2009/07/23

記事一覧へ >>

　7月19日までに明らかになったぜい弱性情報のうち，気になるものを紹介します。それぞれ，ベンダーなどの情報を参考に対処してください。

マイクロソフトOffice Webコンポーネントのぜい弱性（2009/07/13）

　Webブラウザ上でマイクロソフトOfficeアプリケーションの一部を利用できる環境をユーザーに提供するOffice Webコンポーネント（OWC: Office Web Components）にぜい弱性（CVE-2009-1136）が存在します。アドバイザリ973472では，ぜい弱性を悪用するコードを用いた侵害活動が行われていることから，回避策としてOWCのActiveXコントロールがInternet Explorerで実行されないよう設定するツール「Microsoft Fix it 50291（写真1）」の利用を推奨しています。

マイクロソフトのSecurity Research & Defenseブログによれば，影響を受けるコンポーネントOWC10，OWC11は，表1に示すソフトウエアの導入によってインストールされるとしています。

表1●OWC10，OWC11のインストール経路

　影響を受けるコンポーネントOWC10，OWC11がインストールされているかどうかを確認する方法としては，次のような方法があります。

1. レジストリの中に，「{0002E541-0000-0000-C000-000000000046}」「{0002E559-0000-0000-C000-000000000046}」のいずれかのクラス識別子が登録されている場合には，コンポーネントはインストールされている（写真2）
2. ファイル検索で，OWC10.DLL，OWC11.DLLのいずれかのファイルが見つかった場合には，コンポーネントはインストールされている（写真3）

[参考情報]

• アドバイザリ973472：Microsoft Office Web コンポーネントのぜい弱性により，リモートでコードが実行される
• 回避策を有効にするMicrosoft Fix it 50291
• More information about the Office Web Components ActiveX vulnerability
• 日本シーサート協議会：インシデント情報活用フレームワーク検討WG，cNotes: Current Status Notes

マイクロソフト2009年７月の月例セキュリティアップデート（2009/07/15）

　7月の月例セキュリティアップデートでは，5月下旬に報告されたDirectShowのぜい弱性（MS09-028），7月上旬に報告されたVideo ActiveXコントロールのぜい弱性（MS09-032）を含む6項目のセキュリティ問題を解決しています。このうち，攻撃者の用意した任意のコードを実行されてしまうぜい弱性を除去するセキュリティアップデートは，「MS09-028：Microsoft DirectShowのぜい弱性」「MS09-029：Embedded OpenTypeフォントエンジンのぜい弱性」「MS09-030：Microsoft Office Publisherのぜい弱性」「MS09-032：ActiveXのKill Bitの累積的なセキュリティ更新プログラム」の4項目です。

[参考情報]

2009 年7月のセキュリティ情報

オラクル2009年7月の四半期セキュリティアップデート（2009/07/15）

　複数のオラクル製品とそのコンポーネントに複数のぜい弱性が確認されました。Oracle Critical Patch Update - July 2009には，Oracle Database系で12件，Oracle Application Server系で2件，計30件のセキュリティアップデートが含まれています。

　これらのぜい弱性は，該当するシステム上でのリモート攻撃者による任意のコード実行，情報の不正取得，サービス運用妨害などの影響を伴う可能性があります。オラクル製品の多くが，オラクル製品自身ならびにコンポーネントの取り込みや共有を行っているため，一つのぜい弱性がいろいろな製品やコンポーネントに影響を与えるので注意が必要です。

[参考情報]

Critical Patch Update - July 2009

Firefox 3.5.1リリース（2009/07/16）

　Firefox 3.5のJavaScriptを処理するジャストインタイム（JIT: Just-in-time）コンパイラに悪質なコード実行に利用される可能性のあるぜい弱性が存在します。Firefox 3.5.1では，このセキュリティ問題を解決しています。回避策として，ジャストインタイム（JIT: Just-in-time）コンパイラ機能の無効化が示されていますが，性能にも影響するとしていますので，Firefox 3.5.1へのアップデートを進めてください。

[参考情報]

Firefox 3.5 セキュリティアドバイザリ

シスコCisco Unified Contact Center Expressに複数のぜい弱性（2009/07/16）

　コンタクト・センター業務の支援を実現するソリューションであるCisco Unified Contact Center Expressの管理用Webページにディレクトリ・トラバーサルとコマンド・インジェクションのぜい弱性（CVE-2009-2047，CVE-2009-2048）が確認されました。

[参考情報]

cisco-sa-20090715-uccx: Vulnerabilities in Unified Contact Center Express Administration Pages

Cyber Security Bulletin SB09-194（2009/07/13）

　7月6日の週に報告されたぜい弱性の中から，Apacheの圧縮モジュールmod_deflateのぜい弱性について紹介します（Vulnerability Summary for the Week of July 6, 2009）。

■Apacheの圧縮モジュールmod_deflateにサービス運用妨害を伴うぜい弱性（2009/06/28）

　DEFLATEは，RFC1951で規定されているデータ圧縮方法です。Apacheモジュールmod_deflateは，サーバーからの出力をクライアントに送信する前にこの圧縮方法を適用するフィルタ機能を提供します。Apache httpd 2.2.11とそれ以前で提供されているmod_deflateには，10Mバイト以上のファイルアクセスにおいて，該当するネットワーク通信が終了した後でも，圧縮が完了するまで圧縮処理を継続するという問題（CVE-2009-1891）が存在します。このぜい弱性を悪用された場合，CPU資源に対するサービス運用妨害を伴う可能性があります。

[参考情報]

• Apache モジュール mod_deflate
• CVE-2009-1891

---

『HIRT（Hitachi Incident Response Team）とは』

HIRTは，日立グループのCSIRT連絡窓口であり，ぜい弱性対策，インシデント対応に関して，日立グループ内外との調整を行う専門チームです。ぜい弱性対策とはセキュリティに関するぜい弱性を除去するための活動，インシデント対応とは発生している侵害活動を回避するための活動です。HIRTでは，日立の製品やサービスのセキュリティ向上に関する活動に力を入れており，製品のぜい弱性対策情報の発信やCSIRT活動の成果を活かした技術者育成を行っています。