セキュリティホール情報＜2009/02/02＞

以下のセキュリティホール情報は、日刊メールマガジン「Scan Daily Express」の見出しのみを抜粋したものです。
「Scan Daily Express」では、全文とセキュリティホールの詳細へのリンクURLをご覧いただけます。

脆弱性と脅威セキュリティホール・脆弱性

2009年2月2日（月） 15時30分

以下のセキュリティホール情報は、日刊メールマガジン「Scan Daily Express」の見出しのみを抜粋したものです。
「Scan Daily Express」では、全文とセキュリティホールの詳細へのリンクURLをご覧いただけます。

★ お申込みはこちら ★
https://www.netsecurity.ne.jp/14_3683.html

＜プラットフォーム共通＞ ━━━━━━━━━━━━━━━━━━━━━━
▽Coppermine Photo Gallery─────────────────────
Coppermine Photo Galleryは、include/init.inc.phpスクリプトで変数をフィルタする間にエラーが発生することでセキュリティホールが存在する。この問題は、リモートの攻撃者にシステム上で任意のPHPコードを実行される可能性がある。
2009/02/02 登録

危険度：
影響を受けるバージョン：1.x
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽ManageEngine Firewall Analyzer──────────────────
ManageEngine Firewall Analyzerは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトrequest forgeryを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者に権限を昇格されたり、攻撃者にWebキャッシュ汚染やクロスサイトスクリプティングを実行される可能性がある。
2009/02/02 登録

危険度：
影響を受けるバージョン：4.x、5.x
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Profense Web Application Firewall────────────────
Profense Web Application Firewallは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトrequest forgeryを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者に権限を昇格されたり、攻撃者にWebキャッシュ汚染やクロスサイトスクリプティングを実行される可能性がある。
2009/02/02 登録

危険度：
影響を受けるバージョン：2.x
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽IBM WebSphere Application Server─────────────────
IBM WebSphere Application Serverは、特定されていないエラーによって任意のファイルを検索されるセキュリティホールが存在する。この問題は攻撃者に機密情報を奪取される可能性がある。
2009/02/02 登録

危険度：
影響を受けるバージョン：6.0.x
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽HP OpenView Select Access────────────────────
HP OpenView Select Accessは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。 [更新]
2009/01/30 登録

危険度：中
影響を受けるバージョン：6.1、6.2
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽MoinMoin─────────────────────────────
MoinMoinは、限定されたページを閲覧されることが原因でセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者に機密情報を奪取される可能性がある。 [更新]
2008/03/07 登録

危険度：中
影響を受けるバージョン：1.5.8未満
影響を受ける環境：UNIX、Linux、Windows
回避策：1.5.8以降へのバージョンアップ

▽MoinMoin─────────────────────────────
MoinMoinは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。 [更新]
2008/02/20 登録

危険度：中
影響を受けるバージョン：1.5.8以前、1.6.1以前
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

＜その他の製品＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━
▽MediaMonkey───────────────────────────
MediaMonkeyは、細工された.m3u playlistファイルを開くことでバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性がある。 [更新]
2009/01/27 登録

危険度：高
影響を受けるバージョン：3.0.6
影響を受ける環境：Windows
回避策：公表されていません

▽Elecard MPEG Player───────────────────────
Elecard MPEG Playerは、.M3Uファイルを適切に処理していないことが原因でスタックベースのバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性がある。 [更新]
2009/01/06 登録

危険度：高
影響を受けるバージョン：5.5 build 15884.081218
影響を受ける環境：Windows
回避策：公表されていません

＜UNIX共通＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽GNOME gedit───────────────────────────
GNOME geditは、sys.pathをセットする際のPySys_SetArgv ()機能のエラーが原因で権限を昇格されるセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者にシステム上で任意のPythonコードを実行される可能性がある。
2009/02/02 登録

危険度：
影響を受けるバージョン：2.x
影響を受ける環境：UNIX、Linux
回避策：公表されていません

▽FFmpeg──────────────────────────────
FFmpegは、libavformat/4xm.cでfourxm_read_header ()機能でsignednessエラーによってセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりメモリを不能にされる可能性がある。 [更新]
2009/01/30 登録

危険度：高
影響を受けるバージョン：0.8.7 r1ほか
影響を受ける環境：UNIX、Linux
回避策：ベンダの回避策を参照

▽OpenSSL EVP_VerifyFinal─────────────────────
OpenSSL EVP_VerifyFinal ()機能やOpenSSL DSA_verify機能を搭載する多くのアプリケーションは、適切なチェックを行っていないことが原因でセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデジタル署名検査を回避される可能性がある。 [更新]
2009/01/13 登録

危険度：中
影響を受けるバージョン：eidlib 2.6.0、Gale 0.99以前、
BIND 9.6.0以前、NTP 4.2.4p4以前、
OpenSSL 0.9.8h以前、Sun Grid Engine 5.3、
Lasso 2.2.1-0以前、ZXID 0.9以前
影響を受ける環境：UNIX、Linux
回避策：各ベンダの回避策を参照

▽Libxml2─────────────────────────────
Libxml2は、細工されたXML entity nameによってヒープオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行される可能性がある。 [更新]
2008/09/12 登録

危険度：高
影響を受けるバージョン：2.7.0以前
影響を受ける環境：UNIX、Linux
回避策：2.7.0へのバージョンアップ

＜Linux共通＞━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Linux Kernel───────────────────────────
Linux Kernelは、LibataがSG_IOリクエストの最小タイムアウトを設定していないことが原因でセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者にDoS攻撃を受ける可能性がある。 [更新]
2009/01/05 登録

危険度：低
影響を受けるバージョン：2.6.0〜2.6.27rc8-git5
影響を受ける環境：Linux
回避策：2.6.27.9以降へのバージョンアップ

＜SunOS/Solaris＞━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Sun Solaris───────────────────────────
Sun Solarisは、Solaris IP(7p) インプリメンテーションが原因でセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者にDoS攻撃を受ける可能性がある。
2009/02/02 登録

危険度：
影響を受けるバージョン：8、9、10
影響を受ける環境：Sun Solaris
回避策：ベンダの回避策を参照

▽Sun Fire Server─────────────────────────
Sun Fire Serverは、Embedded Lights Out Manager (ELOM) softwareが原因でネットワークへの無許可のアクセス権を奪取されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にサービスプロセッサ（SP）で任意のコマンドを実行される可能性がある。 [更新]
2009/01/30 登録

危険度：中
影響を受けるバージョン：Fire X2100M2 Server 3.19、
Fire X2200M2 Server 3.19
影響を受ける環境：Sun Solaris
回避策：ベンダの回避策を参照

▽Sun Solaris Internet Protocol (ip(7P)) Kernel Module───────
Sun Solaris Internet Protocol (ip(7P)) Kernel Moduleは、細工されたIP-in-IPパケットを送信されることが原因でDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者にシステムパニックを引き起こされる可能性がある。 [更新]
2009/01/30 登録

危険度：低
影響を受けるバージョン：10 SPARCほか
影響を受ける環境：Sun Solaris
回避策：ベンダの回避策を参照

＜IBM-AIX＞━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽IBM AIX─────────────────────────────
IBM AIXは、rmsockおよびrmsock64コマンドが安全でない方法でログファイルを作成することが原因でセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者に権限を昇格される可能性がある。
2009/02/02 登録

危険度：
影響を受けるバージョン：5.2、5.3、6.1
影響を受ける環境：IBM AIX
回避策：ベンダの回避策を参照

＜BSD＞━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽OpenBSD─────────────────────────────
OpenBSDは、細工されたアップデートによってDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にBGPセッションを終了される可能性がある。
2009/02/02 登録

危険度：
影響を受けるバージョン：4.3、4.4
影響を受ける環境：OpenBSD
回避策：ベンダの回避策を参照

＜リリース情報＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━
▽秀丸パブリッシャー 32bit版────────────────────
秀丸パブリッシャー 32bit版 Ver2.55がリリースされた。
http://hide.maruo.co.jp/software/hmpv.html

▽秀丸パブリッシャー 64bit版────────────────────
秀丸パブリッシャー 64bit版 Ver3.03がリリースされた。
http://hide.maruo.co.jp/software/hmpv.html

▽Ruby 1.9.x 系──────────────────────────
Ruby 1.9.1がリリースされた。
http://www.ruby-lang.org/

▽KTorrent─────────────────────────────
KTorrent 3.2rc1がリリースされた。
http://www.kde-apps.org/content/show.php/KTorrent?content=26353

▽Linux kernel 2.6.x 系──────────────────────
Linux kernel 2.6.29-rc3-git3がリリースされた。
http://www.kernel.org/

＜セキュリティトピックス＞ ━━━━━━━━━━━━━━━━━━━━━
▽トピックス
総務省、インターネット上の違法・有害情報への対応に関する検討会（第10回）議事要旨
http://www.soumu.go.jp/joho_tsusin/policyreports/chousa/internet_illegal/pdf/090114_3.pdf

▽トピックス
IPA/ISEC、海外情報セキュリティ関連文書の翻訳・調査研究（NIST文書など）を公開
http://www.ipa.go.jp/security/publications/nist/index.html

▽トピックス
IPA/ISEC、「世界の情報セキュリティ市場の統計データ並びに付帯するサービスの提供に係る契約」に係る事前確認公募について
http://www.ipa.go.jp/security/kobo/20fy/marketresearch/index.html

▽トピックス
NISC、「情報セキュリティの日」関連行事一覧の公表について（第2弾）
http://www.nisc.go.jp/active/kihon/pdf/sd09event_090130.pdf

▽トピックス
フィッシング対策協議会、2008/12 国内フィッシング情報届出状況を公開
http://www.antiphishing.jp/capj-report/capj-report359.html

▽トピックス
JCCIA、クレジットカード動態調査集計結果(平成20年11月分)　発表
http://www.jccia.or.jp/11/11_008.html

▽トピックス
NTTドコモ、「movaサービス」ならびに「DoPaサービス」等終了のお知らせ
http://www.nttdocomo.co.jp/info/notice/page/090130_00.html

▽トピックス
NTTデータ、オープンソース運用管理ツール「Hinemos」の信頼性を向上させるHinemos HA オプションを提供開始
http://www.nttdata.co.jp/release/2009/013001.html

▽トピックス
マイクロソフト、ICTを活用した地域活性化を目指し、自治体との連携を強化
http://www.microsoft.com/japan/presspass/detail.aspx?newsid=3618

▽トピックス
エム・ピー・テクノロジーズ、USBによるハイブリッド型シンクライアント「Resalio Lynx」多彩な機能を追加した新バージョン2.1販売開始
http://www.mptech.co.jp/news/press/pr090129_02.html

▽トピックス
SRA、オープンソースSOA実行基盤「ASIMA」の新バージョン「ASIMA 3.0」を公開
http://www.sra.co.jp/public/sra/topics/topics2008/090202.shtml

▽トピックス
DDS、持ち出すファイルを「暗号化＋生体認証」で守るUSBメモリーソリューションを販売
http://www.dds.co.jp/

▽トピックス
イーシステム、高度なセキュリティ性能に特化したデータベースを発売
http://www.e-system.co.jp/

▽トピックス
GMO-HS、「冗長化サービス（HAシステム）」を2月下旬より提供
http://gmo-hs.com/

▽トピックス
佐川急便、機密文書を集荷し溶解処理まで管理する「飛脚機密文書リサイクル便」を開始
http://www.sagawa-exp.co.jp/index-j.html

▽サポート情報
トレンドマイクロ、ウイルスパターンファイル：5.807.00 (02/02)
http://jp.trendmicro.com/jp/support/download/pattern/index.html

▽サポート情報
アンラボ、V3 / SpyZero 定期アップデート情報
http://japan.ahnlab.com/news/view.asp?seq=3866

▽ウイルス情報
トレンドマイクロ、WORM_RAKAB.A
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM%5FRAKAB%2EA

▽ウイルス情報
シマンテック、Infostealer.Nadebanker
http://www.symantec.com/business/security_response/writeup.jsp?docid=2009-013015-1832-99

◆アップデート情報◆
───────────────────────────────────
●MIRACLE Linuxがkernelのアップデートをリリース
───────────────────────────────────
Miracle Linuxがkernelのアップデートをリリースした。このアップデートによって、機密情報を奪取されるなど複数の問題が修正される。

Miracle Linux アップデート情報
http://www.miraclelinux.com/support/update/list.php?category=1

───────────────────────────────────
●Ubuntu LinuxがMoinMoinのアップデートをリリース
───────────────────────────────────
Ubuntu LinuxがMoinMoinのアップデートをリリースした。このアップデートによって、機密情報を奪取されるなどの問題が修正される。

Ubuntu Linux
http://www.ubuntu.com/

《ScanNetSecurity》