セキュリティホール memo - 2012.12

Last modified: Sun May 25 00:16:18 2014 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2012.12.31


2012.12.30

Attackers Target Internet Explorer Zero-Day Flaw
(Krebs on Security, 2012.12.28)

 IE 8 に 0-day 欠陥、既に悪用されてます。 詳細: CFR Watering Hole Attack Details (FireEye, 2012.12.28)。日本語版 IE 8 でもちゃんと動くそうです。

2012.12.30 追記:

 Advisory 出ました。IE 8 だけでなく IE 6 / 7 にも影響します。

 関連:

2013.01.02 追記:

 Fix it が公開されました。ramsy さん情報ありがとうございます。

 関連:

2013.01.06 追記:

 Elderwood Project Behind Latest Internet Explorer Zero-Day Vulnerability (Symantec, 2012.01.03)

2013.01.07 追記:

 関連:

2013.01.08 追記:

 Fix it を突破する方法が確認されたそうで:

 関連:

2013.01.09 追記:

 Internet Explorer の最新のゼロデイ脆弱性を悪用する Elderwood プロジェクト (シマンテック, 2013.01.08)

2013.01.10 追記:

 Microsoft Internet Explorerにおけるmshtml CDwnBindInfoオブジェクトのメモリ利用不備により任意のコードが実行される脆弱性(CVE-2012-4792)に関する検証レポート (NTTデータ先端技術, 2013.01.09)

今回公開された脆弱性コードはFixITを適用しても攻撃の成功を回避することはできませんでした。EMETを使用した場合、脆弱性コードを回避することを確認しました。

2013.01.14 追記:

 マイクロソフト セキュリティ情報の事前通知 - 2013 年 1 月 (Microsoft, 2013.01.14)。1月15日 (明日) に定例外で fix 出るようです。

2013.01.15 追記:

 fix 出ました: MS13-008 - 緊急: Internet Explorer 用のセキュリティ更新プログラム (2799329) (Microsoft, 2013.01.15)

 Fix it 50971 を適用していた場合は、MS13-008 更新プログラムの適用後に無効化 (Fix it 50972 を適用) しませう。

 日本のセキュリティチームから重要な情報が: セキュリティ アドバイザリ (2794220) の脆弱性を解決する MS13-008 (Internet Explorer) を定例外で公開 (日本のセキュリティチーム, 2013.01.15)

今回の Internet Explorer 用セキュリティ更新プログラムは、累積的なセキュリティ更新プログラムではありません。セキュリティ情報 MS13-008 で提供しているセキュリティ更新プログラムを適する前に、最新の累積的なセキュリティ更新プログラム MS12-077 を先にインストールしてください。最新の累積的なセキュリティ更新プログラムをインストールしていない場合、互換性の問題が発生する可能性があります。
手動でセキュリティ更新プログラムを適用されているお客様はご注意ください。

2013.01.29 追記:

 IEの修正済みの脆弱性を悪用する攻撃を確認〜Tokyo SOCが注意喚起 (so-net セキュリティ通信, 2013.01.24)

いろいろ (2012.12.30)
(various)


2012.12.28

いろいろ (2012.12.28)
(various)


2012.12.27


2012.12.26


2012.12.25

追記

Adobe Shockwave Player のびっくり仕様

いろいろ (2012.12.25)
(various)

FacebookのiOS版カメラ・アプリは即刻アップデートのこと—WiFi経由でアカウントを乗っ取られる脆弱性発見
(techcrunch, 2012.12.25)

 iOS 用の Facebook Camera (iTunes) アプリが 2012.12.21 付で 1.1.2 になっている。更新内容は「Security and bug fixes」としか書かれていないのだが、techcrunch によるとこれは Mohamed Ramadan 氏によって発見された欠陥だそうで、

Ramadanによると「このアプリは悪意ある発行者のSSL証明書も受け入れてしまう。これによってiPhone版Facebookカメラ・アプリの利用者全員に対して中間者攻撃(Manin The Middle Attack)が可能になる。

オレオレ証明書を受け入れちゃうのかな……。 とにかく、利用者は更新しませう。


2012.12.24


2012.12.23


2012.12.21

いろいろ (2012.12.21)
(various)

追記

Security release: symfony 1.4.20 released

Microsoft 2012 年 12 月のセキュリティ情報

 MS12-078 更新プログラム(KB2753842)不具合関連:

 と言っている間に、2012.12.20 付で新しい更新プログラムがリリースされた模様です。


2012.12.20

追記

RealNetworks、RealPlayerの最新版「16.0.0.282」公開

 RealNetworks, Inc.、セキュリティ脆弱性に対応するアップデートをリリース (RealNetworks, 2012.12.14)。RealPlayer 16.0.0.282 では、任意のコードを実行できる欠陥 2 件 CVE-2012-5690 CVE-2012-5691 が修正されている。この欠陥は Mac 用 RealPlayer にはない。


2012.12.19

Adobe Shockwave Player のびっくり仕様
(JVN, 2012.12.19)

 なんですかこれは……。

 緩和方法は VU#323161 を参照。アクセス制限、ActiveX コントロール無効化など。

2012.12.25 追記:

 「Adobe Shockwave Player」に深刻な脆弱性〜不要ならアンインストールを (so-net セキュリティ通信, 2012.12.25)

2014.05.25 追記:

 JVNVU#93897900: Adobe Shockwave Player に旧バージョンの Flash ランタイムが同梱されている問題 (JVN, 2012.12.19) の元ねた、 VU#323161: Adobe Shockwave player provides vulnerable Flash runtime (US-CERT) が 2014.05.15 付で改訂されました。 Shockwave Player 11.6.8.638 ベースから 12.1.1.151 ベースの情報に変わってます。というか、

The "Full" installer for Shockwave player 12.1.1.151 provides Flash version 11.5.502.146, which was released on January 8, 2013.This version of Flash contains several exploitable vulnerabilities. Note that Shockwave uses its own Flash runtime, provided by the file Flash Asset.x32, rather than using a Flash runtime that may be installed on a system-wide basis.

こういう状況が全然変わってないと言うべきか。 腐ってる。

 関連: Why You Should Ditch Adobe Shockwave (Krebs on Security, 2014.05.21)

Not sure whether your computer has Shockwave installed? If you visit this link and see a short animation, it should tell you which version of Shockwave you have installed. If it prompts you to download Shockwave (or in the case of Google Chrome for some reason just automatically downloads the installer), then you don’t have Shockwave installed. To remove Shockwave, grab Adobe’s uninstall tool here. Mozilla Firefox users should note that the presence of the "Shockwave Flash” plugin listed in the Firefox Add-ons section denotes an installation of Adobe Flash Player plugin — not Adobe Shockwave Player.

いろいろ (2012.12.19)
(various)

強制開示された制御システムの脆弱性
(エフセキュアブログ, 2012.12.19)

 福森大喜さんによる、強制開示顛末記。

私が脆弱性を報告してから公表されるまでの顛末をご紹介したいと思います。
  1. 脆弱性の種類がディレクトリトラバーサルという、攻撃手法が単純なタイプの脆弱性だったので、文書にてICS-CERTへ報告
  2. 開発元が脆弱性を理解できないと言っているという連絡をICS-CERTから受ける
  3. 私は攻撃方法についての動画を作成し、ICS-CERTへ送付
  4. 開発元の環境では再現しない、検証したバージョンが古いのではないかという連絡を受ける
  5. 英語版のWindowsを用意し、念のため再度最新版のアプリケーションをインストールして、脆弱性が再現することを確認
  6. アプリケーションのインストールからセットアップ、バージョンの確認、起動、そして最後に攻撃を行う動画を作成し、ICS-CERTへ送付
  7. それでも開発元は再現させることもできず、脆弱性について理解できないという返答
この一部始終を見ていたICS-CERTはアドバイザリの公開を決断しました。 (中略) 公開の理由について、「あんなに親切で単純明快な報告なのに、それでも理解できないというのは、開発者がすっとぼけようとしているとしか考えられない。今までで一番わかりやすい報告だったよ。情報を公開する以外に解決策は無いと判断した。」という話を伺いました。

 マジですか……。Digital Bond がコーディネーションせずに公開した事例も放置プレイだったようですし、制御システム業界ってそういうふうなんですかね……。15 年くらい前な感じ?

Opera 12.12 Release notes
(Opera, 2012.12.18)

 Opera 12.12 登場。3 件のセキュリティ欠陥が修正されている。 GIF 画像による任意のコードの実行、アドレス欄の偽装、プロファイルフォルダのパーミッションが不適切なためにプロファイル情報が漏洩 (Linux / UNIX 版のみ)。


2012.12.18

追記

Microsoft 2012 年 12 月のセキュリティ情報

 MS12-078 更新プログラム(KB2753842)不具合関連:


2012.12.17

Galaxy S IIIなどにデータ消去・機能停止・ユーザーのデータに容易にアクセスされるなどの重大な脆弱性が発覚
(gigazine, 2012.12.17)

 サムスン Galaxy S III、Galaxy S II、Galxy Note II、MEIZU MX など exynos プロセッサー (4210/4412) を搭載するデバイスに欠陥。/dev/exynos-mem デバイスに誰でも読み書きできるため、どんなアプリでも全ての物理メモリにアクセス可能。結果として、どんなアプリでも悪の限りを尽せる。 豪快だ……。

2013.01.08 追記:

 Report: Samsung pushes fix for Exynos 4 flaw to Galaxy SIII (H Security, 2013.01.07)。更新版ができたようで。

追記

Microsoft 2012 年 12 月のセキュリティ情報

 MS12-078 更新プログラム(KB2753842)不具合関連:

  • PowerPointでOpenTypeフォントが正常に使用できない (マイクロソフト コミュニティ, 2012.12.13〜)。PowerPoint 2010 で問題発生、 MS12-078 更新プログラム(KB2753842)アンインストールで解決。

  • More Details on Windows Update KB2753842 Breaking Some Fonts (Graphics Unleashed, 2012.12.14)。 問題が起こるのは……

    At that time, I only knew that users of CorelDRAW and QuarkXpress were having this issues. I feared other software would soon be added to that list and it has indeed happened.

    This problem also will strike users of Adobe Flash, Serif PagePlus, FlexiSign, Microsoft Excel and Microsoft PowerPoint. Look at that list again as it breaks Microsoft's own products! I fear the list will continue to grow.

    発生条件は……

    The problem only seems to occur with OpenType fonts containing PostScript outlines.

    「PostScript アウトラインを含む OpenType」で問題が起こるそうで。

Internet Explorerに新たな脆弱性——マウス・カーソルの動きを監視される恐れ


2012.12.15


2012.12.14

Internet Explorerに新たな脆弱性——マウス・カーソルの動きを監視される恐れ
(ComputerWorld.jp, 2012.12.13)

 IE 6〜10 に欠陥、IE が最小化されていても、マウスカーソルを追跡される。フィッシングとかに応用されるといやな感じだなあ。

パスワードやPIN(暗証番号)が画面上の仮想キーボードでタイプされると、キャプチャされる危険があることを意味する

 今のところ patch が出る気配はない。 回避するには「IE を使わない」を実施する。 関連:

2012.12.17 追記:

 マイクロソフト、マウスの動きが追跡できるIEの問題は「深刻なリスクではない」と主張  IE 6〜10に存在する“脆弱性”と指摘された問題の調査に取り組んでいることを明らかに (ComputerWorld.jp, 2012.12.17)

追記

Microsoft 2012 年 12 月のセキュリティ情報

MS12-077 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (2761465)

 IE 6 / 7 / 8 / 9 / 10 に非公開の 3 件の欠陥。 ただし IE 6 / 7 / 8 は、デフォルト設定では影響なし。

  • InjectHTMLStream の解放後使用の脆弱性 - CVE-2012-4781

    任意のコードの実行を招く欠陥。 IE 9 に影響。他のバージョンは、デフォルト設定では影響なし。 Exploitability Index: 2

  • CMarkup の解放後使用の脆弱性 - CVE-2012-4782

    任意のコードの実行を招く欠陥。 IE 9 に影響。IE 10 は、デフォルト設定では影響なし。 他のバージョンは影響なし。 Exploitability Index: 2

  • 不適切な参照カウントの解放後使用の脆弱性 - CVE-2012-4787

    任意のコードの実行を招く欠陥。 IE 9 / 10 に影響。他のバージョンは影響なし。 Exploitability Index: 1

MS12-078 - 緊急: Windows カーネルモード ドライバーの脆弱性により、リモートでコードが実行される (2783534)

 Windows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 / 8 / Server 2012 / RT に 2 つの欠陥。内 1 つは公開済だった。

  • OpenType フォントの解析の脆弱性 - CVE-2012-2556

    攻略 OpenType フォントファイルを開くと任意のコードが実行される。 公開済だったのはこちら。 Exploitability Index: 1

  • TrueType フォントの解析の脆弱性 - CVE-2012-4786

    攻略 TrueType フォントファイルを開くと任意のコードが実行される。 Exploitability Index: 1

MS12-079 - 緊急: Microsoft Word の脆弱性により、リモートでコードが実行される (2780642)

 Word 2003 / 2007 / 2010、Word Viewer、Office 互換機能パック、SharePoint Server 2010、Office Web Apps 2010 に非公開の欠陥。RTF ファイルの処理に欠陥があり、攻略 RTF ファイルを開くと任意のコードが実行される。 Word 2013 や Mac 版 Office にはこの欠陥はない。 CVE-2012-2539。 Exploitability Index: 1

MS12-080 - 緊急: Microsoft Exchange Server の脆弱性により、リモートでコードが実行される (2784126)

 Exchange 2007 / 2010 に複数の欠陥。

  • Oracle Outside In の悪用される恐れのある複数の脆弱性 - CVE-2012-3214 CVE-2012-3217

    あいかわらず続く Oracle Outside In シリーズ。こちらは公開されていた。 Exploitability Index: 1

  • RSS フィードが Exchange のサービス拒否を引き起こす可能性のある脆弱性 - CVE-2012-4791

    こちらは非公開。Exploitability Index: 3

MS12-081 - 緊急: Windows のファイル操作コンポーネントの脆弱性により、リモートでコードが実行される (2758857)

 Windows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に非公開の欠陥。ファイル名の処理に欠陥があり、攻略ファイル名・サブフォルダ名によって任意のコードが実行される。 CVE-2012-4774。Exploitability Index: 1

MS12-082 - 重要: DirectPlay の脆弱性により、リモートでコードが実行される (2770660)

 Windows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 / 8 / Server 2012 に非公開の欠陥。DirectPlay に欠陥があり、攻略 Office 文書を開くと任意のコードが実行される。CVE-2012-1537。Exploitability Index: 2

MS12-083 - 重要: IP-HTTPS コンポーネントの脆弱性により、セキュリティ機能のバイパスが起こる (2765809)

 Windows Server 2008 R2 / Server 2012 に欠陥。IP-HTTPS コンポーネントに欠陥があり、失効した証明書であっても正しい証明書だと認識されてしまう。CVE-2012-2549。 Exploitability Index: N/A

 関連: MS12-083: Addressing a missing certificate revocation check in IP-HTTPS (Microsoft Security Research & Defense, 2012.12.11)

 なお、Adobe 方面でMS12-078 更新プログラム(2753842)で不具合が出ている模様。

 フォント関係で不具合に遭遇した場合は、まず MS12-078 更新プログラム(2753842)をアンインストールしてみてください。


2012.12.13

APSB12-28: Photoshop Camera Raw に関するセキュリティアップデート公開
(Adobe, 2012.12.12)

 Adobe Photoshop Camera Raw 7.2 以前に 2 つの欠陥、いずれも任意のコードの実行を招く。 CVE-2012-5679 CVE-2012-5680

 Photoshop Camera Raw 7.3 で修正されている。アップデート機能を使って更新できる。

RealNetworks、RealPlayerの最新版「16.0.0.282」公開
(so-net セキュリティ通信, 2012.12.13)

 リリース ノート バージョン 16.0.0.282 には「その他、製品およびセキュリティに関する多数の改善」とあるのだが、詳細不明。アドバイザリのページ http://service.real.com/realplayer/security/en/ には新着情報はない。 利用者はとりあえずアップデートしておきませう。

 関連: RealPlayer 16.0.0.282 (脳脂肪のパクリメモ, 2012.12.11)

2012.12.20 追記:

 RealNetworks, Inc.、セキュリティ脆弱性に対応するアップデートをリリース (RealNetworks, 2012.12.14)。RealPlayer 16.0.0.282 では、任意のコードを実行できる欠陥 2 件 CVE-2012-5690 CVE-2012-5691 が修正されている。この欠陥は Mac 用 RealPlayer にはない。

いろいろ (2012.12.13)
(various)


2012.12.12

Microsoft 2012 年 12 月のセキュリティ情報
(Microsoft, 2012.12.12)

 予定どおり出ました (後で書く)

 関連:

2012.12.14 追記:

MS12-077 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (2761465)

 IE 6 / 7 / 8 / 9 / 10 に非公開の 3 件の欠陥。 ただし IE 6 / 7 / 8 は、デフォルト設定では影響なし。

  • InjectHTMLStream の解放後使用の脆弱性 - CVE-2012-4781

    任意のコードの実行を招く欠陥。 IE 9 に影響。他のバージョンは、デフォルト設定では影響なし。 Exploitability Index: 2

  • CMarkup の解放後使用の脆弱性 - CVE-2012-4782

    任意のコードの実行を招く欠陥。 IE 9 に影響。IE 10 は、デフォルト設定では影響なし。 他のバージョンは影響なし。 Exploitability Index: 2

  • 不適切な参照カウントの解放後使用の脆弱性 - CVE-2012-4787

    任意のコードの実行を招く欠陥。 IE 9 / 10 に影響。他のバージョンは影響なし。 Exploitability Index: 1

MS12-078 - 緊急: Windows カーネルモード ドライバーの脆弱性により、リモートでコードが実行される (2783534)

 Windows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 / 8 / Server 2012 / RT に 2 つの欠陥。内 1 つは公開済だった。

  • OpenType フォントの解析の脆弱性 - CVE-2012-2556

    攻略 OpenType フォントファイルを開くと任意のコードが実行される。 公開済だったのはこちら。 Exploitability Index: 1

  • TrueType フォントの解析の脆弱性 - CVE-2012-4786

    攻略 TrueType フォントファイルを開くと任意のコードが実行される。 Exploitability Index: 1

MS12-079 - 緊急: Microsoft Word の脆弱性により、リモートでコードが実行される (2780642)

 Word 2003 / 2007 / 2010、Word Viewer、Office 互換機能パック、SharePoint Server 2010、Office Web Apps 2010 に非公開の欠陥。RTF ファイルの処理に欠陥があり、攻略 RTF ファイルを開くと任意のコードが実行される。 Word 2013 や Mac 版 Office にはこの欠陥はない。 CVE-2012-2539。 Exploitability Index: 1

MS12-080 - 緊急: Microsoft Exchange Server の脆弱性により、リモートでコードが実行される (2784126)

 Exchange 2007 / 2010 に複数の欠陥。

  • Oracle Outside In の悪用される恐れのある複数の脆弱性 - CVE-2012-3214 CVE-2012-3217

    あいかわらず続く Oracle Outside In シリーズ。こちらは公開されていた。 Exploitability Index: 1

  • RSS フィードが Exchange のサービス拒否を引き起こす可能性のある脆弱性 - CVE-2012-4791

    こちらは非公開。Exploitability Index: 3

MS12-081 - 緊急: Windows のファイル操作コンポーネントの脆弱性により、リモートでコードが実行される (2758857)

 Windows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に非公開の欠陥。ファイル名の処理に欠陥があり、攻略ファイル名・サブフォルダ名によって任意のコードが実行される。 CVE-2012-4774。Exploitability Index: 1

MS12-082 - 重要: DirectPlay の脆弱性により、リモートでコードが実行される (2770660)

 Windows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 / 8 / Server 2012 に非公開の欠陥。DirectPlay に欠陥があり、攻略 Office 文書を開くと任意のコードが実行される。CVE-2012-1537。Exploitability Index: 2

MS12-083 - 重要: IP-HTTPS コンポーネントの脆弱性により、セキュリティ機能のバイパスが起こる (2765809)

 Windows Server 2008 R2 / Server 2012 に欠陥。IP-HTTPS コンポーネントに欠陥があり、失効した証明書であっても正しい証明書だと認識されてしまう。CVE-2012-2549。 Exploitability Index: N/A

 関連: MS12-083: Addressing a missing certificate revocation check in IP-HTTPS (Microsoft Security Research & Defense, 2012.12.11)

 なお、Adobe 方面でMS12-078 更新プログラム(KB2753842)で不具合が出ている模様。

 フォント関係で不具合に遭遇した場合は、まず MS12-078 更新プログラム(KB2753842)をアンインストールしてみてください。

2012.12.17 追記:

 MS12-078 更新プログラム(KB2753842)不具合関連:

2012.12.18 追記:

 MS12-078 更新プログラム(KB2753842)不具合関連:

2012.12.21 追記:

 MS12-078 更新プログラム(KB2753842)不具合関連:

 と言っている間に、2012.12.20 付で新しい更新プログラムがリリースされた模様です。

Chrome Stable Channel Update
(Google, 2012.12.11)

 Chrome 23.0.1271.97 登場。6 件の欠陥が修正されている他、Flash Player も更新されている。CVE-2012-5139 CVE-2012-5140 CVE-2012-5141 CVE-2012-5142 CVE-2012-5143 CVE-2012-5144

APSB12-27: Security updates available for Adobe Flash Player
(Adobe, 2012.12.11)

 Flash Player / AIR 新版登場。

 任意のコードの実行を招く 3 件の欠陥 (buffer overflow、integer overflow、メモリ破壊) を修正。 CVE-2012-5676 CVE-2012-5677 CVE-2012-5678

 日本語抄訳版: APSB12-27: Adobe Flash Player に関するセキュリティアップデート公開 (Adobe, 2012.12.11)


2012.12.11


2012.12.10

追記

いろいろ (2012.12.03)

JVNVU#268267: 複数の DomainKeys Identified Mail (DKIM) 実装に問題


2012.12.09


2012.12.07

マイクロソフト セキュリティ情報の事前通知 - 2012 年 12 月
(Microsoft, 2012.12.07)

 7 件。緊急 x 5、重要 x 2。IE あり、Office あり (Word)、Exchange あり、SharePoint あり。


2012.12.06

「Tectia SSH Server脆弱性」の報告
(DTI, 2012.12.04)

 SSH Tectia Server for Unix/Linux 6.x に欠陥。パスワード認証が有効な場合に、これを回避して接続できてしまう。Windows 版にはこの欠陥はない。 またキーボード−インタラクティブなど他の認証方式にはこの欠陥はない。 CVE-2012-5975

 SSH Tectia Server for Unix/Linux 6.3.3 / 6.2.6 / 6.1.13 / 6.0.20 で修正されている。またパスワード認証を無効に設定することで回避できる。

 関連:


2012.12.05

BIND 9.8.x/9.9.xにおけるDNS64の実装上のバグによるnamedのサービス停止について(2012年12月5日公開) - バージョンアップを強く推奨 -
(JPRS, 2012.12.05)

 BIND 9.8.x / 9.9.x に欠陥。BIND 9.8 で実装された DNS64 機能に欠陥があり、攻略 DNS クエリによって異常終了する。 CVE-2012-5688

 DNS64 を使用していない場合は、この欠陥の影響を受けない。また BIND 9.7 以前には DNS64 は実装されていないため、この欠陥の影響を受けない。

 BIND 9.9.2-P1 / 9.8.4-P1 で修正されている。

 関連:


2012.12.04

【緊急告知】すべてのバージョンの OpenPNE 3 における、サーバ上ファイル漏洩の脆弱性についての注意喚起 (OPSA-2012-002)
(OpenPNE, 2012.12.03)

 OpenPNE 3.x に欠陥。OpenPNE 3 は symfony 1.4 を使用しているため、 Security release: symfony 1.4.20 released で説明した欠陥の影響を受ける。

 【緊急告知】すべてのバージョンの OpenPNE 3 における、サーバ上ファイル漏洩の脆弱性についての注意喚起 (OPSA-2012-002) に従って、patch を適用すればよい。

Security release: symfony 1.4.20 released
(symfony, 2012.11.25)

 Web アプリケーションフレームワーク symfony 1.4.x に欠陥。web サーバに読み取り許可のある全てのファイルが外部に漏洩する。発動条件は: Web アプリケーションにおいてファイルアップロードが可能であり、アップロードしたファイルに Web アクセス可能な場合。CVE-2012-5574

 Blog エントリに patch が示されている。また symfony 1.4.20 で修正されている。

2012.12.21 追記:

  JVNDB-2012-005734: Symfony CMS の lib/form/sfForm.class.php における任意のファイルを読まれる脆弱性 (JVN, 2012.12.19)


2012.12.03

いろいろ (2012.12.03)
(various)

2012.12.10 追記:

 MySQL の件:

追記

Slowloris HTTP DoS

 Tomcat も影響を受けるそうで。CVE-2012-5568Bug 880011 - CVE-2012-5568 tomcat: Slowloris denial of service (Red Hat)

Firefox / Thunderbird 17.0 / 10.0.11 ESR、SeaMonkey 2.14 公開

 Firefox 17.0.1 が公開されています。リリースノート。「脆弱性の知られているプラグインに対しては Click to Play 機能が有効になり、ユーザがクリックするまで読み込まれなくなります。詳細はこちらのブログ記事をご覧ください」だそうです。


[セキュリティホール memo]
[私について]