2009年12月20日までに明らかになったぜい弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーなどの情報を参考に対処してください。
Adobe Reader、Acrobatにぜい弱性（2009/12/15）
米アドビ システムズのAdobe Reader 9.2 / Acrobat 9.2 ならびに、それ以前のバージョンに，任意のコード実行につながるぜい弱性が確認されています。セキュリティ・アップデートのリリースは、2010年1月12日を予定しています。経過は次の通りで、既にこのぜい弱性を悪用した侵害活動が確認されています。
12月14日：Shadowserverが、少なくとも12月11日からPDFのぜい弱性を悪用した侵害活動が始まっていることをブログで報告
12月15日：アドビが、「セキュリティ・アドバイザリAPSA09-07: Adobe ReaderおよびAcrobatに関するセキュリティ情報」で、新たに報告されたぜい弱性を調査中であることを報告
セキュリティ・アドバイザリAPSA09-07の回避策では、JavaScriptブラックリスト・フレームワークの利用、JavaScriptの無効化、Microsoft DEP（データ実行防止）の利用のいずれかを推奨しています。
JavaScriptブラックリスト・フレームワークは、Adobe Reader 9.2 / Acrobat 9.2、Adobe Reader 8.1.7 / Acrobat 8.1.7から導入された特定のJavaScript API実行を抑止するための機能です。Windowsの場合には、アドビがセキュリティ・アップデートなどの対応で使用するブラックリストと、Windowsシステムとして使用するブラックリストの2種類があります。いずれもレジストリにオブジェクト名やAPI名を登録する形態となっています。
セキュリティ・アップデートなどの対応で使用するブラックリストの登録レジストリは、HKLM \SOFTWARE \Adobe \
[参考情報]
Firefox 3.5.6ならびに3.0.16リリース（2009/12/16）
Firefox 3.5.6では7件、Firefox 3.0.16では5件のセキュリティ問題を解決しています。
【 任意のコード実行 】
MFSA 2009-65：メモリー破壊の形跡があるクラッシュ（rv:1.9.1.6/1.9.0.16）
MFSA 2009-66：liboggplayメディア・ライブラリにおけるメモリー安全性の修正
MFSA 2009-67：libtheora動画ライブラリにおける整数オーバーフローとクラッシュ
【 サービス不能 】
MFSA 2009-63：メディア・ライブラリの更新によるメモリー安全性問題の修正
【 アクセス権限の昇格 】
MFSA 2009-70：クロームのwindow.openerを通じた特権昇格
【 情報漏えい 】
MFSA 2009-71：GeckoActiveXObjectの例外メッセージを利用したインストール済みCOMオブジェクトの列挙
【 なりすまし 】
MFSA 2009-68：NTLMリフレクションぜい弱性
MFSA 2009-69：ロケーションバー偽装問題
[参考情報]
2009年の締めくくり
2009年5月12日からチェックしておきたいぜい弱性情報で取り上げてきたソフトウエア製品を対象に、2009年12月22日時点での最新バージョン一覧を作成しましたので、バージョンアップなどの検討に活用してください（表1）。なお、バージョンを適切にリストアップできなかった製品は除外しています。
表1●チェックしておきたいぜい弱性情報で取り上げてきたソフトウエア製品の最新バージョン
| ソフトウエア製品名 | 最新バージョン |
|---|---|
| Adobe AIR | 1.5.3 |
| Adobe Flash Player | 10.0.42.34、9.0.260 |
| Adobe Shockwave Player | 11.5.2.602 |
| Adobe Reader Adobe Acrobat | 9.2、8.1.7 2010年1月12日にセキュリティ・アップデートが予定されています。 |
| Apache HTTPd | 2.2.14、2.0.63、1.3.41 |
| Apple QuickTime | 7.6.5（Windows）、7.6.4（Mac） |
| BIND | 9.6.1-P2、9.5.2-P1、9.4.3-P4 |
| JRE（Sun Java Runtime Environment | JDK/JRE 6 Update 17 JDK/JRE 5.0 Update 22 JDK/JRE 5.0、SDK/JRE 1.4.2、SDK/JRE 1.3.1を対象とした通常のサービスは終了となっています。 |
| Mozilla Firefox | 3.5.6、3.0.16 |
| Mozilla Thunderbird | 3.0、2.0.0.23 |
| MySQL | 5.0.89、5.1.41 |
| OpenOffice | 3.1.1 |
| OpenSSH | 5.3 |
| OpenSSL | 0.9.8l |
| PHP | 5.2.12、5.3.1 |
| Samba | 3.4.3、3.3.9、3.2.14 |
| Snort | 2.8.5.1 |
| Squid | 3.0 STABLE21、2.7 STABLE7 |
| SquidGuard | 1.4 |
| Tomcat | 6.0.20、5.5.28、4.1.40、3.3.2 |
| Wireshark | 1.2.5 |
Cyber Security Bulletin SB09-348（2009/12/14）
12月7日の週に報告されたぜい弱性の中からJava for MacとIIJ製ルーターSEIL/XシリーズおよびSEIL/B1のぜい弱性を取り上げます（Vulnerability Summary for the Week of December 7、 2009）。
■米アップルJava for Macのセキュリティ・アップデート（2009/12/03）
Java for Macのセキュリティ・アップデートがリリースされました。このアップデートでは、Java 1.6をバージョン1.6.0_17に、Java 1.5をバージョン1.5.0_22に更新し、Java 1.4.2を無効にします。
[参考情報]
- 米アップル：Java for Mac OS X 10.6 Update 1 のセキュリティコンテンツについて
- 米アップル：Java for Mac OS X 10.5 Update 6 のセキュリティコンテンツについて
■IIJ SEIL/XシリーズおよびSEIL/B1に複数のぜい弱性（2009/12/10）
情報セキュリティ早期警戒パートーナーシップに報告されたIIJ製ルーターSEIL/XシリーズおよびSEIL/B1のぜい弱性対策情報がNVDに登録されました（写真2）。
[参考情報]
- JVN：JVN#13011682: SEIL/X シリーズおよびSEIL/B1におけるサービス運用妨害（DoS）のぜい弱性
- JVN：JVN#06362164: SEIL/X シリーズおよびSEIL/B1におけるバッファ・オーバーフローのぜい弱性
Hitachi Incident Response Team
チーフコーディネーションデザイナ
| 『HIRT（Hitachi Incident Response Team）とは』 |
HIRTは，日立グループのCSIRT連絡窓口であり，ぜい弱性対策，インシデント対応に関して，日立グループ内外との調整を行う専門チームです。ぜい弱性対策とはセキュリティに関するぜい弱性を除去するための活動，インシデント対応とは発生している侵害活動を回避するための活動です。HIRTでは，日立の製品やサービスのセキュリティ向上に関する活動に力を入れており，製品のぜい弱性対策情報の発信やCSIRT活動の成果を活かした技術者育成を行っています。
