セキュリティホール情報＜2009/04/22＞

以下のセキュリティホール情報は、日刊メールマガジン「Scan Daily Express」の見出しのみを抜粋したものです。
「Scan Daily Express」では、全文とセキュリティホールの詳細へのリンクURLをご覧いただけます。

脆弱性と脅威セキュリティホール・脆弱性

2009年4月22日（水） 16時15分

以下のセキュリティホール情報は、日刊メールマガジン「Scan Daily Express」の見出しのみを抜粋したものです。
「Scan Daily Express」では、全文とセキュリティホールの詳細へのリンクURLをご覧いただけます。

★ お申込みはこちら ★
https://www.netsecurity.ne.jp/14_3683.html

＜プラットフォーム共通＞ ━━━━━━━━━━━━━━━━━━━━━━
▽Mozilla Firefox / Thunderbird / SeaMonkey────────────
Mozillaは、Firefox、Thunderbird、SeaMonkeyのセキュリティアップデートを公開した。このアップデートによって、複数のセキュリティホールが解消される。
2009/04/22 登録

危険度：
影響を受けるバージョン：Firefox 3.0.9未満、Thunderbird 2.0.0.22未満、SeaMonkey 1.1.16未満
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽I-Rater─────────────────────────────
I-Raterは、細工されたSQLステートメントをlogin.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2009/04/22 登録

危険度：中
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽VS PANEL─────────────────────────────
VS PANELは、細工されたSQLステートメントをshowcat.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2009/04/22 登録

危険度：中
影響を受けるバージョン：7.3.6
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Quick.CMS.Lite──────────────────────────
Quick.CMS.Liteは、細工されたSQLステートメントをindex.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2009/04/22 登録

危険度：中
影響を受けるバージョン：0.5
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽CRE Loaded───────────────────────────
CRE Loadedは、細工されたSQLステートメントをproduct_info.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2009/04/22 登録

危険度：中
影響を受けるバージョン：6.2
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽PastelCMS────────────────────────────
PastelCMSは、細工されたURLリクエストを送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebサーバ上で任意のコードを実行される可能性がある。
2009/04/22 登録

危険度：中
影響を受けるバージョン：0.8.0
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Online Contact Manager──────────────────────
Online Contact Managerは、複数のスクリプトがユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。
2009/04/22 登録

危険度：中
影響を受けるバージョン：3.0
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Online Photo Pro─────────────────────────
Online Photo Proは、index.phpスクリプトがユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。
2009/04/22 登録

危険度：中
影響を受けるバージョン：2.0
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽e107───────────────────────────────
e107は、細工されたSQLステートメントをusersettings.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2009/04/22 登録

危険度：中
影響を受けるバージョン：0.7.15
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽TotalCalendar──────────────────────────
TotalCalendarは、細工されたURLリクエストをcms_detect.phpスクリプトに送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebサーバ上で任意のコードを実行される可能性がある。
2009/04/22 登録

危険度：中
影響を受けるバージョン：2.4
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Online Guestbook Pro───────────────────────
Online Guestbook Proは、細工されたSQLステートメントをogp_show.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2009/04/22 登録

危険度：中
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Hot Project───────────────────────────
Hot Projectは、細工されたSQLステートメントをauthenticate.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2009/04/22 登録

危険度：中
影響を受けるバージョン：7
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽HP Storage Essentials──────────────────────
HP Storage Essentialsは、Secure NaviCLI上で動作する際にセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステムへの無許可のアクセスを実行される可能性がある。 [更新]
2009/04/21 登録

危険度：
影響を受けるバージョン：6.0.2、6.0.3、6.0.4
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽Events plugin for Seditio CMS──────────────────
Events plugin for Seditio CMSは、細工されたSQLステートメントをplug.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。[更新]
2009/04/21 登録

危険度：中
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽FlatnuX CMS───────────────────────────
FlatnuX CMSは、細工されたURLリクエストを特定のスクリプトに送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebサーバ上で任意のコードを実行される可能性がある。 [更新]
2009/04/21 登録

危険度：中
影響を受けるバージョン：2009-03-27
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Address Book───────────────────────────
Address Bookは、細工されたHTTPリクエストをupload-file.phpスクリプトに送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のPHPコードを実行される可能性がある。 [更新]
2009/04/21 登録

危険度：中
影響を受けるバージョン：2.5
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽EZ Webitor────────────────────────────
EZ Webitorは、細工されたSQLステートメントをlogin.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。 [更新]
2009/04/21 登録

危険度：中
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽1by1───────────────────────────────
1by1は、細工された.m3uプレイリストファイルを開くことでスタックベースのバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性がある。[更新]
2009/04/21 登録

危険度：高
影響を受けるバージョン：1.67
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽NetHoteles────────────────────────────
NetHotelesは、superadminスクリプトに細工されたSQLステートメントを送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。 [更新]
2009/04/20 登録

危険度：中
影響を受けるバージョン：2.0、3.0
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Mozilla Firefox─────────────────────────
Mozilla Firefoxは、IDNドメイン名のhomoglyph文字を適切に処理していないことが原因でスプーフィング攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にフィッシング攻撃に利用される可能性がある。 [更新]
2009/03/02 登録

危険度：中
影響を受けるバージョン：3.0〜3.0.6
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Adobe Flash Player────────────────────────
Adobe Flash Playerは、細工されたFlashファイルを作成されることでセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行される可能性がある。 [更新]
2009/02/25 登録

危険度：高
影響を受けるバージョン：10.0.22.87以前
影響を受ける環境：UNIX、Linux、Windows
回避策：10.0.22.87へのバージョンアップ

▽MoinMoin─────────────────────────────
MoinMoinは、antispam.pyスクリプトがユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。 [更新]
2009/01/29 登録

危険度：中
影響を受けるバージョン：1.7、1.7.1、1.7.3、1.8.0、1.8.1
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽MoinMoin─────────────────────────────
MoinMoinは、AttachFile.pyスクリプトがユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。 [更新]
2009/01/22 登録

危険度：中
影響を受けるバージョン：1.8.1ほか
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽MoinMoin─────────────────────────────
MoinMoinは、AdvancedSearch.pyスクリプトがユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。 [更新]
2008/07/22 登録

危険度：中
影響を受けるバージョン：1.6.3、1.7
影響を受ける環境：UNIX、Linux、Windows
回避策：1.7.0以降へのバージョンアップ

▽MoinMoin─────────────────────────────
MoinMoinは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。 [更新]
2008/02/20 登録

危険度：中
影響を受けるバージョン：1.5.8以前、1.6.1以前
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

＜その他の製品＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━
▽CoolPlayer+ Portable───────────────────────
CoolPlayer+ Portableは、細工された.m3uプレイリストファイルを開くことでスタックベースのバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性がある。
2009/04/22 登録

危険度：高
影響を受けるバージョン：2.19.1
影響を受ける環境：Windows
回避策：公表されていません

▽HP StorageWorks Storage Mirroring────────────────
HP StorageWorks Storage Mirroringは、リモートの攻撃者にシステム上で任意のコードを実行されるセキュリティホールが存在する。なお、これ以上の詳細は公表されていない。 [更新]
2009/04/21 登録

危険度：
影響を受けるバージョン：5.1.1.1090.15未満
影響を受ける環境：Windows
回避策：5.1.1.1090.15以降へのバージョンアップ

▽IBM BladeCenter─────────────────────────
IBM BladeCenterは、ユーザ入力を適切にチェックしていないことが原因で複数のセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクロスサイトスクリプティングやクロスサイトRequest Forgeryを実行される可能性がある。 [更新]
2009/04/10 登録

危険度：中
影響を受けるバージョン：1.42
影響を受ける環境：IBM BladeCenter
回避策：ベンダの回避策を参照

＜UNIX共通＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽NotFTP──────────────────────────────
NotFTPは、細工されたURLリクエストをconfig.phpスクリプトに送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebサーバ上で任意のコードを実行される可能性がある。
2009/04/22 登録

危険度：中
影響を受けるバージョン：1.3.1
影響を受ける環境：UNIX、Linux
回避策：公表されていません

▽Horde IMP / Horde Groupware Webmail Edition───────────
Horde IMPおよびHorde Groupware Webmail Editionは、細工されたPGPキーによってセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にスプーフィング攻撃を実行される可能性がある。[更新]
2009/04/21 登録

危険度：中
影響を受けるバージョン：Horde Groupware Webmail Edition 1.1、Horde IMP 4.3.2
影響を受ける環境：UNIX、Linux
回避策：ベンダの回避策を参照

▽Enhanced CTorrent / DTorrent───────────────────
Enhanced CTorrent / DTorrentは、細工されたtorrentファイルによってスタックベースのバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性がある。 [更新]
2009/04/21 登録

危険度：高
影響を受けるバージョン：CTorrent 1.3.4、DTorrent 3.3.2
影響を受ける環境：UNIX、Linux
回避策：公表されていません

▽Xpdf───────────────────────────────
Xpdfは、細工されたPDFファイルによって複数のセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行される可能性がある。 [更新]
2009/04/20 登録

危険度：
影響を受けるバージョン：3.02
影響を受ける環境：UNIX、Linux
回避策：ベンダの回避策を参照

▽CUPS───────────────────────────────
CUPSは、細工されたTIFFファイルを開くことでヒープベースのバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性がある。 [更新]
2009/04/20 登録

危険度：高
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux
回避策：ベンダの回避策を参照

＜SunOS/Solaris＞━━━━━━━━━━━━━━━━━━━━━━━━━━
▽OpenSolaris───────────────────────────
OpenSolarisは、DoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者にカーネルパニックを引き起こされる可能性がある。
2009/04/22 登録

危険度：
影響を受けるバージョン：snv_108未満
影響を受ける環境：OpenSolaris
回避策：ベンダの回避策を参照

＜Linux共通＞━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Git───────────────────────────────
Debianアーキテクチャ上で動作するGitは、権限を昇格されるセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者に任意のファイルを改ざんされる可能性がある。
2009/04/22 登録

危険度：
影響を受けるバージョン：
影響を受ける環境：Linux
回避策：ベンダの回避策を参照

▽udev───────────────────────────────
udevは、細工されたNETLINKメッセージを送ることでセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者に権限を昇格される可能性がある。 [更新]
2009/04/17 登録

危険度：高
影響を受けるバージョン：
影響を受ける環境：Linux、Windows
回避策：ベンダの回避策を参照

＜リリース情報＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Firefox 3.x 系──────────────────────────
Firefox 3.0.9がリリースされた。
http://www.mozilla.org/products/firefox/

▽Lunascape────────────────────────────
Lunascape 5.0.4がリリースされた。
http://www.lunascape.jp

▽Becky! Internet Mail───────────────────────
Becky! Internet Mail 2.50.07がリリースされた。
http://www.rimarts.co.jp/becky-j.htm

▽Linux kernel 2.6.x 系──────────────────────
Linux kernel 2.6.30-rc3がリリースされた。
http://www.kernel.org/

＜セキュリティトピックス＞ ━━━━━━━━━━━━━━━━━━━━━
▽トピックス
迷惑メール相談センター、『撃退！チェーンメール』データ公開　更新
http://www.dekyo.or.jp/soudan/chain/report/index.html

▽トピックス
トレンドマイクロ、Trend Micro LeakProof Virtual Appliance 3.1 公開とサポート開始のお知らせ
http://www.trendmicro.co.jp/support/news.asp?id=1246

▽トピックス
トレンドマイクロ、ウイルスバスター2009
プログラムバージョン17.10 ビルド1251 公開のお知らせ
http://www.trendmicro.co.jp/support/news.asp?id=1244

▽トピックス
シマンテック、環境に柔軟に対応し、スパム接続を遮断する Symantec Brightmail Gateway 8.0
http://www.symantec.com/ja/jp/about/news/release/article.jsp?prid=20090421_01

▽トピックス
au、システムメンテナンスについて
http://www.au.kddi.com/news/au_top/information/au_info_20090422092915.html

▽トピックス
NTTデータ・セキュリティ、Linux Kernel 2.6 のudevの脆弱性に関する検証レポートを公開
http://www.nttdata-sec.co.jp/article/vulner/pdf/report20090421.pdf

▽トピックス
日立とNTTファシリティーズがデータセンターの省電力運用管理基盤システムを開発
http://www.ntt-f.co.jp/news/heisei21/h21-0421.html

▽トピックス
マイクロソフト、「Microsoft(R) Windows Server(R) 2008 Foundation」を提供開始
http://www.microsoft.com/japan/presspass/detail.aspx?newsid=3675

▽トピックス
マイクロソフト、「Microsoft(R) Office Professional 2007 アカデミック Microsoft Office 20周年記念優待パッケージ」を4月24日(金)より発売
http://www.microsoft.com/japan/presspass/detail.aspx?newsid=3673

▽トピックス
フォーティネットジャパン、メジャーバージョンアップ「FortiOS 4.0」を発表
http://www.fortinet.co.jp/news/pr/2009/pr042209.html

▽サポート情報
トレンドマイクロ、ウイルスパターンファイル：5.977.00 (04/22)
http://jp.trendmicro.com/jp/support/download/pattern/index.html

▽サポート情報
アンラボ、V3 / SpyZero 緊急アップデート情報
http://japan.ahnlab.com/news/view.asp?seq=4066

◆アップデート情報◆
───────────────────────────────────
●Debianがgit-coreおよびslurm-llnlのアップデートをリリース
───────────────────────────────────
　Debianがgit-coreおよびslurm-llnlのアップデートをリリースした。このアップデートによって、それぞれの問題が修正される。

Debian Security Advisory
http://www.debian.org/security/

───────────────────────────────────
●SuSE LinuxがSecurity Summary Reportをリリース
───────────────────────────────────
　SuSE LinuxがSecurity Summary Reportをリリースした。Summary Reportには、複数の問題の修正が含まれる。

SuSe Security Announcement
http://www.suse.de/de/security/

───────────────────────────────────
●Turbolinuxがflash-playerのアップデートをリリース
───────────────────────────────────
　Turbolinuxがflash-playerのアップデートをリリースした。このアップデートによって、flash-playerにおける複数の問題が修正される。

Turbolinux Security Center
http://www.turbolinux.co.jp/security/

───────────────────────────────────
●RedHat Linuxがfirefoxのアップデートをリリース
───────────────────────────────────
　RedHat Linuxがfirefoxのアップデートパッケージをリリースした。このアップデートによって、firefoxにおける複数の問題が修正される。

RedHat Linux Support
https://rhn.redhat.com/errata/rhel-server-errata.html

───────────────────────────────────
●Slackwareがudevのアップデートをリリース
───────────────────────────────────
　Slackwareがudevのアップデートをリリースした。このアップデートによって、udevにおける複数の問題が修正される。

Slackware Security Advisories
http://www.slackware.com/security/list.php?l=slackware-security&y=2008

───────────────────────────────────
●RedHat Fedoraが複数のアップデートをリリース
───────────────────────────────────
　RedHat Fedoraがcups、xpdf、moinのアップデートパッケージをリリースした。このアップデートによって、それぞれの問題が修正される。

RedHat Fedora fedora-package-announce
https://www.redhat.com/archives/fedora-package-announce/index.html

《ScanNetSecurity》