セキュリティホール情報＜2009/12/15＞

以下のセキュリティホール情報は、日刊メールマガジン「Scan Daily Express」の見出しのみを抜粋したものです。
「Scan Daily Express」では、全文とセキュリティホールの詳細へのリンクURLをご覧いただけます。

脆弱性と脅威セキュリティホール・脆弱性

2009年12月15日（火） 15時15分

以下のセキュリティホール情報は、日刊メールマガジン「Scan Daily Express」の見出しのみを抜粋したものです。
「Scan Daily Express」では、全文とセキュリティホールの詳細へのリンクURLをご覧いただけます。

★ お申込みはこちら ★
https://www.netsecurity.ne.jp/14_3683.html

＜プラットフォーム共通＞ ━━━━━━━━━━━━━━━━━━━━━━
▽Acc Autos────────────────────────────
Acc Autosは、ダイレクトリクエストを送ることで機密情報を奪取されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベースバックアップをダウンロードされる可能性がある。
2009/12/15 登録

危険度：中
影響を受けるバージョン：5.0
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Million Pixel Script───────────────────────
Million Pixel Scriptは、index.phpスクリプトがユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。
2009/12/15 登録

危険度：中
影響を受けるバージョン：3
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Digital Scribe──────────────────────────
Digital Scribeは、細工されたSQLステートメントを送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2009/12/15 登録

危険度：中
影響を受けるバージョン：1.4.1
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Flash Video E-Cards───────────────────────
Flash Video E-Cardsは、index.phpスクリプトがユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。
2009/12/15 登録

危険度：中
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Ele Medios────────────────────────────
Ele Mediosは、細工されたSQLステートメントをnoticias.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2009/12/15 登録

危険度：中
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽eoCMS──────────────────────────────
eoCMSは、細工されたURLリクエストをbbcode-form.phpスクリプトに送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebサーバ上で任意のコードを実行される可能性がある。
2009/12/15 登録

危険度：中
影響を受けるバージョン：0.9.03
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Acc PHP eMail──────────────────────────
Acc PHP eMailは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトrequest forgeryを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebキャッシュを汚染されたりクロスサイトスクリプティングを実行される可能性がある。
2009/12/15 登録

危険度：中
影響を受けるバージョン：1.1
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽AccStatistics──────────────────────────
AccStatisticsは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトrequest forgeryを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebキャッシュを汚染されたりクロスサイトスクリプティングを実行される可能性がある。
2009/12/15 登録

危険度：中
影響を受けるバージョン：1.1
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽ArticleMS────────────────────────────
ArticleMSは、細工されたSQLステートメントをindex.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2009/12/15 登録

危険度：中
影響を受けるバージョン：2.0
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Next Generation of Genealogy Sitebuilding────────────
Next Generation of Genealogy Sitebuildingは、searchform.phpスクリプトがユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。
2009/12/15 登録

危険度：中
影響を受けるバージョン：7.1.2
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Piwigo──────────────────────────────
Piwigoは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトrequest forgeryを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebキャッシュを汚染されたりクロスサイトスクリプティングを実行される可能性がある。
2009/12/15 登録

危険度：中
影響を受けるバージョン：2.0.6
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Ez Cart─────────────────────────────
Ez Cartは、index.phpスクリプトがユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。
2009/12/15 登録

危険度：中
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽SAP sapstartsrv─────────────────────────
SAP sapstartsrvは、細工されたデータをWeb SAP Management Console interface (sapstartsrv) に送ることでDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にサービスをクラッシュされる可能性がある。 [更新]
2009/12/14 登録

危険度：低
影響を受けるバージョン：SAP Kernel 6.40、7.00、7.01、7.10、7.11、7.20
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽Moodle──────────────────────────────
Moodleは、TeXフィルタがユーザ入力を適切にチェックしていないことが原因で機密情報を奪取されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にmoodle設定ファイルなどの機密ファイルを奪取される可能性がある。 [更新]
2009/12/14 登録

危険度：中
影響を受けるバージョン：1.8.11未満、1.9.7未満
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽Uiga Church Portal────────────────────────
Uiga Church Portalは、複数のセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクロスサイトスクリプティングを実行されたり機密情報を奪取される可能性がある。 [更新]
2009/12/14 登録

危険度：高
影響を受けるバージョン：2009-12-04
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽oBlog──────────────────────────────
oBlogは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトrequest forgeryを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebキャッシュを汚染されたりクロスサイトスクリプティングを実行される可能性がある。 [更新]
2009/12/14 登録

危険度：中
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Nuggetz─────────────────────────────
Nuggetzは、ユーザ入力を適切にチェックしていないことが原因で任意のファイルをアップロードされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のPHPコードを実行される可能性がある。 [更新]
2009/12/14 登録

危険度：中
影響を受けるバージョン：1.0
影響を受ける環境：UNIX、Linux、Windows
回避策：1.0.1以降へのバージョンアップ

▽ZeeJobSite────────────────────────────
ZeeJobSiteは、basic_search_result.phpスクリプトがユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。[更新]
2009/12/14 登録

危険度：中
影響を受けるバージョン：3.0
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Zen Cart─────────────────────────────
Zen Cartは、extras/curltest.phpが適切なチェックを行っていないことが原因で任意のファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者に機密情報を奪取される可能性がある。 [更新]
2008/12/14 登録

危険度：中
影響を受けるバージョン：1.3.8a
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

＜Microsoft＞━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Windows Media Player / Internet Explorer─────────────
Windows Media PlayerおよびInternet Explorerは、細工されたHTMLによってセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行される可能性がある。[更新]
2009/12/10 登録

危険度：高
影響を受けるバージョン：
影響を受ける環境：Windows
回避策：ベンダの回避策を参照

＜その他の製品＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━
▽TANDBERG MXP FIPS140───────────────────────
TANDBERG MXP FIPS140は、複数のURQリクエストを送ることでDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデバイスを再起動される可能性がある。
2009/12/15 登録

危険度：低
影響を受けるバージョン：F6.3、F7.2、F8.0、F8.2
影響を受ける環境：TANDBERG MXP FIPS140
回避策：公表されていません

▽Kiwi Syslog Server────────────────────────
Kiwi Syslog Serverは、複数のセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者に機密情報を奪取される可能性がある。[更新]
2009/12/14 登録

危険度：中
影響を受けるバージョン：9.0.3
影響を受ける環境：Windows
回避策：公表されていません

＜UNIX共通＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽ZABBIX──────────────────────────────
ZABBIXは、zbx_get_next_field () 機能のNULL pointer dereferenceが原因でDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にアプリケーションをクラッシュされる可能性がある。
2009/12/15 登録

危険度：高
影響を受けるバージョン：1.6
影響を受ける環境：UNIX、Linux
回避策：1.8以降へのバージョンアップ

▽ZeeLyrics────────────────────────────
ZeeLyricsは、searchresults_main.phpスクリプトがユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。
2009/12/15 登録

危険度：中
影響を受けるバージョン：3
影響を受ける環境：UNIX、Linux
回避策：公表されていません

▽BIND───────────────────────────────
BINDは、recursiveクライアントクエリレスポンスのadditionalセクションからのキャッシュへのDNS recordsの追加が原因でセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にDNSキャッシュを汚染される可能性がある。 [更新]
2009/11/26 登録

危険度：中
影響を受けるバージョン：9.0〜9.4.2
影響を受ける環境：UNIX、Linux
回避策：9.4.3-P3、9.5.0、9.5.1、9.5.2、9.6.0、9.6.1-P1へのバージョンアップ

＜Linux共通＞━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽libsamplerate──────────────────────────
libsamplerateは、細工されたメディアファイルを開くことでバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性がある。
2009/12/15 登録

危険度：高
影響を受けるバージョン：
影響を受ける環境：Linux
回避策：0.1.7以降へのバージョンアップ

▽Linux Kernel───────────────────────────
Linux Kernelは、"EXT4_IOC_MOVE_EXT" IOCTLを処理する際に適切なアクセス制限を行っていないことが原因でセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者にDoS攻撃を受けたり権限を昇格される可能性がある。 [更新]
2009/12/14 登録

危険度：
影響を受けるバージョン：2.6.x
影響を受ける環境：Linux
回避策：ベンダの回避策を参照

▽JBoss Enterprise Application Platform──────────────
JBoss Enterprise Application Platformは、JMXパスワードを'twiddle.log'ファイルにプレーンテキストで記録することが原因でセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者にパスワードを奪取される可能性がある。 [更新]
2009/12/11 登録

危険度：中
影響を受けるバージョン：4.2、4.3
影響を受ける環境：Linux
回避策：ベンダの回避策を参照

＜SunOS/Solaris＞━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Sun Ray Server──────────────────────────
Sun Ray Serverは、ログアウト時のエラーが原因でセキュリティ制限を回避されるセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者にシステムへの無許可のアクセスを実行される可能性がある。
2009/12/15 登録

危険度：中
影響を受けるバージョン：4.1
影響を受ける環境：SunSolaris
回避策：ベンダの回避策を参照

▽Sun Ray Server Software─────────────────────
Sun Ray Server Softwareは、細工されたデータをSun Ray Authentication Manager service (utauthd) に送ることでセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行される可能性がある。 [更新]
2009/12/14 登録

危険度：高
影響を受けるバージョン：4.0、4.1
影響を受ける環境：SunSolaris
回避策：ベンダの回避策を参照

＜リリース情報＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━
▽PostgreSQL 8.4.x 系───────────────────────
PostgreSQL 8.4.2がリリースされた。
http://www.postgresql.org/

▽PostgreSQL 8.3.x 系───────────────────────
PostgreSQL 8.3.9がリリースされた。
http://www.postgresql.org/

▽PostgreSQL 8.2.x 系───────────────────────
PostgreSQL 8.2.15がリリースされた。
http://www.postgresql.org/

▽PostgreSQL 8.1.x 系───────────────────────
PostgreSQL 8.1.19がリリースされた。
http://www.postgresql.org/

▽PostgreSQL 8.0.x 系───────────────────────
PostgreSQL 8.0.23がリリースされた。
http://www.postgresql.org/

▽ImpressCMS────────────────────────────
ImpressCMS 1.2がリリースされた。
http://www.impresscms.org/

▽GNUStep LiveCD──────────────────────────
GNUStep LiveCD 2.0がリリースされた。
http://livecd.gnustep.org/

▽Weave──────────────────────────────
Weave 1.0ベータ3がリリースされた。
http://mozillalabs.com/weave

▽Linux kernel 2.6.x 系──────────────────────
Linux kernel 2.6.32-git11がリリースされた。
http://www.kernel.org/

▽Linux kernel 2.6.x 系──────────────────────
Linux kernel 2.6.32.1がリリースされた。
http://www.kernel.org/

▽Linux kernel 2.6.x 系──────────────────────
Linux kernel 2.6.31.8がリリースされた。
http://www.kernel.org/

＜セキュリティトピックス＞ ━━━━━━━━━━━━━━━━━━━━━
▽トピックス
総務省、クラウドコンピューティング時代のデータセンター活性化策に関する検討会（第3回会合）
http://www.soumu.go.jp/main_sosiki/joho_tsusin/policyreports/joho_tsusin/kaisai/22492.html

▽トピックス
@police、インターネット治安情勢更新(平成21年10月報を追加)(12/14)
http://www.cyberpolice.go.jp/detect/

▽トピックス
IPA/ISEC、対策のしおりシリーズ(7)「電子メール利用時の危険対策のしおり」を公開
http://www.ipa.go.jp/security/antivirus/shiori.html

▽トピックス
トレンドマイクロ、最新のセキュリティ情報を「Twitter」で提供開始
http://jp.trendmicro.com/jp/about/news/pr/article/20091209025418.html

▽トピックス
エフセキュアブログ、セキュリティ脅威予想2010
http://blog.f-secure.jp/archives/50315183.html

▽トピックス
NTTドコモ、【回復】FOMAの一部サービスがご利用できない状況について（2009年12月15日午前9時30分更新）
http://www.nttdocomo.co.jp/info/network/kanto/pages/091215_1_d.html

▽トピックス
au、au Music Port提供終了のお知らせ
http://www.au.kddi.com/customer/lismo/support/information/info_20091215.html

▽トピックス
au、システムメンテナンスについて
http://www.notice.kddi.com/news/mainte/content/syougai/au_04_00004550.html

▽トピックス
NTTコミュニケーションズ、落雷予測サービスの実証実験について
http://www.ntt.com/release/monthNEWS/detail/20091214.html

▽トピックス
KDDI、ビジネスケータイフィルタリングサービス「メールフィルター一括設定」の提供開始について
http://www.kddi.com/corporate/news_release/2009/1214/index.html

▽トピックス
チェック・ポイント、Mac OS X Snow Leopard に対応したフルディスク暗号化製品をエンドポイント・セキュリティ・ソリューション群に追加
http://www.checkpoint.co.jp/pr/2009/20091214fde-snow-leopard.html

▽トピックス
ノベル、ディザスタリカバリ・バックアップ製品「PlateSpin Protect 8.1」を発表
http://www.novell.com/ja-jp/

▽トピックス
ラティスと日立ソフト、SaaS型3Dデータセキュリティサービス「活文デジ活ガード」を提供
http://www.lattice.co.jp/ja/news/press/2009_1215_press.html

▽トピックス
日本ラッド、セキュリティパッケージ「Apani EpiForce」の国内販売を開始
http://www.nippon-rad.co.jp/

▽トピックス
エムコマース、Windows7対応！　情報漏えい対策ソフト『ポートセキュリティ　シリーズIV』のダウンロード提供開始
http://www.m-commercekk.jp/dl_data/release_ps4_win7_091214.pdf

▽サポート情報
トレンドマイクロ、ウイルスパターンファイル：6.691.80 (12/15)
http://jp.trendmicro.com/jp/support/download/pattern/full/

▽サポート情報
アンラボ、V3 緊急アップデート情報
http://www.ahnlab.co.jp/securityinfo/update_info_view.asp?seq=4496&pageNo=1&news_gu=04

▽統計・資料
JPNIC、IPアドレスに関する統計のグラフを更新
http://www.nic.ad.jp/ja/stat/ip/

▽統計・資料
JPNIC、JPNICが管理するIPアドレス・AS番号・IRRサービスに関する統計を更新
http://www.nic.ad.jp/ja/stat/ip/20091214.html

▽ウイルス情報
シマンテック、Trojan.Pidief.H
http://www.symantec.com/norton/security_response/writeup.jsp?docid=2009-121422-3337-99

▽ウイルス情報
マカフィー、BackDoor-DOQ.gen.y
http://www.mcafee.com/japan/security/virB.asp?v=BackDoor-DOQ.gen.y

▽ウイルス情報
マカフィー、W32/Sdbot.worm!fn
http://www.mcafee.com/japan/security/virS.asp?v=W32/Sdbot.worm%21fn

◆アップデート情報◆
───────────────────────────────────
●Turbolinuxが複数のアップデートをリリース
───────────────────────────────────
　Turbolinuxがbind、base-email、dovecotのアップデートをリリースした。このアップデートによって、それぞれの問題が修正される。

Turbolinux Security Center
http://www.turbolinux.co.jp/security/

《ScanNetSecurity》