セキュリティホール情報＜2008/04/21＞

以下のセキュリティホール情報は、日刊メールマガジン「Scan Daily Express」の見出しのみを抜粋したものです。
「Scan Daily Express」では、全文とセキュリティホールの詳細へのリンクURLをご覧いただけます。

★ お申込みはこちら ★
https://www.netsecurity.ne.jp/14_3683.html

＜プラットフォーム共通＞ ━━━━━━━━━━━━━━━━━━━━━━
▽LightNEasy────────────────────────────
LightNEasyは、index.phpおよびLightNEasy.phpスクリプトがユーザ入力を適切にチェックしていないことなどが原因で複数のセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にディレクトリトラバーサルやクロスサイトスクリプティングを実行される可能性がある。
2008/04/21 登録

危険度：中
影響を受けるバージョン：1.2.2
影響を受ける環境：UNIX、Linux、Windows
回避策：パッチのインストール

▽phpBB──────────────────────────────
phpBBは、特定されていない複数のセキュリティホールが存在する。この問題は攻撃者に悪用される可能性がある。
2008/04/21 登録

危険度：低
影響を受けるバージョン：3.0.0以前
影響を受ける環境：UNIX、Linux、Windows
回避策：3.0.1以降へのバージョンアップ

▽5th Avenue E-Commerce Package──────────────────
5th Avenue E-Commerce Packageは、細工されたSQLステートメントをcategory_list.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2008/04/21 登録

危険度：中
影響を受けるバージョン：Market、Shoppe、Showroom
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽EsContacts────────────────────────────
EsContactsは、複数のスクリプトがユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。
2008/04/21 登録

危険度：中
影響を受けるバージョン：1.0
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Exponent CMS───────────────────────────
Exponent CMSは、新しいアカウントを作成する際にユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。
2008/04/21 登録

危険度：中
影響を受けるバージョン：0.96.6-GA20071003以前
影響を受ける環境：UNIX、Linux、Windows
回避策：パッチのインストール

▽BusinessObjects Infoview XI───────────────────
BusinessObjects Infoview XIは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。
2008/04/21 登録

危険度：中
影響を受けるバージョン：InfoView XI R2、SP3、SP2、SP1
影響を受ける環境：UNIX、Linux、Windows
回避策：最新版へのバージョンアップ

▽eXtplorer component for Joomla!─────────────────
eXtplorer component for Joomla!は、「/../」を含む細工されたURLリクエストをindex.phpスクリプトに送ることでディレクトリトラバーサルを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上の任意のファイルを閲覧される可能性がある。
2008/04/21 登録

危険度：中
影響を受けるバージョン：2.0.0 RC2以前
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽123 Flash Chat module for e107path────────────────
123 Flash Chat module for e107pathは、123flashchat.phpスクリプトに細工されたURLリクエスト送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebサーバ上で任意のコードを実行される可能性がある。 [更新]
2008/04/18 登録

危険度：中
影響を受けるバージョン：6.8.0
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽OpenOffice.org──────────────────────────
OpenOffice.orgは、細工されたQuattro Proファイルを開くよう誘導されることでヒープベースのバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性がある。 [更新]
2008/04/18 登録

危険度：高
影響を受けるバージョン：2.0
影響を受ける環境：UNIX、Linux、Windows
回避策：2.4以降へのバージョンアップ

▽Mozilla Firefox / SeaMonkey───────────────────
Mozillaは、FirefoxおよびSeamonkeyは、MFSA 2008-15 (CVE-2008-1237) に書かれているJavaScriptエンジンのセキュリティ問題の修正によって、安定性に関わる問題が発生する。この問題が悪用されると、攻撃者にアプリケーションをクラッシュされる可能性がある。 [更新]
2008/04/18 登録

危険度：高
影響を受けるバージョン：Firefox 2.0.0.14未満、
Thunderbird 2.0.0.14未満、
SeaMonkey 1.1.10未満
影響を受ける環境：UNIX、Linux、Windows
回避策：最新版へのバージョンアップ

▽Safari──────────────────────────────
Appleは、Safariの最新版を公開した。最新版へのアップデートによって複数のセキュリティホールが修正される。 [更新]
2008/04/17 登録

危険度：高
影響を受けるバージョン：3.1
影響を受ける環境：Mac OS X、Windows
回避策：3.1.1へのバージョンアップ

▽Oracle製品────────────────────────────
Oracleは複数のOracle製品に対するセキュリティアップデートをリリースした。このアップデートにより、複数の問題が修正されている。最新版未満のバージョンでは、さまざまな攻撃を受ける可能性がある。 [更新]
2008/04/17 登録

危険度：高
影響を受けるバージョン：Oracle Database、
Oracle Application Serverほか
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽Adobe Flash───────────────────────────
Adobe Flashは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトrequest forgeryを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクロスサイトスクリプティングを実行されたりキャッシュを汚染される可能性がある。 [更新]
2008/04/10 登録

危険度：高
影響を受けるバージョン：8.0.39.0未満、9.0.115.0未満
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽FishSound────────────────────────────
FishSoundは、細工されたリクエストを送信されることでバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性がある。 [更新]
2008/04/08 登録

危険度：高
影響を受けるバージョン：0.9.1
影響を受ける環境：UNIX、Linux、Windows
回避策：0.9.1以降へのバージョンアップ

▽SUN J2SE─────────────────────────────
SUN J2SE JREおよびSDKのバージョンアップ版を公開した。このアップデートにより、複数の問題が修正される。最新版未満のバージョンでは、さまざまな攻撃を受ける可能性がある。 [更新]
2008/03/07 登録

危険度：高
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽Sun Java Runtime Environment (JRE)────────────────
Sun Java Runtime Environment (JRE)は、未知のセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者に権限を昇格される可能性がある。 [更新]
2007/10/24 登録

危険度：高
影響を受けるバージョン：JDK 5 Update12未満、6 Update 2未満、
Sun JRE 1.3.1_20未満、1.4.2_15未満、
5 Update12未満、6 Update 2未満、
SDK 1.3.1_20未満、1.4.2_15未満
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽ImageMagick───────────────────────────
ImageMagickは、細工されたDCM、DIB、XBM、XCF、XWDReadXWDイメージファイルによって整数オーバーフローやヒープオーバーフローなどを引き起こされる複数のセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行される可能性がある。 [更新]
2007/09/25 登録

危険度：高
影響を受けるバージョン：6.3.5-9未満
影響を受ける環境：UNIX、Linux、Windows
回避策：6.3.5-9以降へのバージョンアップ

▽ImageMagick───────────────────────────
ImageMagickは、ReadXWDImage ()機能が原因でヒープベースのバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者に悪意があるXWDイメージファイルを作成されてシステム上で任意のコードを実行される可能性がある。 [更新]
2007/04/03 登録

危険度：高
影響を受けるバージョン：6.2.9、6.3.1、6.3.2、6.3.3-3、6.3.x
影響を受ける環境：UNIX、Linux、Windows
回避策：6.3.3-5以降へのバージョンアップ

＜Microsoft＞━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Microsoft Windows────────────────────────
Microsoft Windowsは、NetworkServiceあるいはLocalServiceアカウントのセキュリティコンテキストでコードを実行する際のエラーが原因で権限を昇格されるセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者に任意のコードを実行される可能性がある。
2008/04/21 登録

危険度：高
影響を受けるバージョン：2003、2008、XP SP2、Vista
影響を受ける環境：Windows
回避策：パッチのインストール

▽Microsoft Works ActiveX control─────────────────
Microsoft Works ActiveX control（WkImgSrv.dll）は、細工されたWebサイトにアクセスすることでDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にブラウザをクラッシュされる可能性がある。
2008/04/21 登録

危険度：低
影響を受けるバージョン：7.0
影響を受ける環境：Windows
回避策：公表されていません

＜その他の製品＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━
▽VMware ESX Server────────────────────────
VMware ESX Serverは、aacraidドライバが適切にIOCTLコマンドパーミッションを実証しないことが原因で権限を昇格されるセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者にシステム上で任意のコマンドを実行される可能性がある。 [更新]
2008/02/22 登録

危険度：
影響を受けるバージョン：3.0.2未満
影響を受ける環境：
回避策：ベンダの回避策を参照

＜UNIX共通＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Swfdec──────────────────────────────
Swfdecは、sandboxのローカルファイルアクセスを適切に制限していないことが原因で機密情報を奪取されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にローカルファイルを閲覧される可能性がある。
2008/04/21 登録

危険度：低
影響を受けるバージョン：0.6.4未満
影響を受ける環境：UNIX、Linux
回避策：0.6.4以降へのバージョンアップ

▽Grape Web Statistics───────────────────────
Grape Web Statisticsは、functions.phpスクリプトに細工されたURLリクエスト送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebサーバ上で任意のコードを実行される可能性がある。
2008/04/21 登録

危険度：中
影響を受けるバージョン：0.2a
影響を受ける環境：UNIX、Linux
回避策：公表されていません

▽SunShop Shopping Cart──────────────────────
SunShop Shopping Cartは、細工されたSQLステートメントをadminindex.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2008/04/21 登録

危険度：中
影響を受けるバージョン：4.1.0
影響を受ける環境：UNIX、Linux
回避策：公表されていません

▽PolicyKit────────────────────────────
PolicyKitは、grant helperが立入禁止区域に認証処理をリクエストする際にフォーマットストリング攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者にシステム上で任意のコードを実行される可能性がある。
2008/04/21 登録

危険度：高
影響を受けるバージョン：0.7、0.7-2
影響を受ける環境：UNIX、Linux
回避策：0.7-3以降へのバージョンアップ

▽Xpdf───────────────────────────────
Xpdfは、細工された埋め込みのフォントを含むPDFファイルを作成されることが原因でセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行される可能性がある。 [更新]
2008/04/18 登録

危険度：高
影響を受けるバージョン：3.02
影響を受ける環境：UNIX、Linux
回避策：公表されていません

▽Clam AntiVirus (ClamAV)─────────────────────
Clam AntiVirus (ClamAV)は、細工されたRARファイルを開くよう誘導されることでDos攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にアプリケーションをクラッシュされる可能性がある。 [更新]
2008/04/18 登録

危険度：低
影響を受けるバージョン：0.90、0.90 Rc1.1、0.90 Rc2、0.90 Rc3、
0.90.1、0.90rc1、0.91、0.92
影響を受ける環境：UNIX、Linux
回避策：0.93以降へのバージョンアップ

▽Clam AntiVirus (ClamAV)─────────────────────
Clam AntiVirus (ClamAV)は、細工されたWWPack PE binaryをスキャンするよう誘導されることが原因でヒープベースのバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性がある。 [更新]
2008/04/16 登録

危険度：高
影響を受けるバージョン：0.92.1
影響を受ける環境：UNIX、Linux
回避策：公表されていません

▽CUPS───────────────────────────────
CUPSは、image-png.cおよびimage-zoom.cでの整数オーバーフローが原因でヒープベースのバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性がある。 [更新]
2008/04/16 登録

危険度：高
影響を受けるバージョン：1.3.7
影響を受ける環境：UNIX、Linux
回避策：ベンダの回避策を参照

＜Linux共通＞━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽ImageMagick/GraphicsMagick────────────────────
ImageMagickおよびGraphicsMagickは、細工された.xcfファイルを開くよう誘導されることでDos攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行される可能性がある。 [更新]
2008/03/14 登録

危険度：高
影響を受けるバージョン：ImageMagick 6.2.8-0、GraphicsMagick 1.1.7
影響を受ける環境：Linux
回避策：公表されていません

＜リリース情報＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Linux kernel 2.6.x 系──────────────────────
Linux kernel 2.6.25-git2がリリースされた。
http://www.kernel.org/

▽Linux kernel 2.6.x 系──────────────────────
Linux kernel 2.6.25-mm1がリリースされた。
http://www.kernel.org/

▽Linux kernel 2.4.x 系──────────────────────
Linux kernel 2.4.36.3がリリースされた。
http://www.kernel.org/

＜セキュリティトピックス＞ ━━━━━━━━━━━━━━━━━━━━━
▽トピックス
総務省、インターネット上の違法・有害情報への対応に関する検討会（第６回）の開催について
http://www.soumu.go.jp/joho_tsusin/policyreports/chousa/internet_illegal/080425_1.html

▽トピックス
総務省、平成１９年「通信利用動向調査」の結果
http://www.soumu.go.jp/s-news/2008/080418_4.html

▽トピックス
総務省、インターネット政策懇談会（第３回）
http://www.soumu.go.jp/joho_tsusin/policyreports/chousa/internet_policy/080425_1.html

▽トピックス
@police、インターネット治安情勢更新(平成20年3月報を追加)(4/18)
http://www.cyberpolice.go.jp/detect/

▽トピックス
JPCERT/CC、JPCERT/CC 脆弱性関連情報取り扱いガイドラインおよび製品開発者リスト仮登録申請様式を改訂
http://www.jpcert.or.jp/

▽トピックス
JPCERT/CC、調査/研究の「Vulnerability Response Decision Assistance (脆弱性対応意思決定支援システム)」概要資料を改訂
http://www.jpcert.or.jp/research/2008/200712VRDA_summary.pdf

▽トピックス
JPCERT/CC、脆弱性情報ハンドリング関連資料を改訂
http://www.jpcert.or.jp/vh/refs.html

▽トピックス
IPA/ISEC、「2007年国内における情報セキュリティ事象被害状況調査」報告書の公開について
http://www.ipa.go.jp/security/fy19/reports/isec-survey/press.html

▽トピックス
IPA、第５回日本OSS推進フォーラム幹事団及び顧問団合同会合の開催
http://www.ipa.go.jp/software/open/forum/press_080418.html

▽トピックス
マカフィー、ウィルコムの「W-ZERO3シリーズ」向けセキュリティをバージョンアップ
http://www.mcafee.com/jp/

▽トピックス
NTTドコモ、新しいドコモブランドについて
http://www.nttdocomo.co.jp/info/news_release/page/080418_00.html

▽トピックス
NTTドコモ、弊社に関する一部報道について
http://www.nttdocomo.co.jp/info/notice/page/080418_00_m.html

▽トピックス
NTTコミュニケーションズ、弊社サービスの不具合に関するお詫び
http://www.ntt.com/aboutus/information/info_20080418.html

▽トピックス
アクセンチュア、アバナード、マイクロソフトが、次世代のワークプレイスを提唱する Next Generation Workplace ソリューションにて協業体制を構築
http://www.microsoft.com/japan/presspass/detail.aspx?newsid=3424

▽トピックス
マイクロソフト、Windows(R) Embedded “SPARK Your Imagination”プログラムが始動
http://www.microsoft.com/japan/presspass/detail.aspx?newsid=3423

▽トピックス
マイクロソフト、Windows(R) Embeddedの事業計画を発表
http://www.microsoft.com/japan/presspass/detail.aspx?newsid=3422

▽トピックス
富士通、世界初、暗号化方式AES 256ビットに対応した業界最高速の暗号化機能搭載320ギガバイト2.5型HDD新発売
http://pr.fujitsu.com/jp/news/2008/04/21.html

▽トピックス
富士通、中国電子商務協会で手のひら静脈認証装置を導入
http://jp.fujitsu.com/

▽サポート情報
キヤノンITソリューションズ、ゴールデンウィーク期間中のサポートセンター営業日について
http://canon-its.jp/supp/c_news.html

▽サポート情報
トレンドマイクロ、ウイルスパターンファイル：5.227.00 (04/21)
http://jp.trendmicro.com/jp/support/download/pattern/index.html

▽サポート情報
アンラボ、V3 / SpyZero 定期アップデート情報
http://japan.ahnlab.com/news/view.asp?seq=3050

▽サポート情報
アンラボ、V3 緊急アップデート情報
http://japan.ahnlab.com/news/view.asp?seq=3049

▽ウイルス情報
トレンドマイクロ、TROJ_AGENT.AMAL
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=TROJ%5FAGENT%2EAMAL

▽ウイルス情報
シマンテック、Backdoor.Ripgof.C
http://www.symantec.com/business/security_response/writeup.jsp?docid=2008-041910-4946-99

▽ウイルス情報
マカフィー、JS/Exploit-WkImgSrv
http://www.mcafee.com/japan/security/virE.asp?v=JS/Exploit-WkImgSrv

◆アップデート情報◆
───────────────────────────────────
●Debian複数のアップデートをリリース
───────────────────────────────────
Debianがikiwiki、mplayer、python2.4、suphp、clamavおよびxpdfのアップデートをリリースした。このアップデートによって、それぞれの問題が修正される。

Debian Security Advisory
http://www.debian.org/security/

───────────────────────────────────
●Gentoo Linuxが複数のアップデートをリリース
───────────────────────────────────
Gentoo Linuxがdbmail、cups、pdns-recursor、netscape-flash、sun-jre-binおよびpopplerのアップデートをリリースした。このアップデートによって、それぞれの問題が修正される。

Gentoo Linux
http://www.gentoo.org/

───────────────────────────────────
●MIRACLE LinuxがImageMagickおよびseamonkeyのアップデートをリリース
───────────────────────────────────
Miracle LinuxがImageMagickおよびseamonkeyのアップデートをリリースした。このアップデートによって、それぞれの問題が修正される。

Miracle Linux アップデート情報
http://www.miraclelinux.com/support/update/list.php?category=1

───────────────────────────────────
●SuSE LinuxがOpenOffice_orgのアップデートをリリース
───────────────────────────────────
SuSE LinuxがOpenOffice_orgのアップデートをリリースした。このアップデートによって、システム上で任意のコードを実行されたりアプリケーションをクラッシュされる問題が修正される。

SuSe Security Announcement
http://www.suse.de/de/security/