セキュリティホール情報＜2008/05/02＞

以下のセキュリティホール情報は、日刊メールマガジン「Scan Daily Express」の見出しのみを抜粋したものです。
「Scan Daily Express」では、全文とセキュリティホールの詳細へのリンクURLをご覧いただけます。

★ お申込みはこちら ★
https://www.netsecurity.ne.jp/14_3683.html

＜プラットフォーム共通＞ ━━━━━━━━━━━━━━━━━━━━━━
▽vlbook──────────────────────────────
vlbookは、細工されたURLリクエストをglobal.inc.phpスクリプトに送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebサーバ上で任意のコードを実行される可能性がある。
2008/05/02 登録

危険度：中
影響を受けるバージョン：1.21
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Youtube Clone──────────────────────────
Youtube Cloneは、spages.phpスクリプトがユーザ入力を適切にチェックしていないことが原因でセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコマンドを実行される可能性がある。
2008/05/02 登録

危険度：高
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Webhosting component for Joomla!─────────────────
Webhosting component for Joomla!は、細工されたSQLステートメントをindex.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2008/05/02 登録

危険度：中
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽PortailPHP────────────────────────────
PortailPHPは、細工されたURLリクエストをindex.phpスクリプトに送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebサーバ上で任意のコードを実行される可能性がある。
2008/05/02 登録

危険度：中
影響を受けるバージョン：2.0
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Gonafish ClassifedCaffe─────────────────────
Gonafish ClassifedCaffeは、細工されたSQLステートメントをindex.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2008/05/02 登録

危険度：中
影響を受けるバージョン：1.0
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽PHPG───────────────────────────────
PHPGは、form_upload.phpスクリプトがファイルの拡張子を適切にチェックしていないことが原因で悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行される可能性がある。
2008/05/02 登録

危険度：中
影響を受けるバージョン：1.0
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽WebGUI──────────────────────────────
WebGUIは、未知のセキュリティホールが存在する。尚、これ以上の詳細は公表されていない。
2008/05/02 登録

危険度：低
影響を受けるバージョン：7.4.34
影響を受ける環境：UNIX、Linux、Windows
回避策：7.4.35以降へのバージョンアップ

▽IBM WebSphere Application Server Java plug-in──────────
IBM WebSphere Application Server Java plug-inは、未知のセキュリティホールが存在する。この問題が悪用されると、攻撃者に権限を昇格される可能性がある。
2008/05/02 登録

危険度：高
影響を受けるバージョン：5.0.2
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽Nortel Multimedia Communication Server Multimedia PC Client───
Nortel Multimedia Communication Server (MCS) Multimedia PC Clientは、特定されていないポートを無関係なmessagingデータで溢れさせることでバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性がある。
2008/05/02 登録

危険度：高
影響を受けるバージョン：3.5、4.0
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽cPanel──────────────────────────────
cPanelは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトrequest forgeryを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクロスサイトスクリプティングを実行されたりキャッシュを汚染される可能性がある。
2008/05/02 登録

危険度：中
影響を受けるバージョン：11.18.3 build ID 21703
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Interact─────────────────────────────
Interactは、細工されたURLリクエストをembedforum.phpおよびlib.inc.phpスクリプトに送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebサーバ上で任意のコードを実行される可能性がある。
2008/05/02 登録

危険度：中
影響を受けるバージョン：2.4.1
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Harris Wap Chat─────────────────────────
Harris Wap Chatは、細工されたURLリクエストを多数のスクリプトに送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebサーバ上で任意のコードを実行される可能性がある。
2008/05/02 登録

危険度：中
影響を受けるバージョン：1.0
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Project Based Calendaring System (PBCS)─────────────
Project Based Calendaring System (PBCS)は、yopy_sync.phpおよびprint_logs.phpスクリプトに「/../」を含む細工されたURLリクエストを送ることでディレクトリトラバーサルを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上の任意のファイルを閲覧される可能性がある。 [更新]
2008/05/01 登録

危険度：中
影響を受けるバージョン：0.7.1
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽phpBB──────────────────────────────
phpBBは、特定されていない複数のセキュリティホールが存在する。この問題は攻撃者に悪用される可能性がある。 [更新]
2008/04/21 登録

危険度：低
影響を受けるバージョン：3.0.0以前
影響を受ける環境：UNIX、Linux、Windows
回避策：3.0.1以降へのバージョンアップ

▽SUN J2SE─────────────────────────────
SUN J2SE JREおよびSDKのバージョンアップ版を公開した。このアップデートにより、複数の問題が修正される。最新版未満のバージョンでは、さまざまな攻撃を受ける可能性がある。 [更新]
2008/03/07 登録

危険度：高
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽OpenPegasus───────────────────────────
OpenPegasusは、PAMBasicAuthenticator::PAMCallback()機能が原因でスタックベースのバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行される可能性がある。 [更新]
2008/01/09 登録

危険度：高
影響を受けるバージョン：2.7未満
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

＜その他の製品＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Akamai Download Manager ActiveX control─────────────
Akamai Download Manager ActiveX controlは、多数の文書化されていないオブジェクトパラメータが原因で悪意があるウェブサイトへ誘導されるセキュリティホールが存在する。リモートの攻撃者にシステム上で任意のコードを実行される可能性がある。
2008/05/02 登録

危険度：高
影響を受けるバージョン：2.2.0.0、2.2.1.0
影響を受ける環境：Windows
回避策：2.2.3.5以降へのバージョンアップ

▽SNMPc──────────────────────────────
SNMPcは、過度に長いストリングを含む細工されたSNMP TRAPパケットを送信されることが原因でスタックベースのバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりシステムをクラッシュされる可能性がある。 [更新]
2008/05/01 登録

危険度：高
影響を受けるバージョン：7.1
影響を受ける環境：Windows
回避策：7.1.1以降へのバージョンアップ

▽Juniper JUNOS──────────────────────────
Juniper JUNOSは、BGPパケットを処理する際に特定されていないエラーによってDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にインタフェースをクラッシュされる可能性がある。 [更新]
2007/12/17 登録

危険度：低
影響を受けるバージョン：7.3、8.4
影響を受ける環境：JUNOS
回避策：ベンダの回避策を参照

＜UNIX共通＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽AstroCam─────────────────────────────
AstroCamは、pic.phpスクリプトがユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。
2008/05/02 登録

危険度：中
影響を受けるバージョン：2.6.5、2.6.6、2.7.3
影響を受ける環境：UNIX、Linux
回避策：2.7.4以降へのバージョンアップ

▽Interchange───────────────────────────
Interchangeは、未知のセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にDos攻撃を受けたりアプリケーションをクラッシュされる可能性がある。
2008/05/02 登録

危険度：低
影響を受けるバージョン：5.5.1
影響を受ける環境：UNIX、Linux
回避策：5.5.2以降へのバージョンアップ

▽Asterisk─────────────────────────────
Asteriskは、偽装されたACK応答メッセージを送信されることが原因でセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にDos攻撃を受ける可能性がある。 [更新]
2008/04/24 登録

危険度：低
影響を受けるバージョン：Business Edition B.2.5.1、C.1.8、
Open Source 1.2.2.7、1.4.19、
AsteriskNOW 1.0.2、
s800i (Asterisk Appliance) 1.1.0.2
影響を受ける環境：UNIX、Linux
回避策：ベンダの回避策を参照

▽libpng──────────────────────────────
libpngは、未知のPNGチャンクを適切に取り扱わないことが原因でDos攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行される可能性がある。 [更新]
2008/04/15 登録

危険度：高
影響を受けるバージョン：1.0.6〜1.0.32、1.2.0〜1.2.26
影響を受ける環境：UNIX、Linux
回避策：1.2.27beta01以降へのバージョンアップ

＜リリース情報＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━
▽OpenBSD─────────────────────────────
OpenBSD 4.3がリリースされた。
http://www.openbsd.org/

▽FreeRADIUS────────────────────────────
FreeRADIUS 2.0.4がリリースされた。
http://www.freeradius.org/

▽秀丸メール────────────────────────────
秀丸メール 5.05がリリースされた。
http://hide.maruo.co.jp/software/hmmtakeout.html

▽Java for Mac OS X────────────────────────
Java for Mac OS X 10.5 Update 1がリリースされた。
http://www.kernel.org/

▽Linux kernel 2.6.x 系──────────────────────
Linux kernel 2.6.25-git17がリリースされた。
http://www.kernel.org/

＜セキュリティトピックス＞ ━━━━━━━━━━━━━━━━━━━━━
▽トピックス
総務省、「住民基本台帳の一部の写しの閲覧及び住民票の写し等の交付に関する省令等の一部を改正する省令案」及び「戸籍の附票の写しの交付に関する省令の一部を改正する省令案」に対する意見募集の結果について
http://www.soumu.go.jp/s-news/2008/080425_10.html

▽トピックス
警察庁、硫化水素ガスの製造を誘引する情報の取扱いについて
http://www.npa.go.jp/cyber/policy/suicide/image/H2Stsutatsu.pdf

▽トピックス
@police、インターネット定点観測グラフの変更についてのお知らせ(5/1)
http://www.cyberpolice.go.jp/important/2008/20080501_112224.html

▽トピックス
IPA、「暗号モジュール試験及び認証制度に関する重点市場の現状調査請負契約」に係る公募(企画競争) について
http://www.ipa.go.jp/security/kobo/20fy/jcmvp-market/index.html

▽トピックス
IPA、１８名の天才プログラマー／スーパークリエータを発掘
http://www.ipa.go.jp/about/press/20080501.html

▽トピックス
NTTドコモ、ソフトウェアアップデートおよびセキュリティスキャン情報の掲載の変更について
http://www.nttdocomo.co.jp/info/notice/page/080501_00.html

▽トピックス
au、au携帯電話（一部機種）の「ケータイアップデート」開始のお知らせ
http://www.au.kddi.com/seihin/up_date/kishubetsu/au_info_20080501.html

▽サポート情報
トレンドマイクロ、ウイルスパターンファイル：5.249.00 (05/01)
http://jp.trendmicro.com/jp/support/download/pattern/index.html

▽サポート情報
アンラボ、V3 / SpyZero 定期アップデート情報
http://japan.ahnlab.com/news/view.asp?seq=3075

▽サポート情報
アンラボ、V3 緊急アップデート情報
http://japan.ahnlab.com/news/view.asp?seq=3076

▽ウイルス情報
トレンドマイクロ、WORM_AUTORUN.BSG
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM%5FAUTORUN%2EBSG

▽ウイルス情報
シマンテック、W32.Zatyudi.A
http://www.symantec.com/ja/jp/business/security_response/writeup.jsp?docid=2008-043015-2430-99

▽ウイルス情報
日本エフ・セキュア、Trojan-PSW:W32/OnLineGames.SZJ
http://www.f-secure.co.jp/v-descs/v-descs3/Trojan-PSW-W32-OnLineGames.SZJ.htm

▽ウイルス情報
日本エフ・セキュア、Trojan-PSW:W32/OnLineGames.JCT
http://www.f-secure.co.jp/v-descs/v-descs3/Trojan-PSW-W32-OnLineGames.JCT.htm

▽ウイルス情報
日本エフ・セキュア、Trojan-Downloader:W32/Agent.BUV
http://www.f-secure.co.jp/v-descs/v-descs3/Trojan-Downloader-W32-Agent.BUV.htm

◆アップデート情報◆
───────────────────────────────────
●Debianがwordpressおよびasteriskのアップデートをリリース
───────────────────────────────────
Debianがwordpressおよびasteriskのアップデートをリリースした。このアップデートによって、それぞれの問題が修正される。

Debian Security Advisory
http://www.debian.org/security/

───────────────────────────────────
●SuSE LinuxがIBM Javaのアップデートをリリース
───────────────────────────────────
SuSE LinuxがIBM Javaのアップデートをリリースした。このアップデートによって、IBM Javaにおける複数の問題が修正される。

SuSe Security Announcement
http://www.suse.de/de/security/

───────────────────────────────────
●Turbolinuxがbase-databaseのアップデートをリリース
───────────────────────────────────
Turbolinuxがbase-databaseのアップデートをリリースした。このアップデートによって、base-databaseにおける問題が修正される。

Turbolinux Security Center
http://www.turbolinux.co.jp/security/