セキュリティホール情報＜2009/11/13＞

以下のセキュリティホール情報は、日刊メールマガジン「Scan Daily Express」の見出しのみを抜粋したものです。
「Scan Daily Express」では、全文とセキュリティホールの詳細へのリンクURLをご覧いただけます。

★ お申込みはこちら ★
https://www.netsecurity.ne.jp/14_3683.html

＜プラットフォーム共通＞ ━━━━━━━━━━━━━━━━━━━━━━
▽Apple Safari───────────────────────────
Appleは、Safariのアップデートを公開した。このアップデートにより、複数のセキュリティホールが修正される。
2009/11/13 登録

危険度：高
影響を受けるバージョン：4
影響を受ける環境：Mac OS X
回避策：4.0.4以降へのバージョンアップ

▽UseBB──────────────────────────────
UseBBは、細工されたBBcodeによってDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にアプリケーションを無限ループ状態にされる可能性がある。
2009/11/13 登録

危険度：低
影響を受けるバージョン：0.5.1、0.5.1a、0.6、0.6a、0.7、1.0.7、1.0.9
影響を受ける環境：UNIX、Linux、Windows
回避策：1.0.10以降へのバージョンアップ

▽WordPress────────────────────────────
WordPressは、細工されたHTTPリクエストを送ることで悪意あるPHPスクリプトをアップロードされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のPHPコードを実行される可能性がある。
2009/11/13 登録

危険度：低
影響を受けるバージョン：2.8、2.8.1、2.8.2、2.8.3、2.8.4、2.8.5
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Web Services module for Drupal──────────────────
Web Services module for Drupalは、特定されていないエラーが原因でセキュリティ制限を回避されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者に不正なアクセスを実行される可能性がある。
2009/11/13 登録

危険度：中
影響を受けるバージョン：6.x
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽AddToAny module for Drupal────────────────────
AddToAny module for Drupalは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。
2009/11/13 登録

危険度：中
影響を受けるバージョン：5.x-1.0〜2.3、6.x-1.0〜2.3
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽RootCandy theme for Drupal────────────────────
RootCandy theme for Drupalは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。
2009/11/13 登録

危険度：中
影響を受けるバージョン：6.x-1.0〜1.4
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽CuteNews─────────────────────────────
CuteNewsは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。 [更新]
2009/11/12 登録

危険度：中
影響を受けるバージョン：1.4.6
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽Sun Java SE───────────────────────────
Sun Java SEは、SwingインプリメンテーションのWindows Pluggable Look and Feel (PL&F) 機能に特定されていない複数のセキュリティホールが存在する。この問題は、攻撃者に悪用される可能性がある。 [更新]
2009/11/12 登録

危険度：高
影響を受けるバージョン：1.1.5.0 Update1〜21、1.1.6.0 Update1〜16
影響を受ける環境：UNIX、Linux、Windows
回避策：1.5.0_22あるいは1.6.0_17 (6u17) 以降へのバージョンアップ

▽Transport Layer Securityプロトコル────────────────
SSLを含むTransport Layer Security（TLS）プロトコルの複数のインプリメンテーションは、TLSハンドシェイクネゴシエーションの間にクライアント証明書の認証を適切に処理していないことが原因でセキュリティホールが存在する。この問題は、リモートの攻撃者にさらなる攻撃に悪用される可能性がある。 [更新]
2009/11/06 登録

危険度：中
影響を受けるバージョン：Apache 2.2.8、2.2.9、Microsoft IIS 7.0、7.5
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Sun Java Runtime Environment───────────────────
Sun Java Runtime Environment（JRE）は、細工されたオーディオファイルやイメージファイルを含むJavaアプレットやJava Web Startアプリケーションによって整数オーバーフローやバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者に任意のアプリケーションを実行される可能性がある。[更新]
2009/11/05 登録

危険度：高
影響を受けるバージョン：6 Update 16以前、5.0 Update 21以前、1.4.2_23以前、1.3.1_26以前
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

＜Microsoft＞━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Microsoft Windows────────────────────────
Microsoft Windowsは、KeAccumulateTicks () 機能のエラーが原因でDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にカーネルをクラッシュされる可能性がある。
2009/11/13 登録

危険度：低
影響を受けるバージョン：7、Server 2008 R2
影響を受ける環境：Windows
回避策：4.0.4以降へのバージョンアップ

＜その他の製品＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Citrix製品────────────────────────────
複数のCitrix製品は、SSL再ネゴシエーション時にMan-in-the-Middle攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者に悪意あるファイルを追加される可能性がある。
2009/11/13 登録

危険度：
影響を受けるバージョン：Citrix Licensing 11.5、11.6、EdgeSight for XenApp 5.0、5.1、5.2、Password Manager 4.6、Presentation Server 4.5 for Windows Server 2003、Secure Gateway 3.1、Web Interface 5.1、5.2、XenApp 5.0 for Windows Server 2003 x64、x86、XenApp 5.0 for Windows Server 2008 x64、x86、XenApp Fundamentals 3.0、XenApp Plug-in for Windows (32/64 Bit)、XenDesktop 3.0 x32、4.0 x32
影響を受ける環境：Windows
回避策：ベンダの回避策を参照

▽Novell eDirectory────────────────────────
Novell eDirectoryは、過度に長いストリングを含む細工されたhttpリクエストを送ることでバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行される可能性がある。
2009/11/13 登録

危険度：高
影響を受けるバージョン：8.8 SP5 Windows、8.8、8.8.1、8.8.2
影響を受ける環境：Windows
回避策：ベンダの回避策を参照

▽Yahoo! Messenger ActiveX control─────────────────
Yahoo! Messenger ActiveX control（YahooBridgeLib.dll）は、細工されたWebページを開くことでnull-pointer dereferenceエラーを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にアプリケーションをクラッシュされる可能性がある。
2009/11/13 登録

危険度：低
影響を受けるバージョン：9.0、9.0.0.2162
影響を受ける環境：Windows
回避策：公表されていません

▽HP ProCurve Switch────────────────────────
HP ProCurve Switchは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。
2009/11/13 登録

危険度：中
影響を受けるバージョン：2524、5308XL
影響を受ける環境：HP ProCurve Switch
回避策：公表されていません

▽McAfee Network Security Manager─────────────────
McAfee Network Security Managerは、正当なユーザのセッションを乗っ取られるセキュリティホールが存在する。この問題は、リモートの攻撃者にさらなる攻撃に悪用される可能性がある。
2009/11/13 登録

危険度：中
影響を受けるバージョン：5.1.7.7
影響を受ける環境：Intrushield NSM
回避策：公表されていません

▽IBM BladeCenter─────────────────────────
IBM BladeCenterは、Advanced Management Module（AMM）に複数のセキュリティホールが存在する。この問題は、攻撃者に悪用される可能性がある。[更新]
2009/11/11 登録

危険度：中
影響を受けるバージョン：1.42、2.46、2.48、2.50C
影響を受ける環境：IBM BladeCenter
回避策：ベンダの回避策を参照

＜UNIX共通＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Christos Zoulas' file──────────────────────
Christos Zoulas' fileは、細工されたcompound document (cdf) を開くことで整数オーバーフローによるバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性がある。
2009/11/13 登録

危険度：高
影響を受けるバージョン：5.01
影響を受ける環境：UNIX、Linux
回避策：5.02以降へのバージョンアップ

▽GIMP───────────────────────────────
GIMPは、細工されたBMPファイルを開くことでヒープベースのバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性がある。
2009/11/13 登録

危険度：高
影響を受けるバージョン：2.6.7
影響を受ける環境：UNIX、Linux
回避策：ベンダの回避策を参照

▽Poppler─────────────────────────────
Popplerは、細工されたPDFファイルを開くことでバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性がある。 [更新]
2009/11/12 登録

危険度：高
影響を受けるバージョン：0.10.6
影響を受ける環境：UNIX、Linux
回避策：公表されていません

▽OpenLDAP─────────────────────────────
OpenLDAPは、tls_o.cがCA証明書を適切にチェックしていないことが原因でセキュリティ制限を回避されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にman-in-the-middleによって偽アドレスのSSLサーバ証明書を受け入れてしまう可能性がある。 [更新]
2009/10/27 登録

危険度：中
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux
回避策：ベンダの回避策を参照

▽BibTeX──────────────────────────────
BibTeXは、細工された.bibファイルを開くことでセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性ある。[更新]
2009/04/03 登録

危険度：高
影響を受けるバージョン：1.91、1.92
影響を受ける環境：UNIX、Linux
回避策：公表されていません

＜Linux共通＞━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Linux Kernel───────────────────────────
Linux Kernelは、KeAccumulateTicks () 機能のエラーが原因でDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にカーネルをクラッシュされる可能性がある。
2009/11/13 登録

危険度：低
影響を受けるバージョン：2.6.0〜2.6.31 rc5
影響を受ける環境：Linux
回避策：2.6.31.6以降へのバージョンアップ

＜SunOS/Solaris＞━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Sun Solaris───────────────────────────
Sun Solarisは、Solaris TCPソケットが原因でDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者にコンピュータを応答不能にされる可能性がある。
2009/11/13 登録

危険度：低
影響を受けるバージョン：Sun OpenSolaris build_snv_106〜126
影響を受ける環境：Sun Solaris
回避策：ベンダの回避策を参照

＜リリース情報＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━
▽FreeBSD 8.x 系──────────────────────────
FreeBSD 8.0 RC3がリリースされた。
http://www.freebsd.org/

▽WordPress────────────────────────────
WordPress 2.8.6がリリースされた。
http://ja.wordpress.org/

▽JBoss Enterprise Application Platform──────────────
JBoss Enterprise Application Platform 5.0がリリースされた。
http://www.jp.redhat.com/JBoss/products/platforms/application/

▽Linux kernel 2.6.x 系──────────────────────
Linux kernel 2.6.32-rc7がリリースされた。
http://www.kernel.org/

▽Linux kernel 2.6.x 系──────────────────────
Linux kernel 2.6.32-rc6-git6がリリースされた。
http://www.kernel.org/

＜セキュリティトピックス＞ ━━━━━━━━━━━━━━━━━━━━━
▽トピックス
JVN、SSL および TLS プロトコルに脆弱性
http://jvn.jp/cert/JVNVU120541/

▽トピックス
JVN、Microsoft 製品における複数の脆弱性に対するアップデート [更新]
http://jvn.jp/cert/JVNTA09-314A/

▽トピックス
NICT、広域分散ストレージをリアルタイムに統合運用管理する基盤技術を開発
http://www2.nict.go.jp/pub/whatsnew/press/h21/091112/091112.html

▽トピックス
Dr.WEB、2009年10月のウイルス・スパムレビュー
http://drweb.jp/news/20091112.html

▽トピックス
INTEGO セキュリティ・メモ、iPhoneから個人情報をコピーするハッカーツール
http://www.intego.com/jp/news/ism0908.asp

▽トピックス
ジャストシステム、アンチウイルスソフト「Kaspersky Anti-Virus for Mac」を本日発売
http://www.justsystems.com/jp/products/kasperskymac/

▽トピックス
キングソフト、企業向けライセンスパッケージ「Kingsoft Suite」を、ソフトバンクBB が提供する法人向けSaaS / ASP サービス「TEKI-PAKI」にて販売開始
http://www.kingsoft.jp/company/091113.html

▽トピックス
Panda Security：ブログ、PandaのCEOとCTO、Cloud Antivirus 正式版1.0のリリースについて語る
http://pandajapanblogs.blogspot.com/2009/11/pandaceoctocloud-antivirus-10.html

▽トピックス
NTTドコモ、「T-01A」ソフトウェアアップデートのお知らせ
http://www.nttdocomo.co.jp/support/utilization/software_update/list/t01a/index.html

▽トピックス
NTTドコモ、自動車メーカー3社のカーナビ向けに携帯電話からの目的地情報送信サービスを提供開始
http://www.nttdocomo.co.jp/info/news_release/page/091112_00.html

▽トピックス
NTT東日本、待受情報配信サービスの開発に向けたフィールドトライアルの実施について
http://www.ntt-east.co.jp/release/0911/091112a.html

▽トピックス
マイクロソフト、Windows(R) phone向けアプリケーション配信サービス「Windows Marketplace for Mobile」12月上旬より日本国内で開始
http://www.microsoft.com/japan/presspass/detail.aspx?newsid=3778

▽トピックス
マイクロソフト：ブログ、Microsoft Updateの後にWindows XPが起動しない？？
http://blogs.technet.com/jpsecurity/archive/2009/11/13/3293532.aspx

▽トピックス
デジタルアーツ、「i-フィルター」継続利用キャンペーンを実施
http://www.daj.jp/company/topics/2009/t111201.htm

▽トピックス
富士通システムソリューションズ、「WebSERVE /リモートシンクライアント構築サービス」を提供
http://jp.fujitsu.com/group/fsol/release/20091112.html

▽サポート情報
トレンドマイクロ、ウイルスパターンファイル：6.621.80 (11/13)
http://jp.trendmicro.com/jp/support/download/pattern/full/

▽統計・資料
JPNIC、IPアドレスに関する統計・各種リストを更新
http://www.nic.ad.jp/ja/stat/ip/

▽ウイルス情報
シマンテック、W32.SillyFDC.BDF
http://www.symantec.com/norton/security_response/writeup.jsp?docid=2009-111217-1137-99

▽ウイルス情報
シマンテック、AdShortcuts
http://www.symantec.com/norton/security_response/writeup.jsp?docid=2009-111214-4527-99

▽ウイルス情報
シマンテック、W32.SillyFDC.BDE
http://www.symantec.com/business/security_response/writeup.jsp?docid=2009-111207-5114-99

◆アップデート情報◆
───────────────────────────────────
●MIRACLE Linuxがcoreutilsのアップデートをリリース
───────────────────────────────────
　Miracle Linuxがcoreutilsのアップデートをリリースした。このアップデートによって、coreutilsにおける問題が修正される。

Miracle Linux アップデート情報
http://www.miraclelinux.com/support/update/list.php?category=1

───────────────────────────────────
●Ubuntu Linuxがopenldapのアップデートをリリース
───────────────────────────────────
　Ubuntu Linuxがopenldapのアップデートをリリースした。このアップデートによって、openldapにおける問題が修正される。

Ubuntu Linux
http://www.ubuntu.com/

───────────────────────────────────
●RedHat Fedoraがtexliveのアップデートをリリース
───────────────────────────────────
　RedHat Fedoraがtexliveのアップデートパッケージをリリースした。このアップデートによって、texliveにおける問題が修正される。

RedHat Fedora fedora-package-announce
https://www.redhat.com/archives/fedora-package-announce/index.html