関連:

2012.03.26 追記:

 MS12-020 関連:

2012.06.13 追記:

 MS12-020 - 緊急: リモート デスクトップの脆弱性により、リモートでコードが実行される (2671387) 更新プログラムが再リリースされた。

この新たに提供された更新プログラムでは 3 月 14 日当初に提供した更新プログラムにおいて発生する、Windows 7 または Windows Server 2008 R2 に更新プログラムがインストールされると、その後オペレーティング システムが Service Pack 1 に更新されるという問題に対処しました。

追記

米研究者がHPプリンタの脆弱性を実証——乗っ取られ、制御される恐れも

 HPSBPI02728 SSRT100692 rev.4 - Certain HP Printers and HP Digital Senders, Remote Firmware Update Enabled by Default (HP, 2012.02.17 更新)。対応ファームウェアが増えてます。

いろいろ (2012.03.14)
(various)


2012.03.13

追記

APSB12-03: Security update available for Adobe Flash Player

2011年9月1日以降、はてなブックマークボタンはマイクロアドの行動ターゲティングのトラッキングタグが挿入されているよう変更されている

 関連:

 そして停止。

  • はてなブックマークボタンが取得した行動情報の第三者への送信を停止しました (はてなブックマーク日記, 2012.03.13)

    経緯

    はてなは2011年9月1日より、はてなブックマークボタンから行動情報を取得し、株式会社マイクロアドに送信していました。その際、はてなブックマーク日記では送信の事実や無効化(オプトアウト)の方法を告知せず、以下の2つのページで情報を公開しました。

    「なぜそうしたか」は不明なまま。

    行動情報の取得を除外するドメインのリストについて

    かつての http://b.st-hatena.com/js/bookmark_button.js が含んでいた、行動情報の取得を除外するドメインのリストについては、当時のはてなブックマークのマーケティング施策によるものです。ボタンの設置をお願いするなどのやりとりの中で、本行動情報の取得除外をご希望されたサイト運営者様については、除外ドメインリストとして実装いたしました。
  • 「はてなブックマークボタン」、マイクロアドへの行動履歴の送信を停止 (CNET, 2012.03.13)

     ただし、一部のウェブメディア等のドメインについては、行動情報の取得を除外している。これについては、ボタンの設置を依頼するやりとりの中で、行動情報の取得除外を希望したサイト運営者に対して、除外設定をしていると説明している。リストにはCNET Japanも含まれるが、2011年8月下旬にはてなからその旨の連絡が届いている。
  • はてな、ブックマークボタンで周知せず行動情報取得を行なっていたことを謝罪 (Internet Watch, 2012.03.13)

     INTERNET WatchをはじめとするImpress Watchの各媒体でも、以前よりはてなブックマークボタンを各ページに表示している。Impress Watchのプライバシーポリシーのページでは、広告などの目的でCookieやウェブビーコンを使用している第三者企業を挙げているが、今回のはてなブックマークボタンについては、設置時にはトラッキングCookieは利用されておらず、その後にトラッキングCookieが導入されていたことを把握できていなかったため、プライバシーポリシーにも掲載していなかった。Impress Watchでは、事態を把握した3月11日から、はてなブックマークボタンを情報行動の取得を行わないボタンに差し替えていたが、今後はこうした第三者のスクリプトなどの利用に関してより対応を強化していく。

    Impress Watch には「連絡」が来なかったのかなあ。

Chrome Stable Channel Update

 さらに 17.0.963.79 が登場してました: Chrome Stable Update (Google, 2012.03.10)。セキュリティ修正を含みます。 Shibuya, Nobuhiro @nsh1960 さん情報ありがとうございます。


2012.03.12

マイクロソフト セキュリティ情報の事前通知 - 2012 年 3 月
(Microsoft, 2012.03.09)

 2012.03.14 公開予定。緊急 x 1、重要 x 4、警告 x 1。緊急の件は Windows XP 〜 7 まで全て「緊急」で該当、要再起動。IE なし、Office なし。

2011年9月1日以降、はてなブックマークボタンはマイクロアドの行動ターゲティングのトラッキングタグが挿入されているよう変更されている
(various)

 表題のとおりです。詳細は以下をご参照ください。はてなブックマーク日記で告知されることなく、2011 年 9 月 1 日から行われているそうです。はてなブックマークボタンが設置されている Web ページを閲覧するとトラッキングされる点に注意。「はてなブックマークボタンを押すと」ではありません。

 はてなブックマークボタンを捨てたり、トラッキングしない版 (オプトアウト版はてなブックマークボタン) に変更したりする人が出てきてます。

 閲覧者に対してお詫びをする人まで出てきてしまった。設置者は悪くないのに。

2012.03.13 追記:

 関連:

 そして停止。

2012.03.15 追記:

 関連:

Chrome Stable Channel Update
(Google, 2012.03.08)

 Google Chrome 17.0.963.78 登場。 ヒストリナビゲーションの処理に欠陥があり、ユニバーサル XSS を誘発 CVE-2011-3046

2012.03.13 追記:

 さらに 17.0.963.79 が登場してました: Chrome Stable Update (Google, 2012.03.10)。セキュリティ修正を含みます。 Shibuya, Nobuhiro @nsh1960 さん情報ありがとうございます。


2012.03.09

About the security content of iOS 5.1 Software Update
(Apple, 2012.03.07)

 iOS 5.1 登場。81 件のセキュリティ欠陥が修正されている。

モジュール 概要 CVE
CFNetwork センシティブ情報が漏洩する CVE-2012-0641
HFS 攻略ディスクイメージをマウントすると任意のコードが実行される CVE-2012-0642
Kernel サンドボックスを突破される CVE-2012-0643
libresolv 任意のコードが実行される CVE-2011-3453
Passcode Lock スクリーンロックを回避される CVE-2012-0644
Safari プライベートブラウジングが有効な場合でも訪問先 Web サイトがブラウザヒストリに記録されてしまう CVE-2012-0585
Siri ロックされていても最初の電子メールメッセージにアクセスできる CVE-2012-0645
VPN 攻略システム設定ファイルによってシステム権限で任意のコードが実行される CVE-2012-0646
WebKit クッキー漏洩、XSS、任意のコードの実行 CVE-2011-3887 CVE-2012-0590 CVE-2011-3881 CVE-2012-0586 CVE-2012-0587 CVE-2012-0588 CVE-2012-0589 CVE-2011-2825 CVE-2011-2833 CVE-2011-2846 CVE-2011-2847 CVE-2011-2854 CVE-2011-2855 CVE-2011-2857 CVE-2011-2860 CVE-2011-2867 CVE-2011-2868 CVE-2011-2869 CVE-2011-2870 CVE-2011-2871 CVE-2011-2872 CVE-2011-2873 CVE-2011-2877 CVE-2011-3885 CVE-2011-3888 CVE-2011-3897 CVE-2011-3908 CVE-2011-3909 CVE-2011-3928 CVE-2012-0591 CVE-2012-0592 CVE-2012-0593 CVE-2012-0594 CVE-2012-0595 CVE-2012-0596 CVE-2012-0597 CVE-2012-0598 CVE-2012-0599 CVE-2012-0600 CVE-2012-0601 CVE-2012-0602 CVE-2012-0603 CVE-2012-0604 CVE-2012-0605 CVE-2012-0606 CVE-2012-0607 CVE-2012-0608 CVE-2012-0609 CVE-2012-0610 CVE-2012-0611 CVE-2012-0612 CVE-2012-0613 CVE-2012-0614 CVE-2012-0615 CVE-2012-0616 CVE-2012-0617 CVE-2012-0618 CVE-2012-0619 CVE-2012-0620 CVE-2012-0621 CVE-2012-0622 CVE-2012-0623 CVE-2012-0624 CVE-2012-0625 CVE-2012-0626 CVE-2012-0627 CVE-2012-0628 CVE-2012-0629 CVE-2012-0630 CVE-2012-0631 CVE-2012-0632 CVE-2012-0633 CVE-2012-0635

 ただし、ブロードバンドルータや ISP の DNS サーバにおいて 512 バイト越えの DNS 応答をうまく扱えない不具合があると、うまくアップデートできない模様です。

 さらに、iOS 5.1 にアップデートできても、その後で無限ループが発生することがある模様。

 やれやれ。

About the security content of Apple TV 5.0 software
(Apple, 2012.03.07)

 Apple TV 5.0 登場。DNS リゾルバの欠陥 CVE-2011-3453 が修正されている。

About the security content of iTunes 10.6
(Apple, 2012.03.07)

 iTunes 10.6 登場。Windows 版のみ、WebKit のセキュリティ欠陥 72 件の修正が含まれる。 CVE-2011-2825 CVE-2011-2833 CVE-2011-2846 CVE-2011-2847 CVE-2011-2854 CVE-2011-2855 CVE-2011-2857 CVE-2011-2860 CVE-2011-2866 CVE-2011-2867 CVE-2011-2868 CVE-2011-2869 CVE-2011-2870 CVE-2011-2871 CVE-2011-2872 CVE-2011-2873 CVE-2011-2877 CVE-2011-3885 CVE-2011-3888 CVE-2011-3897 CVE-2011-3908 CVE-2011-3909 CVE-2012-0591 CVE-2012-0592 CVE-2012-0593 CVE-2012-0594 CVE-2012-0595 CVE-2012-0596 CVE-2012-0597 CVE-2012-0598 CVE-2012-0599 CVE-2012-0600 CVE-2012-0601 CVE-2012-0602 CVE-2012-0603 CVE-2012-0604 CVE-2012-0605 CVE-2012-0606 CVE-2012-0607 CVE-2012-0608 CVE-2012-0609 CVE-2012-0610 CVE-2012-0611 CVE-2012-0612 CVE-2012-0613 CVE-2012-0614 CVE-2012-0615 CVE-2012-0616 CVE-2012-0617 CVE-2012-0618 CVE-2012-0619 CVE-2012-0620 CVE-2012-0621 CVE-2012-0622 CVE-2012-0623 CVE-2012-0624 CVE-2012-0625 CVE-2012-0626 CVE-2012-0627 CVE-2012-0628 CVE-2012-0629 CVE-2012-0630 CVE-2012-0631 CVE-2012-0632 CVE-2012-0633 CVE-2012-0634 CVE-2012-0635 CVE-2012-0636 CVE-2012-0637 CVE-2012-0638 CVE-2012-0639 CVE-2012-0648


2012.03.08

いろいろ (20120.03.08)
(various)


2012.03.07

Panda が Lulz にハクられたらしい
(various, 2012.03.06)

 このへん:

 関連:

2012.03.08 追記:

 関連:

追記

DNS Changerマルウェア感染に関する注意喚起

 DNS Changerマルウェア感染に関する注意喚起 (続報) (IIJ-SECT, 2012.03.07)。4 か月延長されたそうで。

Chrome Stable Update

 17.0.963.66 が出ています。bug fix リリースのようです。

いろいろ (2012.03.07)
(various)


2012.03.06

SYM12-003 - Symantec pcAnywhere に awhost32 によるサービス拒否の脆弱性
(シマンテック, 2012.03.01)

 pcAnywhere 12.0.x〜12.6.x に DoS 攻撃を受ける欠陥。Hotfix が用意されているので適用すればよい。CVE-2012-029

Internet Explorer の自動アップグレードについてのご案内
(The Official Microsoft Japan Blog, 2012.03.06)

 昨年 12 月中旬に、Windows XP、Windows Vista、Windows 7 が導入されている PC に対する、Internet Explorer (以下 “IE”) の自動アップグレードが始まることが米国にて発表され、今年の 1 月中旬より順次、世界各国で開始されております。本日、日本においても自動アップグレードを 3 月中旬より開始することを、お知らせいたします。詳細についてはこちらの製品サイトをご覧下さい。

 ♪The Final Countdown

 ブラウザーを最新にすることによる恩恵は数え切れないほどありますが、我々はお客様の選択を尊重し、柔軟なアップグレードパスを提供しています。たとえば独自のアップグレード計画をお持ちの企業のお客様は、自動配布の無効化ツールキット (IE8 用 / IE9 用) をお使いいただくことで、ブラウザーのアップグレードを管理することができます。
 また、以前 IE8 や IE9 の自動更新の際、インストールを拒否なさったお客様には自動アップグレードは適用されません。また、自動アップグレードで導入された最新版の IE をアンインストールして、元に戻すことも可能です。以前のバージョンの IE であっても、導入している Windows のサポートが続く限り、引き続きサポートされます。

 関連: Internet Explorer の自動アップグレードについて (Japan WSUS Support Team Blog, 2012.03.06)

WSUS 管理者の皆様に一番重要な情報は、下記セクションです。

*******************
自動アップグレードの対象とならない環境

自動アップグレードが適用される PC に対する更新プログラムの配信が、以下のような管理コンソールによって一元管理されている
・Microsoft Windows Server Update Services (WSUS)
・System Center Configuration Manager (SCCM)
・Windows Intune

すでに「Internet Explorer 8/9 自動配布の無効化ツールキット (Blocker Toolkit)*3 」を適用済み
過去 Internet Explorer 8/9 の自動更新において、「インストールしない」を選択している
*******************

従いまして、WSUS をご利用の環境にて Internet Explorer が自動アップグレードされることはありません。

追記

DNS Changerマルウェア感染に関する注意喚起

いろいろ (2012.03.05)

 ES ファイルエクスプローラーの件、関連情報。匿名希望さん情報ありがとうございます。

APSB12-05: Security update available for Adobe Flash Player
(Adobe, 2012.03.05)

 Flash Player 11.1.102.63 / 10.3.183.16、Flash Player 11.1.115.7 for Android 4.x、Flash Player 11.1.111.7 for Android 3.x 登場。任意のコードの実行をもたらす欠陥 1 件 CVE-2012-0768 と、情報漏洩をもたらす欠陥 1 件 CVE-2012-0769 を修正。プライオリティ 2 なので、攻略コードはまだ出回っていない。

 Google Chrome 内蔵の Flash Player は 17.0.963.65 で 11.1.102.63 に更新されている。

 関連:


2012.03.05

追記

オラクル、深刻な脆弱性を修正した「JRE 6/7」の最新版を公開

Ghost Domain Names: Revoked Yet Still Resolvable

 BIND 9.9.0 で修正された模様です。前野さん情報ありがとうございます。BIND 9.9.0 Release Notes (ISC)

When replacing an NS RRset, BIND now restricts the TTL of the new NS RRset to no more than that of the NS RRset it replaces. [RT #27792]

 それでも BIND 9 の max-cache-ttl はデフォルトで 1 週間なので、必要に応じて短くしてください。

いろいろ (2012.03.05)
(various)

2012.03.06 追記:

 ES ファイルエクスプローラーの件、関連情報。匿名希望さん情報ありがとうございます。

Chrome Stable Update
(Google Chrome Release Blog, 2012.03.04)

 Google Chrome 17.0.963.65 登場。14 件の欠陥が修正されている。 Flash Player も 11.1.102.63 に更新されている。

2012.03.07 追記:

 17.0.963.66 が出ています。bug fix リリースのようです。


2012.03.03


2012.03.02


2012.03.01


[セキュリティホール memo]
[私について]