セキュリティホール情報＜2009/08/04＞

以下のセキュリティホール情報は、日刊メールマガジン「Scan Daily Express」の見出しのみを抜粋したものです。
「Scan Daily Express」では、全文とセキュリティホールの詳細へのリンクURLをご覧いただけます。

★ お申込みはこちら ★
https://www.netsecurity.ne.jp/14_3683.html

＜プラットフォーム共通＞ ━━━━━━━━━━━━━━━━━━━━━━
▽Mozilla Firefox─────────────────────────
Mozilla Firefoxは、セキュリティアップデートを公開した。このアップデートによって、複数のセキュリティホールが解消される。
2009/08/04 登録

危険度：
影響を受けるバージョン：Firefox 3.5.2未満、3.0.12未満
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽linkSpheric───────────────────────────
linkSphericは、細工されたSQLステートメントをviewListing.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2009/08/04 登録

危険度：中
影響を受けるバージョン：0.74 beta6
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽dit.cms─────────────────────────────
dit.cmsは、細工されたURLリクエストをindex.phpスクリプトに送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebサーバ上で任意のコードを実行される可能性がある。
2009/08/04 登録

危険度：中
影響を受けるバージョン：1.3
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Orbis CMS────────────────────────────
Orbis CMSは、細工されたHTTPリクエストを送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のPHPコードを実行される可能性がある。
2009/08/04 登録

危険度：中
影響を受けるバージョン：1.0
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Django──────────────────────────────
Djangoは、細工されたURLリクエストを送ることで機密情報を奪取されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上の任意のファイルを閲覧される可能性がある。
2009/08/04 登録

危険度：低
影響を受けるバージョン：0.96、1.0
影響を受ける環境：UNIX、Linux、Windows
回避策：1.1以降へのバージョンアップ

▽MailTo component for Joomla!───────────────────
MailTo component for Joomla!は、timeoutを適切に処理していないことが原因でセキュリティ制限を回避されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にスパム送信に利用される可能性がある。
2009/08/04 登録

危険度：中
影響を受けるバージョン：1.5〜1.5.13
影響を受ける環境：UNIX、Linux、Windows
回避策：1.5.14以降へのバージョンアップ

▽Live module for Drupal──────────────────────
Live module for Drupalは、editing nodeコンテンツと関連する特定されていないセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者に権限を昇格される可能性がある。
2009/08/04 登録

危険度：高
影響を受けるバージョン：6.x-0.1、1.0
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽Really Simple CMS────────────────────────
Really Simple CMSは、細工されたURLリクエストをpagecontent.phpスクリプトに送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebサーバ上で任意のコードを実行される可能性がある。
2009/08/04 登録

危険度：中
影響を受けるバージョン：0.3a
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Softbiz Dating Script──────────────────────
Softbiz Dating Scriptは、細工されたSQLステートメントをcat_products.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2009/08/04 登録

危険度：中
影響を受けるバージョン：1.0
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽NTSOFT BBS E-Market Professional─────────────────
NTSOFT BBS E-Market Professionalは、index.phpスクリプトがユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。
2009/08/04 登録

危険度：中
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽user component for Joomla!────────────────────
user component for Joomla!は、index.phpスクリプトが適切なチェックを行っていないことが原因で悪意あるWebサイトにリダイレクトされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にフィッシング攻撃に利用される可能性がある。
2009/08/04 登録

危険度：中
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽MUJE CMS─────────────────────────────
MUJE CMSは、細工されたURLリクエストをadmin.phpスクリプトに送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebサーバ上で任意のコードを実行される可能性がある。
2009/08/04 登録

危険度：中
影響を受けるバージョン：1.0.4.34
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽CMSphp──────────────────────────────
CMSphpは、modules.phpおよびindex.phpスクリプトがユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。
2009/08/04 登録

危険度：中
影響を受けるバージョン：0.21
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽AJ Matrix────────────────────────────
AJ Matrixは、細工されたSQLステートメントをindex.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。
2009/08/04 登録

危険度：中
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽x10 Adult Media Script──────────────────────
x10 Adult Media Scriptは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。 [更新]
2009/08/03 登録

危険度：中
影響を受けるバージョン：1.7
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Model Agency Manager PRO─────────────────────
Model Agency Manager PROは、細工されたSQLステートメントをphotos.phpスクリプトに送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。[更新]
2009/08/03 登録

危険度：中
影響を受けるバージョン：2.0.3
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽x10 Automatic Search Engine───────────────────
x10 Automatic Search Engineは、ユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。 [更新]
2009/08/03 登録

危険度：中
影響を受けるバージョン：1.6.5
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Network Security Services────────────────────
Network Security Services（NSS）は、細工された証明書を送ることでヒープベースのバッファオーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行される可能性がある。 [更新]
2009/08/03 登録

危険度：高
影響を受けるバージョン：3.11.2、3.11.3、3.11.4、3.11.5
影響を受ける環境：UNIX、Linux、Windows
回避策：3.12.3以降へのバージョンアップ

▽Adobe Flash Player────────────────────────
Adobeは、Flash Playerのセキュリティアップデートを公開した。このアップデートによって、複数のセキュリティホールが解消される。[更新]
2009/07/31 登録

危険度：高
影響を受けるバージョン：9.0〜9.0.159.0、10.0〜10.0.22.87
影響を受ける環境：UNIX、Linux、Windows
回避策：9.0.246.0あるいは10.0.32.18以降へのバージョンアップ

▽Ultrize TimeSheet────────────────────────
Ultrize TimeSheetは、include/timesheet.phpスクリプトが入力を適切にチェックしていないことが原因で悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行される可能性がある。 [更新]
2009/07/30 登録

危険度：中
影響を受けるバージョン：1.2.2 Beta
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

▽Firebird─────────────────────────────
Firebirdは、細工されたパケットによってセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者にDoS攻撃を受ける可能性がある。 [更新]
2009/07/30 登録

危険度：低
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：ベンダの回避策を参照

▽d.net CMS────────────────────────────
d.net CMSは、install.phpスクリプトが適切な制限を行っていないことが原因でセキュリティ制限を回避されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にアドミニストレーション権限でアプリケーションを再インストールされる可能性がある。 [更新]
2009/07/15 登録

危険度：中
影響を受けるバージョン：
影響を受ける環境：UNIX、Linux、Windows
回避策：公表されていません

＜その他の製品＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Epiri Professional Web Browser──────────────────
Epiri Professional Web Browserは、過度に長いストリングを含むfile://、C::あるいはC: URIをクリックすることでDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にブラウザをクラッシュされる可能性がある。
2009/08/04 登録

危険度：低
影響を受けるバージョン：
影響を受ける環境：Windows
回避策：公表されていません

▽Apple iPhone───────────────────────────
Apple iPhoneは、細工されたSMSメッセージによってセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデバイス上で任意のコードを実行される可能性がある。 [更新]
2009/07/31 登録

危険度：
影響を受けるバージョン：
影響を受ける環境：Apple iPhone
回避策：公表されていません

▽Cisco IOS────────────────────────────
Cisco IOSは、細工されたBorder Gateway Protocol（BGP）アップデートを送ることでDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデバイスをクラッシュされる可能性がある。 [更新]
2009/07/31 登録

危険度：低
影響を受けるバージョン：
影響を受ける環境：Cisco IOS
回避策：公表されていません

▽HP ProLiant Server────────────────────────
HP ProLiant Serverは、ProLiant Onboard Administrator Powered by LO100iの特定されていない原因でDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステムを使用不能にされる可能性がある。 [更新]
2009/07/30 登録

危険度：低
影響を受けるバージョン：LO100i 3.07以前
影響を受ける環境：HP ProLiant Server
回避策：ベンダの回避策を参照

＜UNIX共通＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▽justVisual────────────────────────────
justVisualは、細工されたURLリクエストを送ることで悪意あるファイルを追加されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にWebサーバ上で任意のコードを実行される可能性がある。
2009/08/04 登録

危険度：中
影響を受けるバージョン：1.2
影響を受ける環境：UNIX、Linux
回避策：公表されていません

▽BIND───────────────────────────────
BINDは、細工されたダイナミックアップデートメッセージを送ることでDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、攻撃者にサーバをクラッシュされる可能性がある。 [更新]
2009/07/30 登録

危険度：低
影響を受けるバージョン：9.0〜9.6.0
影響を受ける環境：UNIX、Linux
回避策：9.4.3-P3、9.5.1-P3、9.6.1-P1へのバージョンアップ

▽Asterisk─────────────────────────────
Asteriskは、細工されたRTPテキストフレームを送ることでDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にサービスをクラッシュされる可能性がある。 [更新]
2009/07/29 登録

危険度：低
影響を受けるバージョン：1.6.1
影響を受ける環境：UNIX、Linux
回避策：ベンダの回避策を参照

▽ZNC───────────────────────────────
ZNCは、細工されたDCC Sendコマンドを送ることでディレクトリトラバーサルを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上の任意のファイルを閲覧される可能性がある。 [更新]
2009/07/23 登録

危険度：中
影響を受けるバージョン：0.060、0.062、0.064、0.066
影響を受ける環境：UNIX、Linux
回避策：0.072以降へのバージョンアップ

▽Irssi──────────────────────────────
Irssiは、細工された空のコマンドを送ることでDoS攻撃を受けるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクライアントをクラッシュされる可能性がある。 [更新]
2009/06/17 登録

危険度：低
影響を受けるバージョン：0.8.13
影響を受ける環境：UNIX、Linux
回避策：ベンダの回避策を参照

＜リリース情報＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━
▽Firefox 3.5.x 系─────────────────────────
Firefox 3.5.2がリリースされた。
http://www.mozilla.org/products/firefox/

▽Firefox 3.0.x 系─────────────────────────
Firefox 3.0.13がリリースされた。
http://www.mozilla.org/products/firefox/

▽OpenGL──────────────────────────────
OpenGL 3.2がリリースされた。
http://www.opengl.org/

▽TOP Linux────────────────────────────
TOP（Tacky Optimizing Puppy）Linux 4.21がリリースされた。
http://sourceforge.jp/projects/toplinux/

▽WordPress────────────────────────────
WordPress 2.8.3がリリースされた。
http://ja.wordpress.org/

▽Apple GarageBand─────────────────────────
Apple GarageBand 5.1がリリースされた。
http://support.apple.com/downloads/GarageBand_5_1?viewlocale=ja_JP

▽Becky! Internet Mail───────────────────────
Becky! Internet Mail 2.51.05がリリースされた。
http://www.rimarts.co.jp/becky-j.htm

▽HTMLメールViewer for 秀丸メール─────────────────
HTMLメールViewer for 秀丸メール 1.03がリリースされた。
http://hide.maruo.co.jp/software/tkhtmlv.html

▽Linux kernel 2.6.x 系──────────────────────
Linux kernel 2.6.31-rc5-git2がリリースされた。
http://www.kernel.org/

＜セキュリティトピックス＞ ━━━━━━━━━━━━━━━━━━━━━
▽トピックス
警察庁、「振り込め詐欺（恐喝）」の認知・検挙状況等について（平成21年1〜6月）
http://www.npa.go.jp/sousa/souni7/furikome_H21_6.pdf

▽トピックス
JPCERT/CC、ISC BIND 9 の脆弱性を使用したサービス運用妨害攻撃に関する注意喚起 [更新]
http://www.jpcert.or.jp/at/2009/at090016.txt

▽トピックス
JVN、ISC BIND 9 におけるサービス運用妨害 (DoS) の脆弱性 [更新]
http://jvn.jp/cert/JVNVU725188/

▽トピックス
JVN、Adobe Flash に脆弱性 [更新]
http://jvn.jp/cert/JVNVU259425/

▽トピックス
JVN、Adobe Flash Player および他の Adobe 製品に影響を及ぼす Adobe Flash の脆弱性 [更新]
http://jvn.jp/cert/JVNTA09-204A/

▽トピックス
IPA/ISEC、Adobe Flash Player、Adobe Reader、Acrobat、Adobe AIR の脆弱性について
http://www.ipa.go.jp/security/ciadr/vul/20090803-adobe.html

▽トピックス
JIPDEC、ISO/IEC 27000ファミリーの概要を更新
http://www.isms.jipdec.jp/27000family_20090804.pdf

▽トピックス
エフセキュア、グリーンハウスへセキュリティシステム運用管理ツールを納入
http://www.f-secure.co.jp/news/200908041/

▽トピックス
エフセキュアブログ、Twitterが悪意あるURLのフィルタリングを開始
http://blog.f-secure.jp/archives/50260211.html

▽トピックス
エフセキュアブログ、ワン切り詐欺にご用心
http://blog.f-secure.jp/archives/50260210.html

▽トピックス
エフセキュアブログ、「Malware Domains List」を使用した偽アンチ・ウィルス
http://blog.f-secure.jp/archives/50260206.html

▽トピックス
CA SiteMinder、「Common Criteria」レベル3＋の認定を取得
http://www.ca.com/jp/press/release.aspx?cid=213695

▽トピックス
au、au携帯電話における「Hello Messenger」の提供終了について（再掲）
http://www.notice.kddi.com/news/mainte/content/syougai/au_02_00003948.html

▽トピックス
au、システムメンテナンスについて（2009年8月6日実施）
http://www.notice.kddi.com/news/mainte/content/syougai/au_04_00003947.html

▽トピックス
NTTコミュニケーションズ、「Arcstar IP-VPN」ルーターレスプランの提供開始について
http://www.ntt.com/release/monthNEWS/detail/20090803_2.html

▽トピックス
NTTデータ・セキュリティ、BINDのDynamic Update機能の脆弱性（CVE-2009-0696）に関する検証レポート
http://www.nttdata-sec.co.jp/article/vulner/pdf/report20090803.pdf

▽トピックス
キヤノンITソリューションズ、Webからの情報漏えいを防止する「WEBGUARDIAN Version 3.4」他社製品からの乗り換えライセンスを新たに設定し、2009年8月7日から追加販売
http://www.canon-its.co.jp/company/news/20090804wg.html

▽トピックス
ラック、組織内部からの情報流出のリスクを評価する「情報漏えいチェックサービス」を提供開始
http://www.lac.co.jp/news/press20090804.html

▽トピックス
NEC、Webからの情報漏えいを防止する「WEBGUARDIAN Version 3.4」他社製品からの乗り換えライセンスを新たに設定し、2009年8月7日から追加販売
http://www.necsoft.com/press/2009/090804.html

▽トピックス
KCCS、PCI DSSサービスを強化し、米国nCircle社の「PCIスキャンサービス」の国内販売を開始
http://www.kccs.co.jp/press/release/090804.html

▽トピックス
富士通四国システムズ、PCセキュリティ対策診断ソフト『DOEXPRESS Security』を機能強化
http://jp.fujitsu.com/group/shikoku/release/20090803.html

▽トピックス
セキュアブレインのフィッシング対策ソリューション「PhishWall」を泉州銀行が採用、8月3日よりサービス開始
http://www.securebrain.co.jp/news/090803_pw_senshu.html

▽サポート情報
トレンドマイクロ、ウイルスパターンファイル：6.337.00 (08/04)
http://jp.trendmicro.com/jp/support/download/pattern/index.html

▽サポート情報
アンラボ、V3 / SpyZero アップデート情報
http://www.ahnlab.co.jp/news/view.asp?seq=4305

▽ウイルス情報
シマンテック、Bloodhound.Exploit.266
http://www.symantec.com/business/security_response/writeup.jsp?docid=2009-080301-5619-99

◆アップデート情報◆
───────────────────────────────────
●Turbolinuxがbindのアップデートをリリース
───────────────────────────────────
　Turbolinuxがbindのアップデートをリリースした。このアップデートによって、bindにおける問題が修正される。

Turbolinux Security Center
http://www.turbolinux.co.jp/security/

───────────────────────────────────
●RedHat Linuxがopenaisおよびcmanのアップデートをリリース
───────────────────────────────────
　RedHat Linuxがopenaisおよびcmanのアップデートパッケージをリリースした。このアップデートによって、それぞれの問題が修正される。

RedHat Linux Support
https://rhn.redhat.com/errata/rhel-server-errata.html

───────────────────────────────────
●Slackwareがmozilla-firefoxのアップデートをリリース
───────────────────────────────────
　Slackwareがmozilla-firefoxのアップデートをリリースした。このアップデートによって、mozilla-firefoxにおける複数の問題が修正される。

Slackware Security Advisories
http://www.slackware.com/security/list.php?l=slackware-security&y=2008

───────────────────────────────────
●RedHat FedoraがDjangoおよびirssiのアップデートをリリース
───────────────────────────────────
　RedHat FedoraがDjangoおよびirssiのアップデートパッケージをリリースした。このアップデートによって、それぞれの問題が修正される。

RedHat Fedora fedora-package-announce
https://www.redhat.com/archives/fedora-package-announce/index.html