Security Alert (2012年2月)

Adobe Flashアップデート、ゼロデイ XSS セキュリティホールなどに対応 2012年2月16日
Adobe Flash アップデート、ゼロデイ XSS セキュリティホールなどに対応
2012年2月16日
コーリー・ナクライナー

概要：
- 対象：
  すべてのプラットフォームで使われている Adobe Flash Player 11.1.102.55 とそれ以前のバージョン。アンドロイド版の Flash にも影響あり。
- 悪用方法：
  有害な Flash コンテンツを含むウェブサイトにユーザを誘導
- 影響：
  最悪の場合は攻撃者がユーザのコンピュータでコードを実行し、そのコンピュータを完全に操作できるようになる
- 対策：
  Adobe Flash Player の最新バージョンをダウンロードしインストールすること
詳細：
Adobe Shockwave Playerは、Flashというインタラクティブな動画ウェブコンテンツを表示することができる。Flash はオプション機能だが、マルチメディアのウェブコンテンツを閲覧するために、 99% の PC ユーザがそれをダウンロードしインストールしている。Flash を使用できるオペレーティングシステムは多々あり、アンドロイドのようなモバイルもそれに対応している。

しかし、アドビはきのうリリースしたセキュリティアドバイザリで、アンドロイドも含むすべてのプラットフォームで使われている Adobe Flash Player 11.1.102.55 とそれ以前のバージョンが脆弱性7件の影響を受けていると警告した（数字はCVE によるもの）。アドビのセキュリティアドバイザリは詳細について触れていないが、特別に細工したFlashコンテンツを含む悪質なウェブサイトにユーザを誘導することに成功した攻撃者は、いくつもある未特定の脆弱性を悪用してユーザの特権で、そのコンピュータでコードを実行できるようになると注意を呼びかけている。また、ウィンドウズユーザがローカル管理者の特権を持っていた場合、攻撃者はユーザの PC を完全に操作できるようになる。さらに、攻撃者はこうした欠陥を悪用して一般環境下でゼロデイXSS脆弱性を悪用しているともアドビは警告している。ネットワークで Adobe Flash Player の使用を許可している場合は、この攻撃によるリスクを低下させるために至急ネットワーク全体に最新バージョンをインストールすることをすすめる。

解決方法：
アドビはこうした問題を修正する新しいバージョン Flash Player (11.1.102.62 はコンピュータ用のバージョン、アンドロイド版は11.1.11x.x) をリリースしている。ネットワークでAdobe Flash の使用を許可している場合は、新しいバージョンを至急ダウンロードしインストールすることをすすめる。
- Flash Player コンピュータ用（全プラットフォーム）：
- Flash f0r Android 4.x アンドロイド版（アンドロイドから直接アクセス）
- Flash Player for Android 3.x とそれ以前のバージョンアンドロイド版（アンドロイドから直接アクセス）
解決策：ウォッチガードユーザ専用
XTMアプライアンスでは、HTTPプロキシを使って Flash コンテンツがネットワークから遮断されるように設定することもできる。しかし、そうすることで問題があるないにかかわらず、すべてのFlash コンテンツを阻止してしまう点に注意しよう。ウォッチガードのプロキシではファイル拡張子やMIMEタイプまたはメッセージ本文に見られる特定の16進数のパターン別など（マジックバイトによる検出としても知られる方法）、様々な方法でファイルやコンテンツをネットワークから遮断するように設定することができる。

Flash ファイルを識別するいくつかの方法： ファイル拡張子：
- .flv - Adobe Flash ファイル（大方ウェブサイトで使用）
- .fla - Flash ムービーファイル
- .f4v - Flash ビデオファイル
- .f4p - Flash ビデオ保護ファイル
- .f4a - Flash オーディオファイル
- .f4b - Flash オーディオブックファイル
MIME タイプ:
- video/x-flv
- video/mp4 （普通の Flash より、よく使用されている）
- audio/mp4 （普通の Flash より、よく使用されている）
マジックバイトのパターンにより報告されたFILExt.com：
- 16進数（Hex) FLV：46 4C 56 01
- ASCII FLV:FLV
- 16進数（Hex) FLA：D0 CF 11 E0 A1 B1 1A E1 00
（ここに表示した16進数やASCIIパターンすべてがコンテンツブロックに適しているのではないことに注意してほしい。パターンが短すぎたり、それ独自のものでない場合、ブロックすることで様々な誤検知につながることもある。）それでもネットワークからFlash ファイルを遮断したいというのであれば、下記のURLを参考にし、先に説明したファイルや MIME情報を使った方法でFireboxプロキシのコンテンツブロック機能を設定すればよい。
- XTM アプライアンス + WSM 11.x
- Firebox X Edge + 10.x
- Firebox X Core & X Peak + Fireware 10.x
ステータス：
アドビは Flash の脆弱性を修正する更新プログラムをリリースしている。

参考資料：
アドビ（日本版）のセキュリティ・アップデート（抄訳）

この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。
（ツイッター：(@SecAdept)

続きを読む»
Sharepoint とVisioの欠陥を修正するマイクロソフトOfficeのセキュリティ更新プログラム 2012年2月15日
Sharepoint とVisio の欠陥を修正するマイクロソフト Office のセキュリティ更新プログラム
2012年2月15日
コーリー・ナクライナー

概要：
- 対象：
  SharePoint / SharePoint Foundation / Visio Viewer 2010 - すべてマイクロソフト Office の一部
- 悪用方法：
  有害なウェブサイトや URL にユーザを誘導したり、有害なVisioファイルを開くように促すなど、様々な攻撃方法がある
- 影響：
  最悪の場合は攻撃者がコードを実行し、そのコンピュータを完全に操作できるようになる可能性がある
- 対策：
  状況に適した SharePoint や Visio のセキュリティ更新プログラムを至急インストールするか、ウィンドウズのアップデート機能に任せて必要なプログラムをインストールすること
詳細：
米国時間の2月14日、マイクロソフトは Office 関連のセキュリティアドバイザリを 2 件リリースし、SharePoint / SharePoint Foundation / Visio Viewer 2010（すべてマイクロソフト Office の一部）に見られる脆弱性8件について報告した。マイクロソフトはどちらのアドバイザリについても[重要]と評価している。

概要は以下のとおり：
- MS12-011: SharePoint XSS の脆弱性（3）
SharePoint と SharePoint Foundation はマイクロソフトによるウェブおよびドキュメントのコラボレーションと管理を行うプラットフォームだが、どちらもクロスサイト･スクリプティングの脆弱性（XSS）問題（3つ）の影響を受けているため、攻撃者が特権昇格を試みることが可能になっている。有害なウェブページにユーザを誘導したり、特別に作成したURLをクリックさせたりすることで、攻撃者は任意に欠陥を悪用し、ユーザのSharePointサーバで特権を獲得することができる。つまり、攻撃者はユーザと同等にドキュメントを閲覧したり変更したりすることができるようになる。ただし、この欠陥の影響を受けているのは最新バージョンである 2010 の SharePoint のみである。マイクロソフトの評価：重要
- MS12-015: Visio Viewer のメモリ破損の脆弱性（5）
マイクロソフトの Visio は人気のあるダイアグラムプログラムで、多くのネットワーク管理者達がネットワーク図を作成する際に使っている。Visio Viewer は無料プログラムで図を閲覧するために誰でも使うことができるのだが、Visio Viewer は、特別に細工したドキュメントを処理する方法に関与する5つのコード実行問題の影響を受けていることが分った。欠陥の技術面はどれも異なるが、その作用範囲と影響力は同じである。悪質に細工されたVisio ドキュメントをユーザがダウンロードし、それを開くように誘導することに成功すると、攻撃者は任意に脆弱性を悪用してユーザの特権を使い、そのコンピュータでコードを実行できるようになる。また、ユーザにローカル管理者の特権があった場合、攻撃者はユーザのコンピュータを完全に操作できるようにもなる。ただし、この欠陥の影響を受けているのは Visio Viewer 2010 で、市販の Visio 製品ではない。マイクロソフトの評価：重要

解決方法：
マイクロソフトは脆弱性を修正するSharePoint と SharePoint Foundation の更新プログラムをリリースしている。状況に適した SharePoint の更新プログラムを至急ダウンロードし、テストしてからネットワーク全体に取り入れることをすすめる。また、ウィンドウズの自動アップデート機能に任せて必要な更新プログラムをインストールする方法もある。とはいっても、サーバの更新プログラムは実際のプロダクション環境に取り入れる前にテストしておく方がいいだろう。下記のURLからそれぞれのアドバイザリの「影響を受けているソフトウェアと受けていないソフトウェア」の欄に直接いくことができる。
解決策：
ウォッチガードユーザ専用 XTMアプライアンスでは、HTTPプロキシやSMTPプロキシ、FTPプロキシを使ってマイクロソフトのVisioドキュメントがネットワークから遮断されるように設定することができる。しかし、そうすることで問題があるないにかかわらず、すべてのVisioファイルを遮断してしまうので注意が必要だ。仕事上、定期的にネットワークの外部にVisioファイルを移動させている場合は、Visioを遮断することは避けた方がいいかもしれない。逆に、ネットワークから遮断しても差し支えない場合は、そうした対策をとることで更新プログラムをインストールするまでの間はVisio Viewerの脆弱性によるリスクを緩和させることができる。ウォッチガードのプロキシではファイル拡張子やMIMEタイプまたはメッセージ本文に見られる特定の16進数のパターン別など（マジックバイトによる検出としても知られる方法）、様々な方法でファイルやコンテンツをネットワークから遮断するように設定することができる。

Visioファイルを識別する方法： ファイル拡張子：
- .vsd - Visio Drawing ファイル
- .vst - Visio テンプレートファイル
- .vss - Visio Stencil ファイル
- .vdx - Visio XML Drawing ファイル
- .vtx - Visio XML Template ファイル
- .vsx - Visio XML Stencil ファイル
MIME タイプ:
- application/visio
- application/x-visio
- application/vnd.visio
- application/visio.drawing
- application/vsd
- application/x-vsd
- image/x-vsd
- zz-application/zz-winassoc-vsd
- application/x-visiotech
マジックバイトのパターンにより報告されたFILExt.com：
- 16進数（Hex)：D0 CF 11 E0 A1 B1 1A E1 00
Visioファイルをネットワークから遮断したいのであれば、下記のURLを参考にし、先に説明したファイルやMIME情報を使った方法でFireboxプロキシのコンテンツブロック機能を設定すればよい。
- XTM アプライアンス + WSM 11.x
- Firebox X Edge + 10.x
- Firebox X Core & X Peak + Fireware 10.x
ステータス：
マイクロソフトは脆弱性を修正できるSharePointとVisio対象の更新プログラムをリリースしている。

参考資料：
マイクロソフトのセキュリティアドバイザリ（一覧）

この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。（ツイッター：(@SecAdept)
続きを読む»
ウェブベース攻撃を回避するアドビのShockwave更新プログラム 2012年2月15日
ウェブベース攻撃を回避するアドビのShockwave 更新プログラム
2012年2月15日
コーリー・ナクライナー

概要：
- 対象：
  ウィンドウズや Mac で使用しているアドビのShockwave Player 11.6.3.633（それ以前のバージョンも含む）
- 悪用方法：
  悪質な Shockwave コンテンツを含むウェブサイトにユーザを誘導する
- 影響：
  攻撃者がユーザのコンピュータでコードを実行し、そのコンピュータを完全に操作できるようになる可能性あり
- 対策：
  ネットワークでShockwaveの使用を許可している場合は、できる限り早急にAdobe Shockwave Player の最新バージョン (11.6.4.634) をインストールすることをすすめる
詳細：
アドビによると、Shockwaveというインタラクティブな動画のウェブコンテンツやムービーを表示できる Adobe Shockwave Playerは何億台もの PC にインストールされているという。アドビは火曜日にリリースしたセキュリティアドバイザリで、Windows やMacで使われているAdobe Shockwave Player 11.6.3.633 （およびそれ以前のバージョン）に影響している深刻な脆弱性9件について警告した。アドビのセキュリティアドバイザリは技術詳細については触れていないが、大部分においてはメモリに関連する脆弱性で、ヒープ･バッファオーバーフローやその他のメモリ破損の欠陥などがある。欠陥の技術面はどれも異なるが、その作用範囲と影響力は同じだ。攻撃者が悪質に細工した Shockwave コンテンツを含むウェブサイトにユーザを誘導することに成功すると、攻撃者はこうした欠陥のいずれかを悪用してユーザのコンピュータで、ユーザの特権を使ってコードを実行することができるようになる。また、ウィンドウズユーザがローカル管理者の特権を持っていた場合、攻撃者はユーザのコンピュータを完全に操作できるようにもなる。このため、ネットワークでShockwaveの使用を許可している場合は、できる限り早急に最新バージョンをインストールすることをすすめる。

解決方法：
アドビはこうした脆弱性を修正できる Shockwave Player 11.6.4.634 をリリースしているので、ネットワークで Shockwave の使用を許可している場合は、できる限り早急に最新バージョンをインストールすることをすすめる。

最新バージョンは下記の URL からダウンロードすることができる。

解決策：ウォッチガードユーザ専用
XTMアプライアンスでは、HTTPプロキシを使って Shockwave コンテンツがネットワークから遮断されるように設定することもできる。しかし、そうすることで問題があるないにかかわらず、すべてのShockwaveコンテンツを遮断してしまう点に注意しよう。ウォッチガードのプロキシではファイル拡張子やMIMEタイプまたはメッセージ本文に見られる特定の16進数パターン別など（マジックバイトによる検出としても知られる方法）、様々な方法でファイルやコンテンツをネットワークから遮断するように設定できる。

Shockwave ファイルを識別する方法： ファイル拡張子：
- .swf - Adobe Shockwave ファイル
MIME タイプ:
- application/x-shockwave-flash
- application/x-shockwave-flash2-preview
- application/futuresplash
- image/vnd.rn-realflash
マジックバイトのパターンにより報告されたFILExt.com：
- 16進数（Hex)：46 57 53
（このパターンは短すぎるため誤検知になりやすいので勧められない）
Shockwave ファイルをネットワークから遮断したい場合は、下記のURLを参考にし、先に説明したファイルやMIME情報を使った方法でFireboxプロキシのコンテンツブロック機能を設定すればよい。
- XTM アプライアンス + WSM 11.x
- Firebox X Edge + 10.x
- Firebox X Core & X Peak + Fireware 10.x
ステータス：
アドビはこうした脆弱性を修正する Shockwave Player の更新プログラムをリリースしている。

参考資料：
- アドビ（日本版）のセキュリティ・アップデート（抄訳）
続きを読む»
オラクルの深刻なJava 脆弱性（14）を修正する 2012年2月15日
オラクルの深刻な Java 脆弱性（14）を修正する

セキュリティ更新プログラム
2012年2月15日
コーリー・ナクライナー
危険度：高

概要：
- 対象：
  JRE（Sun Java Runtime Environment）のすべてのバージョンと、今日までにリリースされた JDK（Java Development Kit）
- 悪用方法：
  細工した Java を含む悪質なウェブページにユーザを誘導する方法が一般的
- 影響：
  結果は様々だが、最悪の場合は攻撃者がユーザのコンピュータを完全に操作できるようになる
- 対策：
  状況に適した JRE (または JDK) の更新プログラムをできる限り早急にインストールすること
詳細：
サン･マイクロシステムズにより開発されたプログラミング言語の Java は、ウェブページを向上させるためによく使われる。オラクルのSun< a href="http://en.wikipedia.org/wiki/Java_%28software_pla tform%29" target="_blank">Java Runtime Environment (JRE)は、現在もっとも人気のある Java インタプリタである。しかし、米国時間の2月14日にオラクルはセキュリティアラートをリリースし、Windows、Solaris、Linux のプラットフォームで使用しているSun JRE （または Sun Java SDK）における、これまでのバージョンすべてに影響を与えるセキュリティ脆弱性 14 件について警告した。脆弱性の技術面はそれぞれ異なるが、攻撃者は Java を含む特別に細工した悪質なウェブページにユーザを誘導するなどして欠陥を悪用することができる。最悪の場合、もしユーザがそうしたサイトに行ってしまった場合、攻撃者はいずれかの Java欠陥を利用し、ユーザの特権を使ってそのコンピュータでコードを実行できるようになる。また、ユーザがローカル管理者やルート特権を持っていた場合、攻撃者はこうした欠陥を利用して、そのコンピュータを完全に操作できるようになることも考えられる。

ウォッチガードが今回の Javaアップデートを深刻な問題として受け止めるに至った理由は、攻撃者達によるJava欠陥をターゲットにしたドライブバイ･ダウンロード攻撃が次第に増えており、ウェブ・ブラウザ欠陥を悪用するケースよりも頻繁に見られるようになってきているからだ。
大方のユーザがそうであるように、Javaをインストールしている場合はオラクルのセキュリティ更新プログラムをできる限り早急にダウンロードし、インストールすることをすすめる。

解決方法：
サンはこうした問題を修正するため、JREとSDKを対象にした数々のセキュリティ更新プログラムをリリースしている。ネットワークでSun JRE を使用している場合は、できる限り早急に状況に適したセキュリティ更新プログラムをダウンロードし取り入れることをすすめる。セキュリティ更新プログラムはオラクルのアラートにある「Patch Availability Table」の欄で見つけることができる。

解決策：ウォッチガードユーザ専用
ウォッチガードのFireboxモデルの中にはウェブサイトからJavaアプレットをユーザがダウンロードできないように設定できるものもある。しかし、そうすることで特に問題のないウェブサイトもJavaアプレットを使うことができなくなるため、Java アプレットを無効にしたくないのであれば、状況に適した Sun JRE セキュリティ更新プログラムをできる限り早急にダウンロードすることをすすめる。また、Javaアプレットを無効にすることでいくつかの脆弱性によるリスクを緩和させることができるかもしれないが、すべてのリスクを抑えるわけではないので、オラクルの更新プログラムを取り入れることが最善の解決方法であるといえるだろう。 FireboxのHTTPプロキシでJavaバイトコードを無効にする方法については、ヘルプページを参考にすることをすすめる。

ステータス：
オラクルは問題を修正する更新プログラムをリリースしている。

参考資料：
- オラクルのセキュリティアドバイザリ（2012年2月）
この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。
（ツイッター：(@SecAdept)
続きを読む»
9つのセキュリティ脆弱性を修正する6つのウィンドウズセキュリティ更新プログラム 2012年2月14日
9つのセキュリティ脆弱性を修正する6つのウィンドウズセキュリティ更新プログラム
2012年2月14日
コーリー・ナクライナー
.NET Framework / カーネルモード・ドライバ / Indeo コーデック、その他
危険度：高

概要：
- 対象：
  現バージョンのウィンドウズと搭載されているコンポーネント。 .NET Framework と SilverLight にも影響あり
- 悪用方法：
  有害なウェブサイトにユーザを誘導したり、有害なメディアやファイルを開くように促すなど様々な攻撃方法がある
- 影響：
  結果は様々だが、最悪の場合は攻撃者がユーザのウィンドウズを完全に操作できるようになる
- 対策：
  状況に適したマイクロソフトのセキュリティ更新プログラムを至急インストールするか、ウィンドウズの自動アップデート機能に任せることをすすめる
詳細：
今日、マイクロソフトはウィンドウズとそれに搭載されているコンポーネントに影響を与えている 9 つの脆弱性について、6 件のセキュリティアドバイザリをリリースした。アドバイザリの中には、.NET FrameworkやSilverlightで発見された欠陥について説明しているものもある。この2つはオプション機能だが、ウィンドウズ開発に使う人気のフレームワークだ。各脆弱性の対象となるウィンドウズ・バージョンとその影響は異なるが、リモート攻撃者はその中でも悪質な欠陥を利用してユーザのウィンドウズ PC を完全にコントロールできるようになる。

危険性の高い問題から順番にまとめた概要は以下のとおり：
- MS12-008: カーネルモード･ドライバの脆弱性（2）
カーネルは、あらゆるコンピュータにおいてオペレーティングシステムのコア構成要素である。ウィンドウズには、OSのデバイスインタラクションをカーネルレベルで処理するカーネルモード・デバイス・ドライバ(win32k.sys)も搭載されている。しかし、カーネルモード･ドライバは2つの脆弱性の影響を受けており、中でも悪質なのは、カーネルモード･ドライバがWindows GDIからパスされたインプット処理で入力確認できない点が原因となっているコード実行の欠陥だ。有害なウェブサイトにユーザを誘導したり、特別に細工したメールを開かせたり、悪質なプログラムを実行させるように促すなどして、攻撃者はこの欠陥を悪用してユーザの Windows コンピュータを完全に操作できるようになる。これは実に深刻な欠陥であるため、できる限り早急に更新プログラムをインストールすることをすすめる。マイクロソフトの評価：深刻
- MS12-013: Msvcrt.dll バッファオーバーフローの脆弱性
Msvcrt.dll はダイナミックリンクライブラリ (DLL)で、ウィンドウズのシステムレベルのコンポーネントが定期的なタスクを行う場合によく使う機能だ。しかし、これは未特定のバッファオーバーフローの影響を受けており、細工したメディアファイルをユーザが開くように誘導すると（メールやウェブを使用）、攻撃者は欠陥を悪用してそのユーザの特権を使い、ユーザのコンピュータでコードを実行できるようになる。また、ユーザがローカル管理者である場合、攻撃者はユーザのPCを完全に操作できるようにもなる。マイクロソフトの評価：深刻
- MS12-016: .NET Frameworkのコード実行欠陥（2）
. NET Frameworkは新しいウィンドウズやウェブアプリケーションの作成に開発者が使うソフトウェア・フレームワークだが、 .NET Framework と SilverLight は2つのコード実行脆弱性の影響を受けている。2つの欠陥の技術面は異なるが、その作用範囲と影響力は同じだ。.NET Frameworkをインストールした細工済みのウェブサイトにユーザを誘導することに成功すると、攻撃者はこの欠陥を悪用してユーザの特権を利用しながら、そのコンピュータでコードを実行できるようになる。また、ユーザがローカル管理者の特権を持っていた場合、攻撃者はそれを利用してユーザのコンピュータを完全に操作できるようにもなる。この欠陥は .NET FrameworkやSilverlightエレメントを使うウェブサイトにも影響しているほか、社内で開発し実際に使用している多くのカスタム .NETベースプログラムにも影響している。つまり、サーバやクライアントに.NET framework をインストールしている場合は、更新プログラムを取り入れることをすすめる。マイクロソフトの評価：深刻
- MS12-009: Ancillary Function ドライバのEoP 脆弱性（2）
マイクロソフトによると、Ancillary Functionドライバ (AFD)はウィンドウズのコンポーネントで、Winsock TCP/IP コミュニケーションを管理するために役立つという。しかし、それは2つのローカル特権昇格 (EoP)の問題の影響を受けており、特別に細工したアプリケーションを実行することで、攻撃者は実際の自分のユーザ特権にかかわらず、欠陥を利用して完全なシステム特権でコードを実行することができる。しかし、攻撃者がそのプログラムを実行できるようにするには、まず有効なクレデンシャルでユーザのウィンドウズへのローカルアクセス権を必要とするため、このリスクは大幅に低下する。マイクロソフトの評価：重要
- MS12-012: カラーコントロールパネルの動作が不安定なライブラリローディングの脆弱性
Windows 7 にはカラーコントロールパネルなど、様々な「デスクトップ・エクスペリエンス」機能が搭載されている。Windows Server 2008やServer 2008 R2は、こうしたデスクトップ・エクスペリエンス機能を既定的にインストールしていないが、オプションとしては提供している。しかし残念ながら、Server 2008 バージョンのカラーコントロールパネルは、過去のマイクロソフトアラートで何度も説明してきたダイナミックリンクライブラリ（DLL)のローディングクラス問題の影響を受けている。ひとことでいえば、この種類の欠陥は細工済みのDLLファイルと同じ場所にある罠を仕掛けたファイルを攻撃者がユーザに開かせることに関与している。罠が仕掛けられているファイルをユーザが開くと、攻撃者はユーザの特権を利用して、その有害な DLL ファイルでコードを実行できるようになる。ユーザがローカル管理者の特権を持っている場合は、攻撃者がこの種の問題を悪用してユーザのコンピュータを完全に操作できるようになる。今回の場合はカラーコントロールパネル、特に .ICM や .ICC ファイルに関連したファイルの種類により、脆弱性は誘発されるようになっている。この欠陥の影響を受けているのは、 Windows Server 2008 と Server 2008 R2 のユーザで、オプション機能のカラーコントロールパネルをインストールしている場合に限られている。マイクロソフトの評価：重要
- MS12-014: Windows XP のIndeo コーデックの動作が不安定なライブラリローディングの脆弱性
Indeo コーデックはレガシービデオコーデックで、特に圧縮されフォーマットされたビデオをウィンドウズが再生するために使う機能だ。Windows XPに搭載されているIndeo コーデックは、先述の問題とほぼ同じである動作が不安定なライブラリローディング問題の影響を受けている。その2つが唯一異なるところは、攻撃者は有害なDLLと同じ場所にある .AVIファイルをユーザがダウンロードするように誘導しなければならない点だ。ただし、この欠陥の影響を受けているのはWindows XP のみである。マイクロソフトの評価：重要

解決方法：
マイクロソフトは、こうした問題をすべて修正できるウィンドウズ対象の更新プログラムをリリースしているので、状況に適したウィンドウズのプログラムを至急ダウンロードしテストしてからネットワーク全体に取り入れることをすすめる。また、ウィンドウズの自動アップデート機能に任せて必要な更新プログラムをインストールする方法もある。下記のURLからそれぞれのアドバイザリにある「影響を受けているソフトウェアと受けていないソフトウェア」の欄に直接いくことができる。また、各種セキュリティ更新プログラムのダウンロード先も、ここで確認できる。
解決策：ウォッチガードユーザ専用
攻撃者達は、様々な悪用方法を使ってこうした欠陥を悪用するが、適切に設定してあるファイアウォールであれば、こうした問題のいくつかのリスクを緩和させることができる。また、WatchGuard のプロキシポリシーは、この欠陥を悪用するために必要なタイプのコンテンツのいくつかをネットワークから阻止できるように設定できるものもある。とはいっても、WatchGuard のアプライアンスでローカル攻撃を阻止することはできないので、マイクロソフトのセキュリティ更新プログラムをインストールし、こうした欠陥から自分のネットワークを完全に守ることをすすめる。

ステータス：
マイクロソフトは脆弱性を修正するセキュリティ更新プログラムをリリースしている。

参考資料：
- マイクロソフトセキュリティアドバイザリ一覧（日本語）
この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。（ツイッター：(@SecAdept)
続きを読む»
ドライブバイダウンロードを避けるには？ IE のセキュリティ更新プログラム 2012年2月14日
ドライブバイダウンロードを避けるには？
IE のセキュリティ更新プログラム
2012年2月14日
コーリー・ナクライナー
危険度：高

概要：
- 対象：
  現バージョンのウィンドウズで使用している Internet Explorer すべてのバージョン（程度に違いあり）
- 悪用方法：
  有害なウェブページにユーザを誘導する
- 影響：
  この問題による影響は様々だが、最悪の場合は攻撃者がユーザのコンピュータでコードを実行し、それを操作できるようになる
- 対策：
  状況に適した Internet Explorer の更新プログラムを至急インストールするか、ウィンドウズの自動アップデート機能に任せること
詳細：
マイクロソフトは米国時間2月14日に月例パッチを発表した。このセキュリティアドバイザリでは、現バージョンのウィンドウズで使用している Internet Explorer (IE) バージョン 9.0 とそれ以前のバージョンで発見された 4 つの新しい脆弱性について説明、その危険度を「深刻」と評価している。欠陥の技術面はそれぞれ異なるが、そのうち2つの欠陥の作用範囲と影響力は同じである。その2つは、IE が多々ある HTML オブジェクトの取り扱いを誤る点に関係したメモリ破損欠陥の影響を受けている。有害なウェブコードを含むウェブページにユーザを誘導することに成功すると、攻撃者は脆弱性を悪用してユーザの特権をもってそのコンピュータでコードを実行できるようになる。通常、ウィンドウズユーザはローカル管理者の特権を持っているが、その場合は攻撃者がユーザのコンピュータを完全に操作できるようになる。このセキュリティ更新プログラムは他にも二つの情報開示問題も修正している（先述の脆弱性に比べれば深刻性は低い）。詳細についてはマイクロソフトのセキュリティアドバイザリを参照することをすすめる。最近の攻撃者達は、正当なウェブページをハイジャックして有害なコードで罠を仕掛ける手口を使うため、その点においても注意が必要だ。見覚えのあるウェブサイトや正当なウェブサイトでさえも、その方法でハイジャックされドライブバイ･ダウンロード攻撃に利用されているケースがよく見られる。こうした攻撃を避けるには、マイクロソフトが提供している IE のセキュリティ更新プログラムをできる限り早急にインストールすることをすすめる。

解決方法：
マイクロソフトは脆弱性を修正するセキュリティ更新プログラムをリリースしているので、状況に適した IE の更新プログラムを至急インストールするか、ウィンドウズの自動アップデート機能に任せることをすすめる。

注意：日本語版をダウンロードするには「Change Language:」と表記されたドロップダウンから「Japanese」を選択しよう。マイクロソフトが提供しているIE アドバイザリの「影響を受けているソフトウェアと受けていないソフトウェア」の欄には、下記にまとめたリンクから直接いくことができる。また、IE の各種セキュリティ更新プログラムのダウンロード先も、ここで確認することができる。

解決策：ウォッチガードユーザ専用
通常、このタイプの攻撃はごく普通のHTTPトラフィックに見せかけた状態でやってくるが、ネットワーク上のユーザがインターネットにアクセスできるようにするには HTTPトラフィックを許可しなければならないため、セキュリティ更新プログラムを取り入れることが主な対策となる。大方の場合、ウォッチガードの IPS / AV / RED (Reputation Enabled Defense) サービスを使ってこの種の攻撃からネットワークを守ることができる。

ステータス：
マイクロソフトは脆弱性を修正するセキュリティ更新プログラムをリリースしている。

参考資料：
マイクロソフトのセキュリティアドバイザリ（一覧）

この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。
（ツイッター：(@SecAdept)

続きを読む»

52のセキュリティ脆弱性を修正、2012年初のOSX アップデート 2012年2月1日

52のセキュリティ脆弱性を修正、2012年初のOS X アップデート
2012年2月1日
コーリー・ナクライナー

概要：

対象：
現バージョンの OS X 10.6.x (Snow Leopard) と OS X 10.7.x (Lion)
悪用方法：
有害なウェブサイトにユーザを誘導したり、ユーザがドキュメントやメディアファイルを開くように仕向けるなど、様々な攻撃方法がある
影響：
結果は様々だが最悪の場合は攻撃者がユーザのコンピュータでコードを実行できるようになる
対策：
OS Xの管理者は、できる限り早急にOS X 10.7.3 またはセキュリティアップデート2012-001をダウンロードしテストしてからインストールするか、アップルのソフトウェアアップデートに任せ、必要な更新プログラムを取り入れることをすすめる

詳細：
アップルは米国時間の2月1日にセキュリティアップデートをリリースし、OS Xの現バージョンで発見された脆弱性をすべて修正した。このアップデートは27のコンポーネント内で発見されたセキュリティ問題（52件）を修正することができる（数字はCVE-IDより）。こうしたコンポーネントにはApacheやQuicktime、Time Machine などがあり、OS X やOSX Serverの一部として搭載されている。

今回修正された脆弱性のいくつかを次に説明する：

ImageIOバッファ・オーバーフローの脆弱性（複数）
ImageIO は、様々な種類のイメージファイルをOS Xが処理できるようにするコンポーネントだが、残念なことにバッファ・オーバーフローなど様々なセキュリティ脆弱性の影響を受けている。この脆弱性は特定の種類のイメージファイルを処理する方法に関与しており、技術面は異なるものの、その作用範囲と影響力はどれもほぼ同じである。細工された悪質なイメージファイルをユーザが閲覧すると、その罠を仕掛けた攻撃者はいずれかの欠陥を悪用してアプリケーションをクラッシュさせたり、被害者のコンピュータでコードを実行することが可能になる。また、デフォルトにより攻撃者はユーザの特権でのみコードを実行することができる。

問題の影響を受けているイメージタイプ：TIFFやPNGなど。
CoreAudioバッファ・オーバーフローの脆弱性
CoreAudioはオーディオコンテンツをOS Xが再生できるようにするコンポーネントだが、バッファ・オーバーフローの影響を受けている。細工済みの悪質なオーディオファイルをユーザに再生させると、攻撃者はこの欠陥を悪用してユーザのシステムをクラッシュさせたり、ユーザの特権を使ってコードを実行できるようになる。
Quicktimeの脆弱性（複数）
QuicktimeはOS X（およびiTunes）に搭載されており、ビデオやメディアの再生を可能にするものだが、6つのセキュリティ問題の影響を受けていることが分った（数字はCVE-IDによる）。こうした脆弱性は、特定のイメージやビデオファイルを処理する方法に関与しており、それぞれの技術面は異なるが作用範囲と影響力は同じだ。攻撃者は、悪質に細工されたイメージやビデオをユーザがQuickTimeで閲覧するように仕向け、それに成功するといずれかの欠陥を悪用し、ユーザの特権でそのユーザのコンピュータでコードを実行できるようになる。

アップルのアラートは、サービス拒否（DoS)欠陥や特権昇格の脆弱性そして情報開示の欠陥など、その他にも様々なコード実行の脆弱性について説明している。

今回のセキュリティ更新プログラムで修正された主なコンポーネント：

Apache	ATS
CFNetwork	ColorSync
CoreAudio	CoreMedia
CoreText	CoreUI
curl	Data Security
dovecot	filecmds
ImageIO	Internet Sharing
Libinfo	libresolv
libsecurity	OpenGL
PHP	QuickTime
SquirrelMail	Subversion
Time Machine	Tomcat
WebDAV Sharing	Webmail
X11

詳細に関してはアップルの OS X 10.5.x と10.6.x のアラートを参照することをすすめる。

解決方法：
アップルはOS X Security Update 2012-001 と OS X 10.7.3をリリースし、こうしたセキュリティ問題を修正しているので、OS Xの管理者はできる限り早急に更新プログラムをダウンロードしテストしてから取り入れるか、アップルの自動ソフトウェアアップデート機能に任せて必要な更新プログラムをインストールすること。

注意：
セキュリティ更新プログラムの中にはサイズが大きなものもあるので（700MBまたはそれ以上）、再起動の必要がある。
全ユーザ対象：
攻撃者達は様々な悪用方法を使ってこうした欠陥を悪用するが、中にはユーザのぺリメター・ファイアウォールに気付かれずに攻撃が行われるローカルの悪用方法もある（社内の部署間でファイアウォールを設置している場合は別）。このためセキュリティ更新プログラムをインストールすることがもっとも安全な対策といえるだろう。
ステータス：
アップルは欠陥を修正できる更新プログラムをリリースしている。
参考資料：

2012年2月　OS X セキュリティアップデート（英文）
アップル（日本語サイト）

この記事はコーリー・ナクライナー CISSP が調査し書いたものです。
ツイッター：@SecAdept

最近の記事

月別アーカイブ