セキュリティホール memo

Last modified: Fri Jul 18 19:58:37 2014 +0900 (JST)
短縮 URL: http://goo.gl/pwSG QR コード: http://goo.gl/pwSG.qr


 Security Watch さんが店じまいされてしまったので、 個人で追いかけてみるテストです。 備忘録として書いておくつもりなので、 Security Watch さんのような詳細なものではありません。 基本的なターゲットは UNIX、Windows、Mac OS (priority 順) とします。 また、このページの内容はどのページにも増して無保証であることを宣言しておきます。全ての情報が集まっているわけもありません。

 ここに載せる情報については、可能な限り 1 次情報源へのリンクを作成しておきます。 各自で 1 次情報源の内容を確認してください。 このページの内容をくれぐれも鵜飲みにしないように。 間違いを発見された方、記載されていない情報をご存知の方、ぜひおしえてください。よろしくお願いいたします。

 このページの情報を利用される前に、注意書きをお読みください。


 [ 定番情報源 ]  過去の記事: 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998


[SCAN Security Wire NP Prize 2001]

「Scan Security Wire」 主催の SCAN Security Wire NP Prize 2001 を受賞しました。

 

「ネットランナー」の ベスト・オブ・常習者サイト 2003 で金賞を、ベスト・オブ・常習者サイト 2004 で銀賞を受賞しました。


復刊リクエスト受付中:

ジェイムズ.F.ダニガン「 新・戦争のテクノロジー」(現在46票)
中山信弘「ソフトウェアの法的保護」 (現在117票) (オンデマンド購入可)
陸井三郎訳・編「ベトナム帰還兵の証言」 (現在107票)
林克明「カフカスの小さな国 チェチェン独立運動始末」 (現在172票)
田中徳祐「我ら降伏せず−サイパン玉砕戦の狂気と真実」 (復刊決定)

RSS に対応してみました。 小ネタは含まれていません。「政治ねたウゼェ」という人は RSS ベースで読むと幸せになれるでしょう (ウザくない人は こっちの RSS がよいかもしれません)。 RSS 1.0 ですので、あくまで RDF Site Summary です。 現在は Really Simple Syndication には対応していません。
今すぐ Really Simple Syndication がほしい人は、のいんさんによる Web サイトの RSS を勝手に出力するプロジェクト ……のものがうまくいっていないようなので、 セキュmemoのRSS生成 をご利用ください。Tamo さん情報ありがとうございます。

実用 SSH 第2版: セキュアシェル徹底活用ガイド

2014.07.18

いろいろ (2014.07.18)
(various)

サイボウズ ガルーン 2、ガルーン 3

サイボウズ リモートサービス

サイボウズLive

 「2014 年 6 月 24 日のシステムアップデートにて改修済み」

S2Struts

多機能メールフォームフリー

Drupal

FreeBSD

ベネッセ個人情報漏洩、対策ソリューションが MTP/PTP に対応していなかったのが直接の原因か
(various, 2014.07.17)

 報道によると……

 いまどきのスマートフォンやタブレット、メディアプレイヤーやデジタルカメラ等は MTP (Media Transfer Protocol; メディア転送プロトコル) や PTP (Picture Transfer Protocol; 画像転送プロトコル) を使ってファイル転送するのが一般的ですが、上記を見る限りでは、ベネッセが採用していた情報漏洩対策ソリューションは MTP/PTP に対応していなかった模様です。

 これ↓はクオリティソフトの QND の宣伝記事ですが、ベネッセのもそういう状況だったように見えます。

 ぐぐってみると、MTP/PTP 対応を明記している製品がいくつかありました。

 あと、グループポリシーを使うとか?

 関連: connect24h @connect24h さんの一連のツイート


2014.07.17

Chrome Stable Channel Update
(Google, 2014.07.16)

 Chrome 36.0.1985.125 が stable に。セキュリティ修正 26 件を含む。


2014.07.16

Oracle Critical Patch Update Advisory - July 2014
(Oracle, 2014.07.15)

 Oracle 定期更新来ました。113 件のセキュリティ欠陥が修正されています。 VirtualBox や MySQL もあるよ。

 Java SE は 8u11 と 7u65 で修正されています。 ダウンロード


2014.07.15


2014.07.14

追記

ベネッセから顧客情報 760 万世帯分が流出、名簿屋から情報を購入したジャストシステムがダイレクトメールを送付して発覚 (2014.07.10)

 関連:


2014.07.12


2014.07.11

マイクロソフト セキュリティ アドバイザリ 2982792: 不適切に発行されたデジタル証明書により、なりすましが行われる
(マイクロソフト, 2014.07.11)

 インドでニセ google 証明書の件、マイクロソフトも対応。 google.com の他に gmail.com, googlemail.com, gstatic.com, yahoo.com, yahoo-inc.com, yahooapis.com のニセ証明書もあった (SA 2982792 に一覧あり)。CCA India (インド政府認証管理局) から発行された NIC (インド国立情報工学センター) の中間 CA 証明書を無効化することで対応。

 関連:

追記

ベネッセから顧客情報 760 万世帯分が流出、名簿屋から情報を購入したジャストシステムがダイレクトメールを送付して発覚 (2014.07.10)

 関連:

APSB14-17: Security updates available for Adobe Flash Player (2014.07.09)

 Adobe Flash Player updates available for OS X on July 10, 2014 (Apple, 2014.07.10)、Apple Forcing Users to Upgrade to Latest Adobe Flash Plug-In Due to Security Issues (MacRumors, 2014.07.10)。Mac OS X 方面では、Flash Player が 14.0.0.145 / 13.0.0.231 より古いとブロックされるようになりました。


2014.07.10

2014 年 7 月のマイクロソフト セキュリティ情報の概要
(マイクロソフト, 2014.07.09)

 予定どおり出ました。

MS14-037 – 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (2975687)

 IE 6〜11 に 24 件のセキュリティ欠陥。

MS14-038 – 緊急: Windows Journal の脆弱性により、リモートでコードが実行される (2975689)

 Windows Vista、Server 2008、7、Server 2008 R2、8、8.1、Server 2012、Server 2012 R2、RT、RT 8.1 に欠陥。Windows Journal に欠陥があり、攻略ジャーナルファイルを開くと任意のコードが実行される。CVE-2014-1824。 Exploitability Index: 1

MS14-039 – 重要: スクリーン キーボードの脆弱性により、特権が昇格される (2975685)

 Windows Vista、Server 2008、7、Server 2008 R2、8、8.1、Server 2012、Server 2012 R2、RT、RT 8.1 に欠陥。整合性レベルが「低レベル」となっているプロセス (IE 保護モードなど) からスクリーンキーボードを実行することで、現在のユーザーと同じ整合性レベルで任意のプログラムを実行できる。実際にはさらにもう一段ステップがあるようで:

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
この脆弱性を悪用するには、攻撃者はまず低整合性プロセスの脆弱性を使用してスクリーン キーボードを実行した後、特別に細工されたプログラムを標的となるシステムにアップロードする手段を確保する必要があります。

 「一部のプログラムが整合性レベルの異なるプログラムと通信する方法を修正」して対応。 CVE-2014-2781。Exploitability Index: 1

MS14-040 - 重要: Ancillary Function ドライバー (AFD) の脆弱性により、特権が昇格される (2975684)

 Windows Server 2003、Vista、Server 2008、7、Server 2008 R2、8、8.1、Server 2012、Server 2012 R2、RT、RT 8.1 に欠陥。Ancillary Function ドライバー (AFD) に欠陥があり、local user による管理者権限の取得が可能。CVE-2014-1767。Exploitability Index: 1

MS14-041 - 重要: DirectShow の脆弱性により、特権が昇格される (2975681)

 Windows Vista、Server 2008、7、Server 2008 R2、8、8.1、Server 2012、Server 2012 R2、RT、RT 8.1 に欠陥。DirectShow に欠陥があり、 MS14-039 などと組みあわせることで (という理解でいいのかな) 整合性レベル「低レベル」から、ログオンしているユーザーの権限への権限上昇が可能となる。 CVE-2014-2780。Exploitability Index: 1

MS14-042 – 警告: Microsoft Service Bus の脆弱性により、サービス拒否が起こる (2972621)

 Windows Server 2008 R2、Server 2012、Server 2012 R2 に欠陥。 Microsoft Service Bus for Windows Server 1.1 に欠陥があり、攻略 Advanced Message Queuing Protocol (AMQP) メッセージを受信すると Microsoft Service Bus が応答しなくなる。よって DoS 攻撃が成立。 CVE-2014-2814。 Exploitability Index: N/A

 関連:

追記

マイクロソフト セキュリティ アドバイザリ 2871997: 資格情報の保護と管理を改善する更新プログラム (2014.05.16)

 更新プログラム 29733512975625 が公開された。

  • Windows 8.1・Server 2012 R2・RT 8.1 に 2973351 (Windows 8.1 Update 適用済用) または 2975625 (Windows 8.1 Update 適用なし用) をインストールすると、制限管理モードがデフォルト OFF になる (これまではデフォルト ON だった)。HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa へのレジストリ設定 + 再起動で ON/OFF を切り替えられるようになる。

  • Windows 7、Server 2008 R2、8、Server 2012、RT の場合、これまでは、2871997 更新プログラムで制限管理モード機能を追加し、Fixit 20141 の適用で有効化するというしくみになっていた (なぜか無効化手順が説明されていない……)。

    今回、2871997 に加えて 2973351 を適用すると、HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa へのレジストリ設定 + 再起動で ON/OFF を切り替えられるようになる。

ベネッセから顧客情報 760 万世帯分が流出、名簿屋から情報を購入したジャストシステムがダイレクトメールを送付して発覚
(various, 2014.07.09)

 オフィシャル情報

 顧客からの声

 まとめ、分析

 関連報道など

2014.07.11 追記:

 関連:

2014.07.13 追記:

 関連:

 ジャストシステムホームページを見てびっくりしたのですが、スマイルゼミこそがジャストシステムのイチオシ商品なのですね。いつのまにかそういう会社になってたんだ。

2014.07.14 追記:

 関連:


2014.07.09

APSB14-17: Security updates available for Adobe Flash Player
(Adobe, 2014.07.08)

 Flash Player / AIR 更新。3 件のセキュリティ欠陥が修正されている。

プラットホーム バージョン
Windows 14.0.0.145
Mac 14.0.0.145
Linux 11.2.202.394
Google Chrome 14.0.0.145
Windows 8 / Server 2012 / RT の Internet Explorer 10 14.0.0.145
Windows 8.1 / Server 2012 R2 / RT 8.1 の Internet Explorer 11 14.0.0.145
AIR 14.0.0.137 (Windows, Mac, Android)
AIR SDK & Compiler 14.0.0.137 (Windows, Mac, Android, iOS)
AIR SDK 14.0.0.137 (Windows, Mac, Android, iOS)

 Windows / Mac 用には拡張サポート版 13.0.0.231 も用意されている。

 日本語訳版: APSB14-17: Adobe Flash Player用のセキュリティアップデート公開 (Adobe, 2014.07.08)

2014.07.11 追記:

 Adobe Flash Player updates available for OS X on July 10, 2014 (Apple, 2014.07.10)、Apple Forcing Users to Upgrade to Latest Adobe Flash Plug-In Due to Security Issues (MacRumors, 2014.07.10)。Mac OS X 方面では、Flash Player が 14.0.0.145 / 13.0.0.231 より古いとブロックされるようになりました。

いろいろ (2014.07.09)
(various)

LibreOffice

IPMI

Ruby on Rails

RealPlayer

Foxit Reader


2014.07.08

いろいろ (2014.07.08)
(various)

Becky! Internet Mail

 2.68.00 で修正されている。

Cacti

file

横河電機 CENTUM, Exaopc

Netgear GS108PE

Android 方面
(various)

Android 4.3 KeyStore

Android 4.1.1〜4.4.2 com.android.phone

 Android 4.4.4 にはこの欠陥はない。Android Security Team には 2013 年中に通報済だという。 CVE-2013-6272

  • CVE-2013-6272 com.android.phone (curesec.com, 2014.07.04)

  • Androidに脆弱性、許可なく通話発信される恐れ (ITmedia, 2014.07.08)

    今回見つかった脆弱性を悪用すれば、このパーミッションを迂回することが可能になる。不正なアプリを使って許可なく電話をかけたり、通話を中断させたりできるほか、USSDコードやMMIコードを送信することも可能で、電話の転送やシムカードの妨害といった行為に使われる恐れもある。

「AVG Safeguard」および「AVG Secure Search」のActiveXコントロールに脆弱性
(窓の杜, 2014.07.08)

 というかそもそも、AVG Safeguard とか AVG Secure Search でぐぐると、マルウェア扱いされてるとしか思えないんだが……。フリーソフトにくっついて入ることがあるみたい。 AVG Japan の「AVG Secure Search(AVGセキュアサーチ)について」 にもアンインストール手順しか載ってないし。

 というわけで、アンインストールを推奨。どうしても使いたい人は、最新版をインストールすればいいんじゃないかな。 あと、kill bit 設定したい人は、VU#960193: AVG Safeguard and Secure Search ActiveX controls provides insecure methods (US-CERT) を参照。


2014.07.07

追記

いろいろ (2014.07.03)


2014.07.06


2014.07.04

マイクロソフト 2014 年 7 月 9 日のセキュリティ リリース予定 (月例)
(日本のセキュリティチーム, 2014.07.04)

 6 件を予定 (緊急 x 2、重要 x 3、警告 x 1)。 IE あり。「Windows Server 用の Microsoft Service Bus」というのも対象になっている。 Service Bus for Windows Server (Service Bus 1.0)Service Bus for Windows Server (Service Bus 1.1) のことでいいのかな。


2014.07.03

複数の LZO / LZ4 圧縮アルゴリズム実装に 20 年バグ、DoS や任意のコードの実行を招く
(various)

 複数の LZO / LZ4 圧縮アルゴリズム実装 (各アルゴリズムの参照実装を含む) に欠陥があり、特定の条件を満たすと integer overflow するそうです。 Linux カーネル, Libav, FFmpeg, ...

 対応

いろいろ (2014.07.03)
(various)

SQL::Maker

WordPress プラグイン MailPoet

2014.07.07 追記:
  • WordPress MailPoet (wysija-newsletters) Unauthenticated file Uploadの原因と対策 (yohgaki's blog, 2014.07.04)

    MetasploiteのプラグインはテーマとしてアップロードされるZIPファイルに攻撃用となるPHPスクリプトを入れています。WordPressのMailPoetがロールの確認を怠っていたため、管理者以外でもテーマのZIPファイルがアップロード可能となり、不正なファイルを含むZIPファイルが展開され配置されてしまっていた事が問題の原因です。 対策としてロールの確認、ZIPファイルコンテンツのバリデーションが追加されています。

D-Bus

サイレックス・テクノロジー USBデバイスサーバ SX-2000WG

Cisco Unified Communications Domain Manager

追記

Alert (ICS-ALERT-14-176-02A) ICS Focused Malware (Update A) (2014.07.01)

 シマンテックの、日本語版出ました:

APPLE-SA-2014-06-30-4 Apple TV 6.1.2 (2014.07.02)

 こちらでは、Apple TV 6.1.2 ではなく 6.2 になってますね: About the security content of Apple TV 6.2 (Apple, 2014.06.30)


2014.07.02

いろいろ (2014.07.02)
(various)

PHP

 PHP 5.5.14、5.4.30 公開。

 8 件のセキュリティ欠陥を修正。

looking-glass 関連 (mrlg4php, cougar-lg, cistron-lg, mrlg)

Symantec Data Insight Management Console

GnuPG

APPLE-SA-2014-06-30-4 Apple TV 6.1.2
(Apple / Bugtraq, 2014.06.30)

 Apple TV 6.1.2 公開。35 件の欠陥を修正。

2014.07.03 追記:

 こちらでは、Apple TV 6.1.2 ではなく 6.2 になってますね: About the security content of Apple TV 6.2 (Apple, 2014.06.30)

APPLE-SA-2014-06-30-3 iOS 7.1.2
(Apple / Bugtraq, 2014.06.30)

 iOS 7.1.2 公開。44 件の欠陥を修正。 また Trusted root certificates を更新。

APPLE-SA-2014-06-30-2 OS X Mavericks 10.9.4 and Security Update 2014-003
(Apple / Bugtraq, 2014.06.30)

 OS X Mavericks 10.9.4 および OS X Lion v10.7.5、Mountain Lion v10.8.5 用の Security Update 2014-003 公開。19 件の欠陥を修正。 また Trusted root certificates を更新。

 OS X Mavericks 10.9.4 には Safari 7.0.5 が同梱されている。

APPLE-SA-2014-06-30-1 Safari 6.1.5 and Safari 7.0.5
(Apple / Bugtraq, 2014.06.30)

 Safari 6.1.5、7.0.5 公開 (v10.7.5, v10.8.5, v10.9.3 用)。 Webkit の 12 件の欠陥を修正 (任意のコードの実行 x 10、ローカルファイル漏洩 x 1、アドレスバー詐称 x 1)。


2014.07.01

Alert (ICS-ALERT-14-176-02A) ICS Focused Malware (Update A)
(US-CERT, 2014.06.27)

 Havex / Dragonfly の件。

 攻撃対象はエネルギーセクターなのか……。

2014.07.03 追記:

 シマンテックの、日本語版出ました:

追記

マイクロソフト セキュリティ アドバイザリ (2719662) ガジェットの脆弱性により、リモートでコードが実行される (2012.07.12)

 7/Vista のガジェット、無効にしてますか? (山市良のえぬなんとかわーるど, 2014.07.01)


過去の記事: 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998


[セキュリティホール memo]
[私について]