セキュリティホール memo - 2010.04

Last modified: Tue Aug 24 15:11:39 2010 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2010.04.30

追記

ケータイ脳が大手SI屋にまで侵蝕、SI屋のセキュリティ部隊は自社の統率を

 関連:

Authorization Bypass When Executing An Embedded Executable.

 /Launch /Action を使った攻撃 PDF ファイルが広く出回っているようです。


2010.04.29


2010.04.28

いろいろ (2010.04.28)
(various)

2010.05.02 追記:

 Opera 10.53 出ました: 10.53 released (Opera Desktop Team, 2010.04.30)。 SA39590: Opera Content Writing Uninitialised Memory Vulnerability (secunia, 2010.04.27) の件が修正されています。

追記

Microsoft 2010 年 4 月のセキュリティ情報

ケータイ脳が大手SI屋にまで侵蝕、SI屋のセキュリティ部隊は自社の統率を

 関連:

いわゆる Gumblar ウイルスによってダウンロードされる DDoS 攻撃を行うマルウエアに関する注意喚起
(JPCERT/CC, 2010.04.28)

 だそうです。

Google Chrome Stable Update: Bug and Security Fixes
(Google Chrome Release, 2010.04.27)

 Google Chrome 4.1.249.1064 登場。3 件のセキュリティ修正が含まれています。 いずれも High で、 $1000 x 1、$500 x 1 が含まれます。


2010.04.27

Opera 10.52 for Mac and Windows is released
(Opera, 2010.04.27)

 Opera 10.52 登場。Windows 版 は安定性の強化のみだが、Mac 版は 10.10 以来の正式版なので、それまでのセキュリティ修正を含んでいる。

 UNIX / Linux 版はまだみたい。snapshot 6325 が最新かな。

追記

マカフィー DAT5958 で C:\WINDOWS\system32\svchost.exe を w32/wecorl.a として誤検出

Microsoft 2010 年 4 月のセキュリティ情報


2010.04.26


2010.04.25

追記

マカフィー DAT5958 で C:\WINDOWS\system32\svchost.exe を w32/wecorl.a として誤検出

 関連:

  • DAT5958での誤検知に関するCEOからのメッセージ (マカフィー, 2010.04.24)

    そして復旧が完了した後には、もう一つ重要なこととして次にやらなければならないのは、プロセスを見直し、このようなことが二度と起きないようにすることです。重要なシステムファイルに影響を与えるようなリリースに関しては、QAプロセスを追加するよう、改善してまいります。 さらにArtemisに関して、重要なシステムファイルとそれに関連する暗号化されたハッシュに関する拡張されたホワイトリストを使用することによって、誤検知を防ぐ機能を追加する準備をしています。

    誤検出の原因は Artemis だったってこと?! でも Artemis に関する記述は、英文にはないよ?!

    ……と思ったら、Open Letter to McAfee Customers (McAfee Security Insights Blog, 2010.04.23) にはあった。

    As that effort comes to a conclusion, our next and equally important priority is to review our processes to make sure this never happens again. We are implementing additional QA protocols for any releases that directly impact critical system files. We are also rolling out additional capabilities in Artemis that will provide another level of protection against false positives by leveraging an expansive whitelist of critical system files and their associated cryptographic hashes.

    5400 エンジン自身にはホワイトリスト機能があるわけですが、 Artemis にもホワイトリスト機能を追加する……となると、 Artemis は 5400 エンジンの機能よりも前で動いちゃうってことですかね。

  • Malware Authors Taking Advantage of McAfee False Positive (Symantec, 2010.04.22)


2010.04.23

追記

Operation “Aurora” Hit Google, Others

 NY Times の記事が話題となっているようで。

 中国の Google 従業員の PC を、MS Messenger 経由で罠サイトに誘導して攻略し、そこから Google 本社のソフトウェア開発チームの PC へ接続。開発チームのソフトウェアリポジトリにまでアクセスし、ソフトウェアを強奪したと。 で、強奪したものの中に、Google の統合認証システム Gaia のコードも含まれていた、という話みたい。

マカフィー DAT5958 で C:\WINDOWS\system32\svchost.exe を w32/wecorl.a として誤検出


2010.04.22

追記

Microsoft 2010 年 4 月のセキュリティ情報

 MS10-025 - 緊急: Microsoft Windows Media Services の脆弱性により、リモートでコードが実行される (980858) の patch が引っ込められました。欠陥がきちんと修正されていなかった模様です。改訂版を準備中。

マカフィー DAT5958 で C:\WINDOWS\system32\svchost.exe を w32/wecorl.a として誤検出
(McAfee, 2010.04.22)

 マカフィー DAT5958 で C:\WINDOWS\system32\svchost.exe を w32/wecorl.a として誤検出した模様。

 日本語版出てた:

2010.04.23 追記:

  アンチウイルスの誤検知が偽アンチウイルスを配布するために使われるという皮肉 (Panda Security Japan オフィシャルブログ, 2010.04.23)

2010.04.25 追記:

 関連:

2010.04.27 追記:

 McAfee、Windows XP破壊問題で家庭/ホームオフィスユーザーの復旧費用を補償 (日経 IT Pro, 2010.04.27)

2010.04.28 追記:

 Moving to Help Customers (McAfee Security Insights Blog, 2010.04.27)


2010.04.21

Google Chrome Stable Update: Security Fixes
(Google, 2010.04.20)

 Google Chrome 4.1.249.1059 登場。2 つの $500 級欠陥を含む、複数の欠陥 (High x 4、Medium x 3) が修正されている。

自動起動を無効にしても防げないUSB攻撃、ほとんどのOSが該当
(マイコミジャーナル, 2010.04.20)

 「USB 接続のキーボード」として動作することで、数々の防壁を突破する。 うまいこと考えるなあ。


2010.04.20

追記

「簡単ログイン」機能の脆弱性【CY10-04-001】

いろいろ (2010.04.20)
(various)


2010.04.19

いろいろ (2010.04.19)
(various)

追記

Microsoft 2010 年 4 月のセキュリティ情報

MS10-019 - 緊急: Windows の脆弱性により、リモートでコードが実行される (981210)

 Windows 2000 / XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 の Windows Authenticode に 2 件の欠陥。

  • 「WinVerifyTrust Signature Verification の脆弱性」 - CVE-2010-0486

    既存の Authenticode 署名済みファイルを改変し、エラーが発生しないまま、攻略コードを埋め込むことができる。

    この脆弱性は、Authenticode Signature Verification の機能が PE またはキャビネット ファイルに署名および検証を行う場合に、ファイル ダイジェストのフィールドを省略する際に起こります。

    Exploitability Index: 2

  • 「Cabview の破損の検証の脆弱性」 - CVE-2010-0487

    既存の Authenticode 署名済み .cab ファイルを改変し、 署名の非検証部分が攻略コードにリンクされるようにすると、 攻略 .cab ファイルを開いた時点でドカン。

    Exploitability Index: 2

MS10-020 - 緊急: SMB クライアントの脆弱性により、リモートでコードが実行される (980232)

 Windows 2000 / XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 の SMB クライアント実装に 5 件の欠陥。

 関連: MS10-020: SMB Client Update (Microsoft Security Research & Defense, 2010.04.12)

MS10-021 - 重要: Windows カーネルの脆弱性により、特権が昇格される (979683)

 Windows 2000 / XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 の Windows カーネルに 8 件の欠陥。

  • Windows カーネルの Null ポインターの脆弱性 - CVE-2010-0234

    Exploitability Index: N/A

  • Windows カーネルのシンボリック リンク値の脆弱性 - CVE-2010-0235

    Exploitability Index: N/A

  • Windows カーネルのメモリ割り当ての脆弱性 - CVE-2010-0236

    Exploitability Index: 1

  • Windows カーネル のシンボリック リンク作成の脆弱性 - CVE-2010-0237

    Exploitability Index: 1

  • Windows カーネル のレジストリ キーの脆弱性 - CVE-2010-0238

    Exploitability Index: N/A

  • Windows の仮想パス解析の脆弱性 - CVE-2010-0481

    Exploitability Index: N/A

  • Windows カーネルの不正な形式の画像の脆弱性 - CVE-2010-0482

    Exploitability Index: N/A

  • Windows カーネルの例外ハンドラーの脆弱性 - CVE-2010-0810

    Exploitability Index: N/A

 関連: Registry vulnerabilities addressed by MS10-021 (Microsoft Security Research & Defense, 2010.04.12)

MS10-022 - 重要: VBScript スクリプト エンジンの脆弱性により、リモートでコードが実行される (981169)

 Windows 2000 / XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。 マイクロソフト セキュリティ アドバイザリ (981169) VBScript の脆弱性により、リモートでコードが実行される の件。

 Exploitability Index: 1。ただし Windows Server 2008 / 7 / Server 2008 R2 では 3。

MS10-023 - 重要: Microsoft Office Publisher の脆弱性により、リモートでコードが実行される (981160)

 Publisher 2002 / 2003 / 2007 に欠陥。攻略 Publisher ファイルによって任意のコードを実行できる。 CVE-2010-0479

 Exploitability Index: 1

MS10-024 - 重要: Microsoft Exchange および Windows SMTP サービスの脆弱性により、サービス拒否が起こる (981832)

 Windows 2000 / XP / Server 2003 / Server 2008 / Server 2008 R2、 および Exchange 2000 / 2003 / 2007 / 2010 に計 2 つの欠陥。

  • SMTP サーバーの MX レコードの脆弱性 - CVE-2010-0024

    Exploitability Index: 3

  • SMTP のメモリの割り当ての脆弱性 - CVE-2010-0025

    Exploitability Index: N/A

MS10-025 - 緊急: Microsoft Windows Media Services の脆弱性により、リモートでコードが実行される (980858)

 Windows 2000 Server 上の Windows Media Services に欠陥。buffer overflow する欠陥があり、攻略パケットによって任意のコードが実行される。CVE-2010-0478

 Exploitability Index: 1

MS10-026 - 緊急: MPEG Layer-3 コーデックの脆弱性により、リモートでコードが実行される (977816)

 Windows 2000 / XP / Server 2003 / Vista / Server 2008 に欠陥。 MPEG Layer-3 オーディオ コーデックに欠陥があり、攻略 AVI ファイルによって任意のコードを実行できる。CVE-2010-0480

 Exploitability Index: 1

MS10-027 - 緊急: Windows Media Player の脆弱性により、リモートでコードが実行される (979402)

 Windows 2000 / XP 上の Windows Media Player 9 に欠陥。ActiveX コントロールに欠陥があり、攻略 Web ページによって任意のコードを実行できる。CVE-2010-0268

 Exploitability Index: 1

MS10-028 - 重要: Microsoft Visio の脆弱性により、リモートでコードが実行される (980094)

 Visio 2002 / 2003 / 2007 に 2 つの欠陥。

  • Visio の属性の検証のメモリ破損の脆弱性 - CVE-2010-0254

    Exploitability Index: 1

  • Visio のインデックスの計算のメモリ破損の脆弱性 - CVE-2010-0256

    Exploitability Index: 2

MS10-029 - 警告: Windows ISATAP コンポーネントの脆弱性により、なりすましが行われる (978338)

 Windows XP / Server 2003 / Vista / Server 2008 に欠陥。 TCP/IP スタックに欠陥があり、トンネリングされた ISATAP パケットの IPv6 ソースアドレスを検証しないため、なりすましが可能。CVE-2010-0812

 Exploitability Index: N/A

 関連: 2010年4月14日のセキュリティ情報 (月例) (日本のセキュリティチーム, 2010.04.14)


2010.04.18

いろいろ (2010.04.18)
(various)

ケータイ脳が大手SI屋にまで侵蝕、SI屋のセキュリティ部隊は自社の統率を
(高木浩光@自宅の日記, 2010.04.17)

 この悲惨な実態……。

2010.04.28 追記:

 関連:

2010.04.30 追記:

 関連:

追記

JAVA Web Start に 0-day 欠陥、攻略 Web ページを閲覧すると任意のコードを実行される

Authorization Bypass When Executing An Embedded Executable.

 かいとさんによる Windows / Linux 用の PDF ビューアでの /Launch /Action のサポート状況のまとめが公開されています (かいとさん情報ありがとうございます)。


2010.04.17


2010.04.16

セキュリティアップデート 2010-003 のセキュリティコンテンツについて
(Apple, 2010.04.15)

 Mac OS X 10.5.x / 10.6.x に欠陥。Apple Type Services における埋め込みフォントの処理に欠陥があり、攻略文書ファイルによって任意のコードが実行される。 CanSecWest Pwn2Own ハッキングコンテスト で Safari がヤラれた件の修正。 CVE-2010-1120

「簡単ログイン」機能の脆弱性【CY10-04-001】
(サイボウズ, 2010.04.15)

 サイボウズOfficeも匙を投げた「簡単ログイン」 (高木浩光@自宅の日記, 2010.04.15) の件。

2010.04.20 追記:

 JVN#87730223 - 複数のサイボウズ製品におけるアクセス制限に関する脆弱性 (JVN, 2010.04.20)

追記

CanSecWest Pwn2Own ハッキングコンテスト

 Safari がヤラれた件、 セキュリティアップデート 2010-003 のセキュリティコンテンツについて (Apple, 2010.04.15) で修正されました。

JAVA Web Start に 0-day 欠陥、攻略 Web ページを閲覧すると任意のコードを実行される

 実際に攻撃が行われているそうです。守屋さん情報ありがとうございます。

 この欠陥を修正した JDK / JRE 6 Update 20 が公開されましたOracle Security Alert CVE-2010-0886 (Oracle, 2010.04.15) を参照。

 関連:


2010.04.15

追記

[JS10001] 一太郎の脆弱性を悪用した不正なプログラムの実行危険性について

 一太郎 2006〜2008 用のアップデートモジュールが公開されました。 また、一太郎2010 体験版についても新版が公開されています


2010.04.14

Microsoft 2010 年 4 月のセキュリティ情報
(Microsoft, 2010.04.14)

 予定どおり出ました。

2010.04.19 追記:

MS10-019 - 緊急: Windows の脆弱性により、リモートでコードが実行される (981210)

 Windows 2000 / XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 の Windows Authenticode に 2 件の欠陥。

  • 「WinVerifyTrust Signature Verification の脆弱性」 - CVE-2010-0486

    既存の Authenticode 署名済みファイルを改変し、エラーが発生しないまま、攻略コードを埋め込むことができる。

    この脆弱性は、Authenticode Signature Verification の機能が PE またはキャビネット ファイルに署名および検証を行う場合に、ファイル ダイジェストのフィールドを省略する際に起こります。

    Exploitability Index: 2

  • 「Cabview の破損の検証の脆弱性」 - CVE-2010-0487

    既存の Authenticode 署名済み .cab ファイルを改変し、 署名の非検証部分が攻略コードにリンクされるようにすると、 攻略 .cab ファイルを開いた時点でドカン。

    Exploitability Index: 2

MS10-020 - 緊急: SMB クライアントの脆弱性により、リモートでコードが実行される (980232)

 Windows 2000 / XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 の SMB クライアント実装に 5 件の欠陥。

 関連: MS10-020: SMB Client Update (Microsoft Security Research & Defense, 2010.04.12)

MS10-021 - 重要: Windows カーネルの脆弱性により、特権が昇格される (979683)

 Windows 2000 / XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 の Windows カーネルに 8 件の欠陥。

  • Windows カーネルの Null ポインターの脆弱性 - CVE-2010-0234

    Exploitability Index: N/A

  • Windows カーネルのシンボリック リンク値の脆弱性 - CVE-2010-0235

    Exploitability Index: N/A

  • Windows カーネルのメモリ割り当ての脆弱性 - CVE-2010-0236

    Exploitability Index: 1

  • Windows カーネル のシンボリック リンク作成の脆弱性 - CVE-2010-0237

    Exploitability Index: 1

  • Windows カーネル のレジストリ キーの脆弱性 - CVE-2010-0238

    Exploitability Index: N/A

  • Windows の仮想パス解析の脆弱性 - CVE-2010-0481

    Exploitability Index: N/A

  • Windows カーネルの不正な形式の画像の脆弱性 - CVE-2010-0482

    Exploitability Index: N/A

  • Windows カーネルの例外ハンドラーの脆弱性 - CVE-2010-0810

    Exploitability Index: N/A

 関連: Registry vulnerabilities addressed by MS10-021 (Microsoft Security Research & Defense, 2010.04.12)

MS10-022 - 重要: VBScript スクリプト エンジンの脆弱性により、リモートでコードが実行される (981169)

 Windows 2000 / XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。 マイクロソフト セキュリティ アドバイザリ (981169) VBScript の脆弱性により、リモートでコードが実行される の件。

 Exploitability Index: 1。ただし Windows Server 2008 / 7 / Server 2008 R2 では 3。

MS10-023 - 重要: Microsoft Office Publisher の脆弱性により、リモートでコードが実行される (981160)

 Publisher 2002 / 2003 / 2007 に欠陥。攻略 Publisher ファイルによって任意のコードを実行できる。 CVE-2010-0479

 Exploitability Index: 1

MS10-024 - 重要: Microsoft Exchange および Windows SMTP サービスの脆弱性により、サービス拒否が起こる (981832)

 Windows 2000 / XP / Server 2003 / Server 2008 / Server 2008 R2、 および Exchange 2000 / 2003 / 2007 / 2010 に計 2 つの欠陥。

  • SMTP サーバーの MX レコードの脆弱性 - CVE-2010-0024

    Exploitability Index: 3

  • SMTP のメモリの割り当ての脆弱性 - CVE-2010-0025

    Exploitability Index: N/A

MS10-025 - 緊急: Microsoft Windows Media Services の脆弱性により、リモートでコードが実行される (980858)

 Windows 2000 Server 上の Windows Media Services に欠陥。buffer overflow する欠陥があり、攻略パケットによって任意のコードが実行される。CVE-2010-0478

 Exploitability Index: 1

MS10-026 - 緊急: MPEG Layer-3 コーデックの脆弱性により、リモートでコードが実行される (977816)

 Windows 2000 / XP / Server 2003 / Vista / Server 2008 に欠陥。 MPEG Layer-3 オーディオ コーデックに欠陥があり、攻略 AVI ファイルによって任意のコードを実行できる。CVE-2010-0480

 Exploitability Index: 1

MS10-027 - 緊急: Windows Media Player の脆弱性により、リモートでコードが実行される (979402)

 Windows 2000 / XP 上の Windows Media Player 9 に欠陥。ActiveX コントロールに欠陥があり、攻略 Web ページによって任意のコードを実行できる。CVE-2010-0268

 Exploitability Index: 1

MS10-028 - 重要: Microsoft Visio の脆弱性により、リモートでコードが実行される (980094)

 Visio 2002 / 2003 / 2007 に 2 つの欠陥。

  • Visio の属性の検証のメモリ破損の脆弱性 - CVE-2010-0254

    Exploitability Index: 1

  • Visio のインデックスの計算のメモリ破損の脆弱性 - CVE-2010-0256

    Exploitability Index: 2

MS10-029 - 警告: Windows ISATAP コンポーネントの脆弱性により、なりすましが行われる (978338)

 Windows XP / Server 2003 / Vista / Server 2008 に欠陥。 TCP/IP スタックに欠陥があり、トンネリングされた ISATAP パケットの IPv6 ソースアドレスを検証しないため、なりすましが可能。CVE-2010-0812

 Exploitability Index: N/A

 関連: 2010年4月14日のセキュリティ情報 (月例) (日本のセキュリティチーム, 2010.04.14)

2010.04.22 追記:

 MS10-025 - 緊急: Microsoft Windows Media Services の脆弱性により、リモートでコードが実行される (980858) の patch が引っ込められました。欠陥がきちんと修正されていなかった模様です。改訂版を準備中。

2010.04.27 追記:

 MS10-025 - 緊急: Microsoft Windows Media Services の脆弱性により、リモートでコードが実行される (980858) の patch、明日再リリース予定だそうです。

2010.04.28 追記:

 MS10-025 - 緊急: Microsoft Windows Media Services の脆弱性により、リモートでコードが実行される (980858) の patch、再リリースされました。

2010.05.29 追記:

 MS10-020 patch を適用すると、SMB 1.0 ベースのリモートサーバ (例: Windows NT 4.0、Cisco WAAS、NetApp DataOnTap) との間で、文書の保存やパーミッションの変更ができなくなる場合があるそうで。 Cisco WAAS (Samba ベースの実装のようです) と NetApp DataOnTap については修正プログラムが用意されている模様。

ユニークIDがあれば認証ができるという幻想
(高木浩光@自宅の日記, 2010.04.11)

 これはすさまじいなあ……。関連:

Oracle Critical Patch Update Advisory - April 2010
(Oracle, 2010.04.13)

 例によっててんこもりです。

 Sun の分: Sun security fixes included in the Oracle Critical Patch Update for April 2010 (Sun, 4/13)

追記

APSB10-09: Security Advisory for Adobe Reader and Acrobat

Operaブラウザに深刻な脆弱性、パッチは未公開

 関連:

 Opera 10.51 で修正されたそうです。Mac / Linux 版はまだβテスト中のようで。


2010.04.13

追記

[JS10001] 一太郎の脆弱性を悪用した不正なプログラムの実行危険性について

CERT-FI Advisory on Antivirus Signature Evasion Using Archive Files
(CERT-FI, 2010.04.12)

 複数のアンチウイルス製品に欠陥。アーカイブファイルの取扱いに欠陥があり、ウイルスを含むアーカイブであってもウイルスを検出できないことがある。 ゲートウェイ型のサービスで利用されているアンチウイルス製品において特に問題となる。

 関連: JVNVU#545953 - 複数のアンチウィルス製品に脆弱性 (JVN, 2010.04.13)

Enterprise Administration of the Acrobat Family of Products
(Adobe, 2010.04.11 更新)

 Acrobat-Reader Updater: A configuration and user guide. For the Acrobat Product Family 9.2 and 8.1.7 and later が加わった他、他の文書も改訂されている模様です。


2010.04.12

[JS10001] 一太郎の脆弱性を悪用した不正なプログラムの実行危険性について
(ジャストシステム, 2010.04.12)

 少なくとも、一太郎 2006〜2010 に欠陥。フォント情報の処理に欠陥があり、攻略文書ファイルを開くと任意のコードが実行される。

 現時点では、一太郎 2009 / 2010 用のアップデートモジュールが公開されている。 一太郎 2006〜2008 用のアップデートモジュールについては準備中。他のプログラムの安全性については調査中。

 「2010年 4月 7日、弊社の一部製品に脆弱性の存在を確認いたしました」とあるけど、0-day だったのかな:

2010.04.13 追記:

 関連:

2010.04.15 追記:

 一太郎 2006〜2008 用のアップデートモジュールが公開されました。 また、一太郎2010 体験版についても新版が公開されています


2010.04.11

JAVA Web Start に 0-day 欠陥、攻略 Web ページを閲覧すると任意のコードを実行される
(various, 2010.04.09)

 Java 6 Update 10 以降の Windows / Linux 版が対象の模様。このへん:

 javaws / javaws.exe を無効化することで回避できる模様。

2010.04.16 追記:

 実際に攻撃が行われているそうです。守屋さん情報ありがとうございます。

 この欠陥を修正した JDK / JRE 6 Update 20 が公開されましたOracle Security Alert CVE-2010-0886 (Oracle, 2010.04.15) を参照。

 関連:

2010.04.18 追記:

 関連:

[Security-announce] VMSA-2010-0007 VMware hosted products, vCenter Server and ESX patches resolve multiple security issues
(VMware, 2010.04.09)

 VMware Workstation / Player / ACE / Server / Fusion / VIX API / ESX / ESXi に影響する欠陥。

  1. Windows-based VMware Tools Unsafe Library Loading vulnerability

  2. Windows-based VMware Tools Arbitrary Code Execution vulnerability

  3. Windows-based VMware Workstation and Player host privilege escalation

  4. Third party library update for libpng to version 1.2.37

  5. VMware VMnc Codec heap overflow vulnerabilities

  6. VMware Remote Console format string vulnerability

  7. Windows-based VMware authd remote denial of service

  8. Potential information leak via hosted networking stack

  9. Linux-based vmrun format string vulnerability

 Windows-based と書かれているからと言って、Windows 版だけに影響するとは限らないので注意。

 Workstation 7.0.1 / 6.5.4 など、各製品の最新版、あるいは patch で対応される。


2010.04.10


2010.04.09

マイクロソフト セキュリティ情報の事前通知 - 2010 年 4 月
(Microsoft, 2010.04.09)

 今回は 11 個。Office や Exchange も含まれます。Exchange って、ひさしぶりに見た気が。

 関連: 2010年4月14日のセキュリティリリース予定 (月例) (日本のセキュリティチーム, 2010.04.09)

また、セキュリティ アドバイザリ 977544 (SMB) , セキュリティ アドバイザリ 981169 (VBScript) の件について今月提供するセキュリティ更新プログラムでの対処を予定しています。

APSB10-09: Security Advisory for Adobe Reader and Acrobat
(Adobe, 2010.04.08)

 Adobe から予告出ました。2010.04.13 (US 時間) に Adobe Reader / Acrobat 9.3.2 / 8.2.2 が出るそうです。 critical updates と判定されています。

 関連: Upcoming Adobe Reader and Acrobat 9.3.2 and 8.2.2 to be Delivered by New Updater (Adobe Reader Blog, 2010.04.08)

On Tuesday, April 13, 2010, as part of our quarterly update, we will activate the new updater for all users needing Adobe Reader and Acrobat 9.3.2 and 8.2.2 for Windows and Macintosh. As of yesterday, April 7, 2010, we have been activating our new updater for those users who are not yet up-to-date with our latest versions. During this phase of the process, we are utilizing users' current update setting found in the Adobe Reader and Acrobat Preferences, under the "Updater" panel, as shown in the screen captures below.

 ふむん。

 「自動的にアップデートをインストールする」にしておくと、うれしいことがあるのかな。設定すると HKLM\SOFTWARE\Adobe\Adobe ARM\1.0\ARM\iCheck が 3 になるみたい。

 関連: アドビ、新たな自動アップデートシステムをローンチへ--13日のセキュリティアップデートで (CNET, 2010.04.09)

2010.04.14 追記:

 Adobe Reader / Acrobat 9.3.2 / 8.2.2 出ました:

2010.04.23 追記:

 日本語版: APSB10-09: Adobe ReaderおよびAcrobat用セキュリティアップデート公開 (Adobe)

4/22 あの冴子先生が帰ってくる?!
(Microsoft, 2010.04.09)

 な、なんだってーーー

2010.04.12 追記:

 サイトが更新されました……が、

 見れない。しくしく。どうやら、説3のリアル冴子先生のようなのだが。

 ……Cell_雀 なんてものがあるのですね。「冴子先生とトキメキ☆モード」って……。というか、この方、Microsoft MVP だ……。 関連: Excelのマクロで動く異色麻雀ゲーム---「Cell_雀」 Excelのマクロで動く異色麻雀ゲーム (日経 PC Online, 2009.03.27)。

2010.04.16 追記:

 ビデオ更新されました。そして冴子先生が 4/22 よりつぶやきはじめます @saeko2010 4/22 あの冴子先生が帰ってくる!? http://bit.ly/bUQZho #saeko2010 (Office2010J, 2010.04.16)。 次回ですか。

2010.04.19 追記:

 関連:

2010.04.22 追記:

 関連:

2010.04.27 追記:

 「2,010人のいいね!」を目指し、冴子先生がセミナーデビュー 〜70人超の参加者を前にOffice 2010の新機能をデモ (PC Watch, 2010.04.26)

2010.05.25 追記:

 冴子 2010 卒業イベント実施のお知らせ!! (saeko2010.tv)。2010.06.30、東京渋谷区某所、無料。東京都渋谷区と言われたら、マイクロソフト株式会社 新宿本社しか思いつかないのですが、どうなんでしょう……。


2010.04.08

追記

Microsoft 2009 年 10 月のセキュリティ情報

Authorization Bypass When Executing An Embedded Executable.

 Immunity の人は 2 年前から知っていたそうで: Exploiting PDF files without vulnerability (immunityinc.com, 2010.03.24)、 CVE-2009-4764

 あと、Keeping Adobe Reader and Acrobat Safe (ESET Threat Blog, 2010.04.07) では、[マルチメディアの信頼性(従来形式)] の [マルチメディア操作を許可] の項を、 「常に許可」(デフォルト) から「確認する」に変更する話が出ています。

いろいろ (2010.04.08)
(various)


2010.04.07

追記

Authorization Bypass When Executing An Embedded Executable.

 Adobe から公式アナウンス出ました: PDF "/Launch" Social Engineering Attack (Adobe Reader Blog, 2010.04.06)。 [環境設定] → [信頼性管理マネージャ] の「外部アプリケーションで PDF 以外の添付ファイルを開くことを許可」を無効にする (チェックを外す) ことで回避できるそうです。

 レジストリだと、HKEY_CURRENT_USER\Software\Adobe\Acrobat Reader\バージョン番号\Originals で bAllowOpenFile を 0 にするのだそうで。 あと、同じ場所で bSecureOpenFile を 1 にすると、この設定項目がグレイアウトされるそうで。

Recommend Removing RSA Security 1024 V3 root certificate authority
(mozilla.dev.security.policy, 2010.04.03)

 Mozilla 製品に組み込まれているルート証明書 RSA Security 1024 v3 は、 RSA からのものでも VeriSign からのものでもないから削除すべき、という話。 ……アナウンス出ました: Removing the RSA Security 1024 V3 Root (Mozilla Security Blog, 2010.04.06)

 やり方:

  1. [ツール] メニューの [オプション] を選択します。 「オプション」ウィンドウが開きます。

  2. 「オプション」ウィンドウにおいて、[詳細] の [暗号化] タブを選択し、[証明書を表示] を選択します。

    「証明書マネージャ」ウィンドウが開きます。

  3. 「証明書マネージャ」ウィンドウにおいて、[認証局証明書] タブを選択し、 RSA Security Inc の RSA Security 1024 v3 を選択します。 その後で [設定] を選択します。

    「認証局証明書に対する信頼性の設定」ウィンドウが表示されます。

  4. 「認証局証明書に対する信頼性の設定」ウィンドウにおいて、

    • この証明書を Web サイトの識別に使用する
    • この証明書をメールユーザの識別に使用する
    • この証明書をソフトウェア製作者の識別に使用する

    全てについてチェックを外します。

    外し終えたら、[OK] を選択します。「認証局証明書に対する信頼性の設定」ウィンドウが消えます。

 「証明書マネージャ」ウィンドウにおいて、[設定] ではなく [削除] を選択すると、一見削除できるように見えますが、 アプリを再起動するとまた復活してしまうようです。ただしこのとき、信頼性設定は全て無効 (チェックが外された状態) になっています。そのため、[削除] を実行しても結果的には問題ないようですが、 誤解を招きやすいので [設定] を使う方法に書き直しました。たかださん情報ありがとうございます。

 アプリケーション個別に実行する必要があります。たとえば Firefox と Thunderbird をインストールしている場合は、Firefox と Thunderbird それぞれにおいて削除を実行する必要があります。


2010.04.06

追記

Authorization Bypass When Executing An Embedded Executable.

 CVE-2010-1240 (Adobe Reader 9.3.1)、 CVE-2010-1239 (Foxit Reader < 3.2.1.0401)。 CVE-2010-1240 は、警告画面の表記を詐称できることに対するもの。 Escape From PDF (Didier Stevens, 2010.03.29) に詐称例あり。


2010.04.05

追記

Authorization Bypass When Executing An Embedded Executable.

 Foxit Reader 3.2.1.0401 を試してみました。Adobe Reader と同様、警告画面が出るようになりました。ただし、Foxit Reader は [開く] がデフォルトなんだよねえ。

 Adobe Reader は [開かない] がデフォルトなのですが。


2010.04.04

Authorization Bypass When Executing An Embedded Executable.
(foxitsoftware.com, 2010.04.02)

 Escape From PDF (Didier Stevens, 2010.03.29)、PDFとはプロブレマティック・ドキュメント・フォーマットの略なのか? (エフセキュアブログ, 2010.03.31) の件、Foxit Reader 3.2.1.0401 で修正されたそうで。 ダウンロード

 関連: 仕様と脆弱性の間で (エフセキュアブログ, 2010.04.02)。類似事例は他にもあるという指摘。

WindowsサイドバーのガジェットはHTMLやJavaScriptを用いて作成することができます。Windowsですのでおそらく Internet Explorerのセキュリティ設定が引き継がれると思われがちですが、実際にはInternet Explorerの設定とは関係なく、非常に緩いセキュリティ設定で実行されており、PDFのケースと同じようにCMD.EXEを実行することも可能です。IEのセキュリティ設定に守られていると勘違いしたまま設計すると痛い目に遭います。
JavaのSWTではIEコンポーネントを使って開発することができますが、このときのセキュリティ設定もIEのものが使われるのではなく、非常に緩い設定で動作しますので、やはりCMD.EXEを実行することが可能です。

2010.04.05 追記:

 Foxit Reader 3.2.1.0401 を試してみました。Adobe Reader と同様、警告画面が出るようになりました。ただし、Foxit Reader は [開く] がデフォルトなんだよねえ。

 Adobe Reader は [開かない] がデフォルトなのですが。

2010.04.06 追記:

 CVE-2010-1240 (Adobe Reader 9.3.1)、 CVE-2010-1239 (Foxit Reader < 3.2.1.0401)。 CVE-2010-1240 は、警告画面の表記を詐称できることに対するもの。 Escape From PDF (Didier Stevens, 2010.03.29) に詐称例あり。

2010.04.07 追記:

 Adobe から公式アナウンス出ました: PDF "/Launch" Social Engineering Attack (Adobe Reader Blog, 2010.04.06)。 [環境設定] → [信頼性管理マネージャ] の「外部アプリケーションで PDF 以外の添付ファイルを開くことを許可」を無効にする (チェックを外す) ことで回避できるそうです。

 レジストリだと、HKEY_CURRENT_USER\Software\Adobe\Acrobat Reader\バージョン番号\Originals で bAllowOpenFile を 0 にするのだそうで。 Acrobat Reader を Adobe Acrobat に変えると Acrobat 用。 あと、同じ場所で bSecureOpenFile を 1 にすると、この設定項目がグレイアウトされるそうで。

2010.04.08 追記:

 Immunity の人は 2 年前から知っていたそうで: Exploiting PDF files without vulnerability (immunityinc.com, 2010.03.24)、 CVE-2009-4764

 あと、Keeping Adobe Reader and Acrobat Safe (ESET Threat Blog, 2010.04.07) では、[マルチメディアの信頼性(従来形式)] の [マルチメディア操作を許可] の項を、 「常に許可」(デフォルト) から「確認する」に変更する話が出ています。

2010.04.18 追記:

 かいとさんによる Windows / Linux 用の PDF ビューアでの /Launch /Action のサポート状況のまとめが公開されています (かいとさん情報ありがとうございます)。

2010.04.30 追記:

 /Launch /Action を使った攻撃 PDF ファイルが広く出回っているようです。

2010.07.02 追記:

 Adobe Reader / Acrobat 9.3.3 / 8.2.3 には、/Launch /Action の件に対する対応が含まれている。

 しかし実際には、「コマンド実行の抑止」については回避できてしまう模様。 それでも進歩ではある。詳細:

2010.08.24 追記:

 APSB10-17: Security Advisory for Adobe Reader and Acrobat (adobe) が出ています。これには CVE-2010-1240 の修正が含まれているそうなので、もしかしたら、上記の『「コマンド実行の抑止」については回避できてしまう』問題が修正されているのかもしれません。


2010.04.02

[Full-disclosure] Zabbix <= 1.8.1 SQL Injection
(Full-disclosure, 2010.04.01)

 Zabbix 1.8.1 以前に SQL Injection 欠陥があり、 Zabbix 1.8.2 で修正されているそうで。 CVE-2010-1277

The Upcoming Black Hat Europe 2010 presentation
(Fortinet blog, 2010.03.31)

 And, we will also show a working exploit for a PDF zero-day vulnerability we discovered recently in the latest Adobe Reader 9.3.1 (where DEP is enabled by default) なんて書かれてますよ奥さん! Adobe Reader 9.3.1 で PDF ファイルを開くと無警告で電卓が起動するデモ動画が掲載されている。 Adobe PSIRT に開示済だそうで。 CVE-2010-1241

Firefox 3.6.3 リリースノート
(mozilla.jp, 2010.04.01)

 CanSecWest Pwn2Own ハッキングコンテスト でヤラれた件が修正されています: MFSA 2010-25: スコープの混同による解放済みオブジェクトの再使用 (mozilla-japan.org)

 関連: Firefox 3.6 のセキュリティアップデート (3.6.3) を公開しました (mozilla.jp, 2010.04.02)

追記

CanSecWest Pwn2Own ハッキングコンテスト

 Firefox がヤラれた件、Firefox 3.6.3 で修正されました。 MFSA 2010-25: スコープの混同による解放済みオブジェクトの再使用 (mozilla-japan.org)


2010.04.01

いろいろ (2010.04.01)
(various)

Oracle Java SE and Java for Business Critical Patch Update Advisory - March 2010
(Oracle, 2010.03.30)

 Java 新版登場。27 種類の欠陥が修正されている。

 CVE: CVE-2009-3555 CVE-2010-0082 CVE-2010-0084 CVE-2010-0085 CVE-2010-0087 CVE-2010-0088 CVE-2010-0089 CVE-2010-0090 CVE-2010-0091 CVE-2010-0092 CVE-2010-0093 CVE-2010-0094 CVE-2010-0095 CVE-2010-0837 CVE-2010-0838 CVE-2010-0839 CVE-2010-0840 CVE-2010-0841 CVE-2010-0842 CVE-2010-0843 CVE-2010-0844 CVE-2010-0845 CVE-2010-0846 CVE-2010-0847 CVE-2010-0848 CVE-2010-0849 CVE-2010-0850

追記

CanSecWest Pwn2Own ハッキングコンテスト

 関連:

スウェーデンのIXが中国のDNSルート・サーバを遮断  TwitterやYouTubeへのアクセスが中国のサイトにリダイレクトされる問題を解消
(ComputerWorld.jp, 2010.03.29)

 これですが、 The Great DNS Wall of China の内容が外部に洩れ出してしまったという話みたい。小出さん、iwata.n さん情報ありがとうございます。

Wireshark 1.2.7, 1.0.12, and 1.3.4 Released
(Wireshark.org, 2010.03.31)

 出てます。Windows 2000 サポート復活など。


[セキュリティホール memo]
[私について]