特に重要なセキュリティ欠陥・ウイルス情報: 2008.01

Last modified: Fri Jun 2 17:09:47 2008 +0900 (JST)


 数あるセキュリティ欠陥情報の中でも、一般ユーザによる龍大でのコンピュータ運用に際して特に重大だと考えられるものについて、ここに記述しています。 また、ウイルス関連情報についてもここに記述しています。


2008.01.28

  1. 2008.01.08 にお伝えしたジャストシステム製品の共通ファイルの欠陥ですが、Netnote 用の対応モジュールが公開されました。

    • Netnote : Netnote セキュリティ更新モジュール (ジャストシステム) を適用してください。
    • Netnote / R.2 : 自動更新機能 ([ヘルプ]−[最新版へのアップデート]) を利用して更新してください。

2008.01.26

  1. 家庭用ルータにおいては、管理者パスワードをデフォルト (出荷時) のままで使用する事例が多数見られます。この点を悪用してルータの DNS 設定を強制的に変更し、ニセサイトに誘導するなどする攻撃が行われていると報じられています。

    今のところ攻撃対象となっているのは外国製の家庭用ルータですが、今後は日本製のものも攻撃される恐れがあります。 この攻撃を防ぐには、家庭用ルータの管理者パスワードを変更するだけでよいです。

    家庭用ルータに関しては、2008.01.22 にお伝えした、UPnP に関する攻撃を防ぐ設定 (UPnP 対応機能を無効にする) についてもご注意ください。

    以上をまとめると、家庭用ルータは次のように設定してください。

    • 管理者パスワードを変更してください。デフォルト (出荷時) のまま使用すると危険です。
    • ユニバーサル プラグアンドプレイ (UPnP) 対応機能を使用していない場合は無効に設定してください。有効にしておくと危険です。
  2. 広く利用されているメディアプレイヤーソフト Winamp 5.51 以前に欠陥が発見されました。

    この欠陥は Winamp 5.52 で修正されています。Winamp 利用者は 5.52 にアップデートしてください。

2008.01.22

  1. Apache 1.3.41 / 2.0.63 / 2.2.8 がリリースされました。複数のセキュリティ欠陥が修正されています。

    Linux ディストリビュータなどからは、修正版の Apache パッケージが用意されるはずです。更新版パッケージを適用してください。あるいは、ソースから build してインストールし、Apache を再起動してください。

    なお、apache.org では Apache バージョン 1.3 / 2.0 から 2.2 への移行を推奨しています。

  2. Windows Vista を塔載した Panasonic のノートパソコン Let's Note CF-R6M / CF-R6A に、 修正プログラム 943899 を適用すると、起動時にハードディスクエラーが表示されて起動できなくなることがあると告知されています。

    これは、内蔵ハードディスクになぜか power-on in standby が設定されてしまい、起動時に内蔵ハードディスクがスピンアップしない (回転しない) 状態になってしまうためのようです。

    Let's Note を最新の BIOS に更新することでこの現象を回避できますが、既にこの現象に遭遇してしまった場合は、

    ことで対応できます。

    なお、Windows VISTA 用の更新プログラム KB943899 が原因で突然死したハードディスクを復旧させる方法 (仙石浩明の日記) のコメント覧の記述によると、他ベンダーのノートパソコンにおいても同様の不具合が発生することがあるようです。ご注意ください。

  3. Windows Vista には TCP 受信ウィンドウ (TCP receive window, RWIN) の自動チューニングという機能が新たに塔載されていますが、これによって逆に、ネットワークパフォーマンスが低下してしまう事例があるようです。

    また、トレンドマイクロ社のアンチウイルスソフト、ウイルスバスター 2007 / 2008 を Windows Vista 上で使用すると、この現象が顕著に発生する場合があることが知られています。

    この問題を回避するには、「TCP 受信ウィンドウの自動チューニング」を変更すればよいようです。コマンドプロンプトから管理者権限で以下のコマンドを実行すると、「TCP 受信ウィンドウの自動チューニング」が無効になります。

    C:\> netsh interface tcp set global autotuninglevel=disabled

    これによって問題が解決するようであれば、「TCP 受信ウィンドウの自動チューニング」の副作用が原因です。なお、既定値に戻すには次のコマンドを実行します。

    C:\> netsh interface tcp set global autotuninglevel=normal
  4. 家庭用ルータなどの UPnP 対応機器を簡単に攻略できてしまう方法が明らかになりました。 家庭内の利用者が攻略 web ページにアクセスするだけで、Flash コンテンツを経由して攻略されてしまいます。この欠陥は今後、ウイルスなどに利用される可能性があります。

    この攻撃を確実に回避するには、家庭用ルータなどにおける UPnP 対応機能を無効に設定してください。多くの場合 UPnP 対応機能は使われておらず、無効に設定しても不具合は発生しないはずです。

2008.01.17

  1. Apple から QuickTime 7.4 が公開されました。4 種類の重大な欠陥が修正されています。

    QuickTime を利用している場合は更新してください。

    しかし QuickTime には、今回修正されたものとは別の重大な欠陥が存在し、まだ修正されていないことが明らかとなっています。

    この欠陥を確実に回避する方法は「QuickTime のアンインストール」だけです。 Vulnerability Note VU#112179: Apple QuickTime RTSP Response message Reason-Phrase buffer overflow vulnerability (US-CERT) にはこの他にも複数の方法が記載されていますが、いずれも確実なものではありません。 QuickTime を利用していないにもかかわらず QuickTime がインストールされている場合は、アンインストールすることをお勧めします。

    QuickTime を利用し続ける場合は、信頼できないサイトに掲載されている QuickTime ムービーや RTSP ストリームの取扱いには十分に注意してください。

  2. Excel 2003 SP2 以前 / 2002 / 2000 / 2004 for Mac, Excel Viewer 2003 に欠陥が発見されました。既に、この欠陥を悪用したウイルスも確認されているようです。 修正プログラムはまだありません。

    この欠陥は Excel 2003 SP3 / Excel 2007 / Excel 2008 for Mac にはありません。 Excel 2003 の利用者は Service Pack 3 (SP3) を適用すれば対応できます。 Excel 2003 の利用者は、この他にも、MOICE (Microsoft Office Isolated Conversion Environment) を使用することによっても回避できます。

2008.01.15

  1. 2008.01.08 にお伝えしたジャストシステム製品の共通ファイルの欠陥ですが、新たに次のことがわかりました。

    該当製品の利用者は注意してください。

2008.01.09

  1. Microsoft から、月例のセキュリティ修正プログラムが公開されました。

    新たに公開されたセキュリティ修正は、次の 2 種類です:

    Microsoft UpdateWindows UpdateMicrosoft Windows Software Update Services などを利用して、修正プログラムをインストールしてください。 「毎月第 2 火曜日 (米国時間) は Windows Update の日」 に更新方法に関する情報をまとめてあります。また、自動更新を利用する場合は「自動更新について」を参照してください。 再起動を促された場合には、再起動してください。 RINS の複数の機械にインストールしてみた限りでは、不具合はないようです。

  2. Microsoft から、月例のセキュリティ修正プログラムにあわせて、Windows Vista の Windows サイドバーの保護を強化する更新プログラムが公開されています。

    これについても、 Microsoft UpdateWindows UpdateMicrosoft Windows Software Update Services などを利用してインストールしてください。

  3. Microsoft から、月例のセキュリティ修正プログラムにあわせて、セキュリティ対応ではない修正プログラムが複数公開されています。Windows Vista 用の修正プログラムが中心になっています。

    これらについても、 Microsoft UpdateWindows UpdateMicrosoft Windows Software Update Services などを利用して、修正プログラムをインストールしてください。

2008.01.08

  1. 2007.12.14 にひきつづき、ジャストシステム製品の共通ファイルに重大な欠陥が発見されました。 一太郎、花子、三四郎をはじめとするジャストシステム製の数多くの製品に影響します。それらの製品において攻略ファイルを開くとウイルスが実行され、感染してしまいます。

    この欠陥が影響するのは以下の製品です。

    • 一太郎 2007 / 2006 / 2005 / 2004 / 13 / 12 / 11 / 10 / 9
    • 一太郎 Lite2
    • XML テンプレートクリエーター 1 / 2 / 3
    • FormLiner for XML/SGML
    • 一太郎 9 SGML エクステンション
    • Netnote
    • ジャストホーム/i/2/3/4/EX/EX2
    • 花子 2007 / 2006 / 2005 / 2004 / 13 / 12 / 11 / 10 / 9
    • 三四郎 2007 / 2005 / 9 / SE / Home
    • ラベルマイティ 1 / 2 / 3 / 4 / 5 / 6 / 7 / 8
    • ラベルマイティ POP in Shop 1 / 2 / 3 / 4 / 5
    • 楽々はがき 2008 / 2007 / 2006 / 2005 / 2004 / 2003 / 2002 / 2001 / 2000
    • マイペンシル
    • エプロン/2
    • フォトペタ!
    • ジャストクレヨン
    • ホームページミックス
    • ドクターマウス [英和/和英/国語辞典]
    • セールスマイティ
    • 図解マスター
    • ジャストスマイル 2 / 3 @フレンド
    • ジャストスマイル 1 / 2 / 3
    • 一太郎スマイル 1 / 2 / 3
    • ジャストジャンプ 2 / 3 @フレンド
    • ジャストジャンプ 1 / 2 / 3
    • 一太郎ジャンプ 1 / 2 / 3
    • つたわるねっと 1 / 3 @フレンド
    • はっぴょう名人 1 / 2 / 3
    • ひらめきライター 1 / 2 / 3
    • かいけつ表グラフ 1 / 2 / 3
    • 地図スタジオ
    • 文字スタジオ 1 / 2
    • 研修デザイナー
    • ConceptSearch
    • ExpandFinder
    • 一太郎 for Linux
    • 一太郎ビューア (5.0.7.0 以前)
    • 花子ビューア (2.0.2.0 以前)
    • はっぴょう名人ビューア
    • ConceptBase

    ほとんどの製品は、 JS共通セキュリティ更新モジュールを適用することで修正されます。 該当するジャストシステム製品をお使いの方は、原則として JS共通セキュリティ更新モジュールを適用してください。 ただし、次に述べる 5 つの製品は例外です。

  2. Office 2003 Service Pack 3 (SP3) が公開されていますが、これを適用すると、セキュリティ上の理由から、標準状態では古い Office ファイルを開いたり保存したりできなくなります。具体的には、次のファイルを開いたり保存したりできなくなります。ご注意ください。

    • Corel Draw ファイル (.cdr)
    • Lotus 1-2-3 や Quattro のファイル (.wk1, .wk4, .wj3, wk1 FMT, .wks, .wk3, wk3 FM3, .wj2, .wq1, .fm3, .wj1)
    • Microsoft Excel 4.0 チャート (.xlc) ファイル
    • DBF 2 (dBASE II) (.dbf) ファイル
    • PowerPoint 97 より前の PowerPoint ファイル (.ppt, .pot, .pps, .ppa)。 PowerPoint 97 以降については問題なく読み書きできます。
    • Word 6.0 より前の Word ファイル (Word 1.x / 2.x for Windows, Word 4.x / 5.x for Macintosh)。 Word 6.0 以降については問題なく読み書きできます。

    これらを Office 2003 SP3 で読み書きするには、 Information about certain file types that are blocked after you install Office 2003 Service Pack 3 (Microsoft KB938810) に掲載されているレジストリファイル (.reg ファイル) を使ってレジストリを設定する必要があります。ただし、この方法を使っても Lotus 1-2-3 や Quattro のファイルについては読み書きできるようにはなりません。

    関連:


RINS WWW Administrator <www-admin@www.st.ryukoku.ac.jp>