セキュリティホール情報<2003/01/10> | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.10.17(火)

セキュリティホール情報<2003/01/10>

脆弱性と脅威 セキュリティホール・脆弱性

<プラットフォーム共通>
▽ Sun ONE Web Server
Netscape Communicator は実装上の原因により、セキュリティホールが存在する。これは SSL (Secure Socket Layer) のサイト名の確認において、失敗の際に正しく警告しないというもの。DNS の書き換えと併用することで、SSL で保護して送受信される情報が他者に奪われる可能性がある。

CERT Coordination Center (CERT/CC)
CA-2000-08 Inconsistent Warning Messages in Netscape Navigator
http://www.cert.org/advisories/CA-2000-08.html

CIAC (Computer Incident Advisory Capability)
K-047: Netscape - Inconsistent Warning Messages
http://ciac.llnl.gov/ciac/bulletins/k-047.shtml

SGI Security Advisory 2003/01/09 追加
20030102-01-I Netscape Browsers Vulnerabilities
ftp://patches.sgi.com/support/free/security/advisories/20030102-01-I

▽ Sun ONE Web Server
Sun ONE Web Server は、ログファイルを検査する際に上位権限を持たないローカルユーザが Admin Console の権限で任意のコードを実行可能なため、セキュリティホールが存在する。攻撃者にこのセキュリティホールを悪用された場合、ローカルから任意のコードを実行される可能性がある。

Sun(sm) Alert Notification 2003/01/09 更新
Security Vulnerabilities with Sun ONE Web Server 4.1SP11 and Earlier
http://sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert%2F49475&zone_32=category%3Asecurity

▽ SSH
SSHv2トランスポート層のグリーティングとキーエクスチェンジイニシャライズに脆弱性が発見された。この問題により、任意のコードの実行が可能となるほか、DoS攻撃が可能となる。 [更新]

CERT 2003/01/09 更新
Vulnerability Note VU#389665
Multiple vendors' SSH transport layer protocol implementations contain vulnerabilities in key exchange and initialization
http://www.kb.cert.org/vuls/id/389665

CIAC
N-028: Vulnerabilities in SSH2 Implementations from Multiple Vendors
http://www.ciac.org/ciac/bulletins/n-028.shtml

SecuriTeam.com
Vulnerabilities in SSH2 Implementations from Multiple Vendors
http://www.securiteam.com/securitynews/6R00B206AE.html

SecurtyFocus
R7-0009: Vulnerabilities in SSH2 Implementations from Multiple Vendors
http://online.securityfocus.com/archive/1/303537/2002-12-14/2002-12-20/0

CERT Advisory 2002/12/27 追加
CA-2002-36 Multiple Vulnerabilities in SSH Implementations
http://www.cert.org/advisories/CA-2002-36.html

▽ Network device driver
多くのネットワークデバイスドライバで、パケットが46バイトに満たない場合、無効なデータを補填せずに、以前利用されたデータによってパケットを補填する問題が発見された。この問題により、以前利用された通信データに重要なデータが含まれている場合、このデータを読みとられ情報が漏洩する可能性がある。[更新]

CERT 2003/01/09 更新
Vulnerability Note VU#412115
Network device drivers reuse old frame buffer data to pad packets
http://www.kb.cert.org/vuls/id/412115

SecuriTeam.com 2003/01/08 追加
Etherleak: Ethernet Frame Padding Information Leakage
http://www.securiteam.com/securitynews/5BP01208UO.html

CERT 2003/01/07 更新
Microsoft Corporation Information for VU#412115
http://www.kb.cert.org/vuls/id/JPLA-5BGP7V

▽ ethereal
Etherealは細工されたパケットを処理できないことが原因で、複数のセキュリティホールが存在する。この問題を利用することにより、リモートから任意のコードを実行されたり Dos 攻撃を受けたりする可能性がある。

Ethereal: Application notes
enpa-sa-00006 Potential issues with Ethereal 0.9.5
http://www.ethereal.com/appnotes/enpa-sa-00006.html

Ethereal: Application notes
enpa-sa-00005 Potential issues with Ethereal 0.9.4
http://www.ethereal.com/appnotes/enpa-sa-00005.html

Red Hat Linux Security Advisory
RHSA-2002:169-13 Updated ethereal packages are available
http://rhn.redhat.com/errata/RHSA-2002-169.html

Common Vulnerabilities and Exposures (CVE)
CAN-2002-0834
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2002-0834

Common Vulnerabilities and Exposures (CVE)
CAN-2002-0822
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2002-0822

Common Vulnerabilities and Exposures (CVE)
CAN-2002-0821
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2002-0821

Debian Security Advisory 2002/09/09 追加
DSA-162-1 ethereal ─ buffer overflow
http://www.debian.org/security/2002/dsa-162

Red Hat Linux Security Advisory 2002/09/17 追加
RHSA-2002:036-26 Updated ethereal packages available
http://rhn.redhat.com/errata/RHSA-2002-036.html

LinuxSecurity 2002/10/25 追加
Caldera: ethereal denial of service
http://www.linuxsecurity.com/advisories/caldera_advisory-2501.html

SecurityFocus 2002/10/25 追加
Santa Cruz Operation : Linux: various packet handling vunerabilities in ethereal
http://online.securityfocus.com/advisories/4600

Red Hat Linux Security Advisory 2002/09/17 追加
RHSA-2002:036-26 Updated ethereal packages available
http://rhn.redhat.com/errata/RHSA-2002-036.html

Ethereal: Application notes 2002/12/10 追加
Multiple issues with Ethereal 0.9.7
http://www.ethereal.com/appnotes/enpa-sa-00007.html

Red Hat Linux Security Advisory 2003/01/10 追加
RHSA-2002:290-07 Updated Ethereal packages are available
http://rhn.redhat.com/errata/RHSA-2002-290.html


<その他の製品>
▽ ColdFusion MX
ColdFusion MXで、タグおよびタグタグを備えたファイルを含んでいる前にセキュリティ・ファイル/ディレクトリの許可をチェックしない問題が発見された。この問題を利用することにより、テンプレートからこれらのタグを利用し、無許可のデータにアクセスすることが可能となる。

Macromedia Security Zone
MPSB03-01 - Patch available for ColdFusion MX Enterprise Edition
sandbox security issue that allows templates to include arbitrary files
http://www.macromedia.com/v1/handlers/index.cfm?ID=23638


<UNIX共通>
▽ fetchmail
Fetchmail の multidrop モードに複数のセキュリティホールが発見された。この問題を利用することにより、リモートから任意のコードを実行されたり DoS 攻撃を受ける可能性がある。

Release Notes
http://www.tuxedo.org/~esr/fetchmail/NEWS

e-matters : SECURITY Advisory 03/2002
Fetchmail remote vulnerabilities
http://security.e-matters.de/advisories/032002.html

ISS X-Force Database
fetchmail-multidrop-bo (10203) Fetchmail multi-drop mode multiple buffer overflows
http://www.iss.net/security_center/static/10203.php

MandrakeSoft Security Advisory 2002/10/03 追加
MDKSA-2002:063 fetchmail
http://www.linux-mandrake.com/en/security/2002/MDKSA-2002-063.php?dis=9.0

SecurityFocus 2002/10/04 追加
EnGarde Secure Linux : fetchmail-ssl: buffer overflows and broken boundary checks
http://online.securityfocus.com/advisories/4520

LinuxSecurity 2002/10/04 追加
EnGarde: fetchmail vulnerabilities
http://www.linuxsecurity.com/advisories/other_advisory-2402.html

Red Hat Linux Security Advisory 2002/10/09 追加
RHSA-2002:215-09 Updated fetchmail packages fix vulnerabilities
http://rhn.redhat.com/errata/RHSA-2002-215.html

Red Hat Linux Security Advisory 2002/10/09 追加
fetchmail(RHSA-2002-215J)
http://www.jp.redhat.com/support/errata/RHSA/RHSA-2002-215J.html

Common Vulnerabilities and Exposures (CVE) 2002/10/09 追加
CAN-2002-1174
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2002-1174

Common Vulnerabilities and Exposures (CVE) 2002/10/09 追加
CAN-2002-1175
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2002-1175

Debian GNU/Linux ─ Security Information 2002/10/09 追加
DSA-171 fetchmail
http://www.debian.org/security/2002/dsa-171

SecurityFocus 2002/10/17 追加
[CLA-2002:531] Conectiva Linux Security Announcement - fetchmail
http://online.securityfocus.com/archive/1/295458/2002-10-13/2002-10-19/0

Sun(sm) Alert Notification 2002/10/18 追加
47784 Sun Linux/Sun Cobalt Security Vulnerability in "fetchmail"
http://sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert%2F47784&zone_32=category%3Asecurity

HP Secure OS Software for Linux security bulletins digest
2002/10/22 追加
HPSBTL0210-071 Security vulnerability in fetchmail
http://itrc.hp.com/

HEWLETT-PACKARD COMPANY セキュリティ報告 2002/10/22 追加
HPSBTL0210-071 fetchmailにおけるセキュリティ脆弱性
http://www.jpn.hp.com/upassist/assist2/secbltn/HPSBTL0210-071.html

Turbolinux Japan Security Center 2002/11/05 追加
fetchmail buffer overflowの問題
http://www.turbolinux.co.jp/security/fetchmail-6.1.1-1.html

LinuxSecurity 2002/11/22 追加
Caldera: fetchmail remote vulnerabilities
http://www.linuxsecurity.com/advisories/caldera_advisory-2599.html

SCO Security Advisory 2002/11/25 追加
CSSA-2002-051.0 Linux: fetchmail remote vulnerabilities in multidrop mode
ftp://ftp.sco.com/pub/security/OpenLinux/CSSA-2002-051.0.txt

SecuriTeam.com 2002/12/17 追加
Fetchmail Remote Vulnerability (Localhost @)
http://www.securiteam.com/unixfocus/6Q00F1F6AE.html

SecurtyFocus 2002/12/17 追加
[CLA-2002:554] Conectiva Linux Security Announcement - fetchmail
http://online.securityfocus.com/archive/1/303559/2002-12-14/2002-12-20/0

Linux Securty 2002/12/17 追加
Gentoo: fetchmail buffer overflow vulnerability
http://www.linuxsecurity.com/advisories/gentoo_advisory-2666.html

Red Hat Linux Security Advisory 2002/12/18 追加
Updated Fetchmail packages fix security vulnerability
http://rhn.redhat.com/errata/RHSA-2002-293.html

SecurtyFocus 2002/12/18 追加
[OpenPKG-SA-2002.016] OpenPKG Security Advisory (fetchmail)
http://online.securityfocus.com/archive/1/303680/2002-12-15/2002-12-21/0

Debian GNU/Linux ─ Security Information 2002/12/25 追加
DSA-216 fetchmail
http://www.debian.org/security/2002/dsa-216

SecurtyFocus 2002/12/25 追加
[SECURITY] [DSA 216-1] New fetchmail packages fix buffer overflow
http://online.securityfocus.com/archive/1/304416/2002-12-21/2002-12-27/0

Linux Securty 2002/12/25 追加
Debian: fetchmail buffer overflow
http://www.linuxsecurity.com/advisories/debian_advisory-2699.html

SecurtyFocus 2003/01/06 追加
SuSE Security Announcement: fetchmail (SuSE-SA:2003:001)
http://online.securityfocus.com/archive/1/304948/2002-12-27/2003-01-02/0

Neohapsis Archives - Bugtraq - 2003/01/10 追加
Security Update: [CSSA-2003-001.0] Linux: fetchmail at-sign buffer overflow vulnerability
http://archives.neohapsis.com/archives/bugtraq/2003-01/0064.html

Linux Securty 2003/01/10 追加
Caldera: fetchmail buffer overflow vulnerability
http://www.linuxsecurity.com/advisories/caldera_advisory-2742.html

▽ Canna
Canna は実装上の原因により、複数のセキュリティホールが存在する。攻撃者にこのセキュリティホールを悪用された場合、リモートから権限を昇格されたり、Canna サーバの内部情報の奪取、DoS 攻撃を受けるよいった可能性がある。 [更新]

Canna セキュリティ情報
Canna-2002-1 複数のcanna サーバーの脆弱性
http://canna.sourceforge.jp/sec/Canna-2002-01.txt

Vine Linux errata [2.5]
Cannaにセキュリティホール
http://www.vinelinux.org/errata/25x/20021202-1.html

Turbolinux Japan Security Center
Canna 複数のcanna サーバーの脆弱性
http://www.turbolinux.co.jp/security/Canna-3.6-1.html

Vine Linux errata [2.1.x] 2002/12/11 追加
Cannaにセキュリティホール
http://www.vinelinux.org/errata/2x/20021211.html

Red Hat Linux Security Advisory 2002/12/11 追加
RHSA-2002:246-18 Updated Canna packages fix vulnerabilities
https://rhn.redhat.com/errata/RHSA-2002-246.html

Common Vulnerabilities and Exposures (CVE) 2002/12/11 追加
CAN-2002-1158
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2002-1158

Common Vulnerabilities and Exposures (CVE) 2002/12/11 追加
CAN-2002-1159
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2002-1159

ISS X-Force Database 2002/12/17 追加
canna-irwthrough-bo (10831) Canna irw_through() buffer overflow
http://www.iss.net/security_center/static/10831.php

ISS X-Force Database 2002/12/17 追加
canna-improper-request-validation (10832) Canna improper user request validation
http://www.iss.net/security_center/static/10832.php

Debian GNU/Linux ─ Security Information 2003/01/09 追加
DSA-224-1 canna ─ buffer overflow and more
http://lists.debian.org/debian-security-announce/debian-security-announce-2003/msg00004.html


<FreeBSD>
▽ fpathconf
fpathconf() システムコールに実装上の原因により、セキュリティホールが存在する。攻撃者にこのセキュリティホールを悪用された場合、ローカルから権限を昇格される可能性がある。

FreeBSD Security Advisory
FreeBSD-SA-02:44.filedesc file descriptor leak in fpathconf
ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-02:18.zlib.asc

SecurityTracker.com Archives 2003/01/09 追加
FreeBSD Kernel Integer Overflow May Let Local Users Deny Service,Gain Elevated Privileges, or View Files on the System
http://www.securitytracker.com/alerts/2003/Jan/1005898.html

<Linux共通>
▽ tomcat4
tomcat4に悪意のあるURLを利用することにより、JSPページへリダイレクトすることが可能になる問題が発見された。この問題を利用することにより、リモートから任意のコードを実行させることが可能となる。

Debian Security Advisory 2002/01/10 追加

▽ KDE
KDEのコマンドシェルに、パラメーターを適切に処理出来ない問題が発見された。この問題を利用することにより、リモートの攻撃者がvicitimのデータのプライバシーを危険にさらすことができ、ファイルの削除、データへのアクセスや、特権を備えた任意のシェル・コマンドを実行することが可能となる。 [更新]

Debian GNU/Linux ─ Security Information
DSA-214-1 kdnetwork ─ buffer overflows
http://www.debian.org/security/2002/dsa-214

SecurtyFocus
KDE Security Advisory: Multiple vulnerabilities in KDE
http://online.securityfocus.com/archive/1/304261/2002-12-21/2002-12-27/0

SecurtyFocus
GLSA: kde-3.0.x
http://online.securityfocus.com/archive/1/304340/2002-12-21/2002-12-27/0

LinuxSecurty
Gentoo: KDE multiple vulnerabilities
http://www.linuxsecurity.com/advisories/gentoo_advisory-2697.html

SecuriTeam.com 2002/12/27 追加
Multiple Vulnerabilities in KDE (command shell)
http://www.securiteam.com/unixfocus/6K00P1P6AM.html

Turbolinux Security Advisory 2003/01/10 追加
TLSA-2003-1 多数の KDE パッケージに脆弱性が存在
http://www.turbolinux.co.jp/security/TLSA-2003-1j.txt


<リリース情報>
▽ AN HTTPD
AN HTTPD 1.42fがリリースされた。
http://www.st.rim.or.jp/~nakata/

▽ Linux Kernel
Linux 2.5.55がリリースされた。
http://www.kernel.org/

▽ Linux Kernel
Linux 2.4.21-pre3-ac2がリリースされた。
http://www.kernel.org/

▽ Linux Kernel
Linux 2.0.39 がリリースされた。
http://www.kernel.org/


<セキュリティトピックス>
▽ サポート情報
トレンドマイクロのサポート情報が複数アップされている。
2003/01/10 更新
http://www.trendmicro.co.jp/esolution/newsolution.asp

▽ 募集
IPA、「問い合わせ対応のためのコンサルティング及びデータ作成」に関する公募
http://www.ipa.go.jp/security/kobo/14fy/toiawase/index.html

▽ ウイルス情報
トレンドマイクロ、WORM_LIRVA.C
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_LIRVA.C

▽ ウイルス情報
シマンテック、PWSteal.AlLight
http://www.symantec.com/region/jp/sarcj/data/p/pwsteal.allight.html

▽ ウイルス情報
シマンテック、W32.Yaha.M@mm
http://www.symantec.com/region/jp/sarcj/data/w/w32.yaha.m@mm.html

▽ ウイルス情報
シマンテック、PWSteal.AlLight
http://www.symantec.com/region/jp/sarcj/data/p/pwsteal.allight.html

▽ ウイルス情報
シマンテック、Trojan.KKiller
http://www.symantec.com/region/jp/sarcj/data/t/trojan.kkiller.html

▽ ウイルス情報
シマンテック、Backdoor.Amitis
http://www.symantec.com/region/jp/sarcj/data/p/pwsteal.allight.html

▽ ウイルス情報
シマンテック、W32.Lirva.A@mm
http://www.symantec.com/region/jp/sarcj/data/w/w32.lirva.a@mm.html

▽ ウイルス情報
シマンテック、Trojan.PSW.Platan.5.A
http://www.symantec.com/region/jp/sarcj/data/t/trojan.psw.platan.5.a.html

▽ ウイルス情報
シマンテック、Backdoor.Deftcode
http://www.symantec.com/region/jp/sarcj/data/b/backdoor.deftcode.html

▽ ウイルス情報
シマンテック、W32.HLLW.Smelles
http://www.symantec.com/region/jp/sarcj/data/w/w32.hllw.smelles.html

▽ ウイルス情報
シマンテック、Backdoor.Xenozbot
http://www.symantec.com/region/jp/sarcj/data/b/backdoor.xenozbot.html

▽ ウイルス情報
シマンテック、Backdoor.Drator
http://www.symantec.com/region/jp/sarcj/data/b/backdoor.drator.html

▽ ウイルス情報
シマンテック、W32.HLLW.Parved
http://www.symantec.com/region/jp/sarcj/data/w/w32.hllw.parved.html

▽ ウイルス情報
シマンテック、W32.Ftrap
http://www.symantec.com/region/jp/sarcj/data/w/w32.ftrap.html

▽ ウイルス情報
シマンテック、Backdoor.Colfuser
http://www.symantec.com/region/jp/sarcj/data/b/backdoor.colfuser.html

▽ ウイルス情報
シマンテック、W32.Lirva.C@mm
http://www.symantec.com/region/jp/sarcj/data/w/w32.lirva.c@mm.html

▽ ウイルス情報
日本ネットワークアソシエイツ、W32/Lirva.a@MM
http://www.nai.com/japan/virusinfo/virL.asp?v=W32/Lirva.a@MM

▽ ウイルス情報
ソフォス、W32/ExploreZi-N
http://www.sophos.co.jp/virusinfo/analyses/w32explorezin.html

▽ ウイルス情報
ソフォス、W32/Avril-B
http://www.sophos.co.jp/virusinfo/analyses/w32avrilb.html

【更に詳細な情報サービスのお申し込みはこちら
   https://shop.vagabond.co.jp/cgi-bin/mm/p.cgi?sof01_sdx

《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

脆弱性と脅威 カテゴリの人気記事 MONTHLY ランキング

  1. OSSに潜在する訴訟・脆弱性リスク

    OSSに潜在する訴訟・脆弱性リスク

  2. 「JP1/秘文」で作成した自己復号型機密ファイルに、DLL読込に関する脆弱性(HIRT)

    「JP1/秘文」で作成した自己復号型機密ファイルに、DLL読込に関する脆弱性(HIRT)

  3. 「DLL読み込み」の脆弱性の公表件数が急増、対策方法を紹介(IPA)

    「DLL読み込み」の脆弱性の公表件数が急増、対策方法を紹介(IPA)

  4. Apache Struts 2 において REST プラグインでの XML データ処理の不備により遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report)

  5. Apache Tomcat において値検証不備により JSP ファイルがアップロード可能となる脆弱性(Scan Tech Report)

  6. 10月10日に「Office 2007」の延長サポートが終了、しかし40万台が今も利用(トレンドマイクロ)

  7. Apache Tomcatにおける、任意のファイルをアップロードされる脆弱性を検証(NTTデータ先端技術)

  8. マイクロソフトが10月のセキュリティ更新プログラムを公開、すでに悪用も(IPA)

  9. インシデントは「スキャン」が半数、フィッシングサイト報告件数は千件超え(JPCERT/CC)

  10. 偽の警告文を表示する詐欺サイトが急増、警察庁を装い罰金を要求するケースも(キヤノンITS)

全カテゴリランキング

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×