セキュリティホール memo - 2011.09

Last modified: Wed Feb 26 12:18:53 2014 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2011.09.30

追記

通信を保護する「SSL/TLS」の脆弱性を突いたhttps攻撃、研究者が発表へ

 いろいろ出てきてます。

Firefox 7.0 / 3.6.23、Thunderbird 7.0 / 3.1.15、SeaMonkey 2.4 登場

 Firefox 7.0.1 出ました。Thunderbird 7.0.1 も今日深夜には公開される見込みだそうです。iida さん情報ありがとうございます。

 MFSA 2011-38 は、 Firefox 7.0 / SeaMonkey 2.4 ではなく Firefox 6.0 / SeaMonkey 2.3 で修正されているとされています。Firefox 3.6 系列では 3.6.23 で修正なので、それまで非公開だったようです。 すずきさん情報ありがとうございます。


2011.09.29

Firefox 7.0 / 3.6.23、Thunderbird 7.0 / 3.1.15、SeaMonkey 2.4 登場
(various, 2011.09.27)

 Firefox 7.0 / 3.6.23、Thunderbird 7.0 / 3.1.15、SeaMonkey 2.4 登場です。 修正項目は以下のとおり。

SA 番号 重要度 概要 F 7.0 F 3.6.23 T 7.0 T 3.1.15 S 2.4
MFSA 2011-36 最高 様々なメモリ安全性の問題 (rv:7.0 / rv:1.9.2.23) X X X ? X
MFSA 2011-37 最高 JavaScript RegExp 使用時の整数オーバーフロー X
MFSA 2011-38 プラグインと隠ぺいされた window.location オブジェクトを通じた XSS X X X ? X
MFSA 2011-39 CRLF インジェクションによる複数 Location ヘッダへの対策 X X X ? X
MFSA 2011-40 最高 Enter キーの押下継続によるコードのインストール X X X ? X
MFSA 2011-41 最高 潜在的に悪用可能な WebGL のクラッシュ X X
MFSA 2011-42 最高 YARR 正規表現ライブラリにおける潜在的に悪用可能なクラッシュ X X X
MFSA 2011-43 最高 loadSubScript によって XPCNativeWrapper のスコープ引数が公開される問題 X X
MFSA 2011-44 最高 OGG ヘッダの読み込みにおける解放後使用の問題 X X X
MFSA 2011-45 動作データに基づくキー操作の推測 X X

 Thunderbird 3.1.15 の修正項目はまだ公開されていないので、上記では、多分ここだろうと思ったところに ? をつけてます。

 関連:

2011.09.30 追記:

 Firefox 7.0.1 出ました。Thunderbird 7.0.1 も今日深夜には公開される見込みだそうです。iida さん情報ありがとうございます。

 MFSA 2011-38 は、 Firefox 7.0 / SeaMonkey 2.4 ではなく Firefox 6.0 / SeaMonkey 2.3 で修正されているとされています。Firefox 3.6 系列では 3.6.23 で修正なので、それまで非公開だったようです。 すずきさん情報ありがとうございます。


2011.09.28

追記

いろいろ (2011.07.25)

 Foxit Reader 5.0.2 の件:


2011.09.27

追記

通信を保護する「SSL/TLS」の脆弱性を突いたhttps攻撃、研究者が発表へ

 出たようで:

 まとめると、こうですかね:

  • 複数の条件をクリアできれば、ユーザに気づかれることなく HTTPS トラフィックを解読できる。

  • SSL 3.0 / TLS 1.0 の欠陥。TLS 1.1 / 1.2 にはこの欠陥はない。 しかし TLS 1.1 / 1.2 のサポート状況は極めて悪い。

  • CBC モードを使用する暗号群 (例: RSA-with-AES-256-CBC-SHA) において発現。 ストリーム暗号を使用する場合 (例: RSA-with-RC4-128-SHA) には発現しない。

    CPNI-957037: SSH 通信において一部データが漏えいする可能性 (2008.11) の件を思い出し、CTR モードを使えばいいのにと思ったのだけど、SSL / TLS では CTR モードは使えない (標準化されていない) のだそうで: SSL cipher mode (OpenSSL-Dev ML)

 現時点では、RC4-128 で回避するのが現実的かなあ。


2011.09.26

いろいろ (2011.09.26)
(various)


2011.09.25


2011.09.23

追記

Google の一部サイトに対して発行された不正な SSL 証明書の問題

 ハッキングされて倒産 (エフセキュアブログ, 2011.09.21)


2011.09.22

追記

Google の一部サイトに対して発行された不正な SSL 証明書の問題

 DigiNotar 破産。

APSB11-26: Security update available for Adobe Flash Player
(Adobe, 2011.09.21)

 Flash Player 10.3.183.10、Flash Player for Android 10.3.186.7 登場。 6 種類の欠陥 CVE-2011-2426 CVE-2011-2427 CVE-2011-2428 CVE-2011-2429 CVE-2011-2430 CVE-2011-2444 が修正されている。CVE-2011-2444 (ユニバーサル XSS 欠陥) については、既に Web サイトや Web メールを通じて悪用される事例が発生している。

 関連:


2011.09.21

通信を保護する「SSL/TLS」の脆弱性を突いたhttps攻撃、研究者が発表へ
(ITmedia, 2011.09.21)

 もうすぐ詳細が明らかになるようなので、とりあえず様子見……

2011.09.27 追記:

 出たようで:

 まとめると、こうですかね:

 現時点では、RC4-128 で回避するのが現実的かなあ。

2011.09.30 追記:

 いろいろ出てきてます。

2012.01.11 追記:

 Windows patch 出た。ただし、MS12-006 - 重要: SSL/TLS の脆弱性により、情報漏えいが起こる (2643584)MS11-099 - 重要: Internet Explorer 用の累積的なセキュリティ更新プログラム (2618444) の両方を適用する必要がある。

2014.02.26 追記:

  APPLE-SA-2014-02-25-1 OS X Mavericks 10.9.2 and Security Update 2014-001 (Apple, 2014.02.25) において、OS X 10.8.5 の Secure Transport で CVE-2011-3389 (BEAST) への対応 (1 バイト フラグメント追加) が行われている。

Prenotification: Security Update for Flash Player
(Adobe PSIRT blog, 2011.09.20)

 明日 9/21 (US 時間) に公開だそうで。in-the-wild な欠陥の修正も含まれるそうです。

いろいろ (2011.09.21)
(various)


2011.09.20

SkypeはiOSアプリのXSS(クロスサイトスクリプティング)脆弱性を認識, “懸命に修復中”
(techcrunch, 2011.09.20)

 Skype for iOS 3.0.1 以前に XSS 欠陥がある模様。Chat Message ウィンドウの処理に欠陥があるそうで。patch はまだない。

2011.10.03 追記:

 Skype 3.5.84 for iOS で修正されたようです: Skype for iOS updates address XSS vulnerability (H Security, 2011.09.28)

追記

Advisory: Range header DoS vulnerability Apache HTTPD 1.3/2.x (CVE-2011-3192)

 関連:

Google の一部サイトに対して発行された不正な SSL 証明書の問題

 関連:

Google Chrome Stable Channel Update
(Google Chrome Release blog, 2011.09.16)

 Google Chrome 14 系列が stable に。14.0.835.163。32 件の欠陥が修正されている。

Flaw in OS X Lion allows unauthorized password changes
(Sophos, 2011.09.20)

 Mac OS X 10.7 Lion に 2 つの欠陥。

 patch はまだない。元ねた: Cracking OS X Lion Passwords (defenceindepth.net, 2011.09.18)


2011.09.19


2011.09.16


2011.09.15


2011.09.14

追記

Advisory: Range header DoS vulnerability Apache HTTPD 1.3/2.x (CVE-2011-3192)

 Advisory の最終版 (UPDATE 3) 出ました: Apache HTTPD Security ADVISORY (UPDATE 3 - FINAL): Range header DoS vulnerability Apache HTTPD prior to 2.2.20 (apache.org, 2011.09.13)

いろいろ (2011.09.14)
(various)

APSB11-24: Security updates available for Adobe Reader and Acrobat
(Adobe, 2011.09.13)

 Adobe Reader / Acrobat 10.1.1 / 9.4.6 / 8.3.1 登場。 13 種類の欠陥 (ほとんどは任意のコードの実行を招く) が修正されている。CVE-2011-1353 CVE-2011-2431 CVE-2011-2432 CVE-2011-2433 CVE-2011-2434 CVE-2011-2435 CVE-2011-2436 CVE-2011-2437 CVE-2011-2438 CVE-2011-2439 CVE-2011-2440 CVE-2011-2441 CVE-2011-2442。 ただし Adobe Reader 9.4.6 for UNIX は 2011.11.07 に登場する予定。 欠陥は UNIX 版にもあるので注意。

 関連:

2011.09.15 追記:

 関連:

2011.10.27 追記:

 Unix 版は依然として 2011.11.07 に登場する予定となっている。

 2011.10.21 付で、次回の四半期更新の公開日が 2011.12.13 から 2012.01.10 に変更された。

Microsoft 2011 年 9 月のセキュリティ情報
(Microsoft, 2011.09.14)

 予定どおり出ました (あとで書く)。日本語版も US と同様に URL 変わりました。

 関連:


2011.09.13


2011.09.12


2011.09.11


2011.09.10


2011.09.09

追記

Google の一部サイトに対して発行された不正な SSL 証明書の問題

 関連:

いろいろ (2011.09.09)
(various)

マイクロソフト セキュリティ情報の事前通知 - 2011 年 9 月
(Microsoft, 2011.09.09)

 5 件。重要 x 5。Office あり (Excel, SharePoint, Groove)

 今回から、US 版は http://technet.microsoft.com/en-us/security/bulletin/ms11-sep という URL に変更されていますが、日本語版はこれまでと同様のようで。

APSB11-24: Prenotification Security Advisory for Adobe Reader and Acrobat
(Adobe, 2011.09.08)

 Tuesday, September 13, 2011 (US 時間) に Adobe Reader / Acrobat の更新版が出る予定だそうです。 抄訳版: APSB11-24: Adobe Reader および Acrobat に関するセキュリティ情報の事前通知 (Adobe, 2011.09.09)

 関連: Adobe Reader and Acrobat Version 8 End of Support (Adobe, 2011.09.08)。Adobe Reader 8 / Acrobat 8 は 2011.11.03 でサポート終了。


2011.09.08

いろいろ (2011.09.08)
(various)

OpenSSL Security Advisory [6 September 2011] Two security flaws have been fixed in OpenSSL 1.0.0e
(OpenSSL, 2011.09.06)

 OpenSSL 1.0.0e 出ました。2 件の欠陥が修正されています。山田さん、iida さん情報ありがとうございます。

 OpenSSL 0.9.8s というのはまだリリースされていないと思うのだが……。 http://www.openssl.org/source/ にもないし。


2011.09.07

追記

Advisory: Range header DoS vulnerability Apache HTTPD 1.3/2.x (CVE-2011-3192)

 修正版つづき:

Google の一部サイトに対して発行された不正な SSL 証明書の問題

 Windows / Firefox / Thunderbird / Seamonkey / Debian / FreeBSD 修正出てます。

 ハクった人が GlobalSign の名前を出したため、対応に追われている模様。

 関連:


2011.09.06

追記

Google の一部サイトに対して発行された不正な SSL 証明書の問題

 関連:


2011.09.05

追記

Advisory: Range header DoS vulnerability Apache HTTPD 1.3/2.x (CVE-2011-3192)

 Advisory の UPDATE 3 のドラフト版というのがあるようで:

 各ディストリから修正版が出ているが、CentOS 5.6 / 6.0 がややこしいことになっている (CentOS 5.7 / 6.1 のリリースが遅れているため)。

Google の一部サイトに対して発行された不正な SSL 証明書の問題

 Thunderbird 3.1.13 は出てます: Thunderbird 6.0.1 and 3.1.13 security updates now available (mozilla.org, 2011.08.31)。Firefox 6.0.1 Android 版はまだみたい。

 おおもとの Diginotar 話はさらに話がヤバくなっているようで。Google どころじゃない。


2011.09.04


2011.09.02


2011.09.01


[セキュリティホール memo]
[私について]