Hitach Incident Response Team

 2010年4月18日までに明らかになったぜい弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーなどの情報を参考に対処してください。

オラクル2010年4月の四半期セキュリティアップデート(2010/04/13)

 Critical Patch Update - April 2010には、Oracle Database系7件、Fusion Middleware系5件、Collaboration Suite系1件、E-Business Suite and Applications系8件、PeopleSoft Enterprise and JD Edwards EnterpriseOne系4件、Industry Applications Product Suite系6件、Sun Product Suite系16件、計47件のセキュリティアップデートが含まれています。

[参考情報]

Mac OS Xのセキュリティアップデート2010-003(2010/04/14)

 Mac OS X v10.5.8/v10.6~v10.6.3、Mac OS X Server v10.5.8/v10.6~v10.6.3のセキュリティアップデートがリリースされました。このリリースでは、Apple Type Servicesの埋め込みフォント処理に存在する任意のコード実行につながるぜい弱性を解決します。

[参考情報]

Adobe Reader、Acrobat 9.3.2/8.2.2リリースAPSB10-09(2010/04/13)

 米アドビ システムズからAdobe Reader 9.3.2/8.2.2とAcrobat 9.3.2/8.2.2がリリースされました。このリリースでは、クロスサイトスクリプティング、任意のコード実行につながるメモリー破損、画像ファイル処理に存在するバッファオーバーフロー、サービス不能につながるぜい弱性など、計15件のぜい弱性を解決します。

[参考情報]

マイクロソフト2010年4月の月例セキュリティアップデート(2010/04/14)

 4月の月例セキュリティアップデートでは、11件のセキュリティ更新プログラムを公開し、25件のセキュリティ問題を解決しています。このうち、MS10-026:MPEG Layer-3コーデックのぜい弱性、MS10-027:Windows Media Playerのぜい弱性については、ホームページ誘導型マルウエア(例えばGumblarなど)のマルウエアのダウンロードならびに実行など感染活動の際に、利用される可能性があります。

【 任意のコード実行 】
 MS10-019:Windows のぜい弱性
 MS10-020:SMB クライアントのぜい弱性
 MS10-022:VBScript スクリプト エンジンのぜい弱性
 MS10-023:Microsoft Office Publisher のぜい弱性
 MS10-025:Microsoft Windows Media Services のぜい弱性
 MS10-026:MPEG Layer-3 コーデックのぜい弱性
 MS10-027:Windows Media Player のぜい弱性
 MS10-028:Microsoft Visio のぜい弱性

【 サービス不能 】
 MS10-021:Windows カーネルのぜい弱性
 MS10-024:Microsoft Exchange および Windows SMTP サービスのぜい弱性

【 アクセス権限の昇格 】
 MS10-021:Windows カーネルのぜい弱性

【 情報漏えい 】
 MS10-024:Microsoft Exchange および Windows SMTP サービスのぜい弱性

【 なりすまし 】
 MS10-029:Windows ISATAP コンポーネントのぜい弱性

[参考情報]

米シスコSecure Desktopにぜい弱性(2010/04/14)

 Secure Desktopに任意のコード実行につながるぜい弱性(CVE-2010-0589)が存在します。このぜい弱性は、Secure Desktopの署名入りActiveXコントロールが、インストール時に使用する実行ファイルを適切にチェックしないという問題です。

[参考情報]

JDK/JRE 6 Update 20リリース(2010/04/15)

 JDK/JRE 6 Update 20がリリースされました。Update 20では、Java Deployment ToolkitとJavaプラグインに関するぜい弱性を解決します。Java Deployment Toolkitのぜい弱性について、Update 20がリリースされるまでの経緯を振り返っておきましょう。

2010年4月9日 発見者:ぜい弱性の検証コードを公開
2010年4月15日 ぜい弱性を悪用した侵害活動発生
2010年4月15日 ウイルス対策ソフト・ベンダー:JS_WEBSTART.A(トレンドマイクロ)などの定義ファイルを公開
2010年4月15日 オラクル:JDK/JRE 6 Update 20リリース

 報告されたぜい弱性は既に侵害活動に利用されています。すみやかにJDK/JRE 6のアップデートを実施してください。

[参考情報]

OpenSSH 5.5/5.5p1リリース(2010/04/16)

 OpenSSH 5.5/5.5p1がリリースされました。今回のバージョンアップは、主にバグ対策を目的としており、セキュリティアップデートは含まれていません。

[参考情報]

Cyber Security Bulletin SB10-102(2010/04/12)

 4月5日の週に報告されたぜい弱性の中からApache ActiveMQとApache CouchDBのぜい弱性を取り上げます(Vulnerability Summary for the Week of April 5, 2010)。

■Apache ActiveMQにXSS、CSRFのぜい弱性(2010/03/23)

 Java Message Serviceを実装したメッセージブローカーである、Apache ActiveMQ 5.3.0ならびに、それ以前には、クロスサイトスクリプティング(XSS)、クロスサイト・リクエスト・フォージェリ(CSRF)のぜい弱性(CVE-2010-0684、CVE-2010-1244)が存在します。XSS、CSRFのいずれのぜい弱性もcreateDestination.action処理に存在し、JMSDestinationパラメータを細工することで、任意のスクリプトの挿入や操作が可能となります。

[参考情報]

■Apache CouchDBにタイミングアタックのぜい弱性(2010/03/31)

 非リレーショナルデータベースであるApache CouchDB 0.8.0~0.10.1にサイドチャネル攻撃による情報流出につながるぜい弱性が存在します。

[参考情報]


寺田 真敏
Hitachi Incident Response Team
チーフコーディネーションデザイナ
『HIRT(Hitachi Incident Response Team)とは』

HIRTは,日立グループのCSIRT連絡窓口であり,ぜい弱性対策,インシデント対応に関して,日立グループ内外との調整を行う専門チームです。ぜい弱性対策とはセキュリティに関するぜい弱性を除去するための活動,インシデント対応とは発生している侵害活動を回避するための活動です。HIRTでは,日立の製品やサービスのセキュリティ向上に関する活動に力を入れており,製品のぜい弱性対策情報の発信やCSIRT活動の成果を活かした技術者育成を行っています。