Security Alert (セキュリティニュース)

Apple OS X セキュリティ更新プログラム、クリアテキスト･パスワード問題を修正

2012年5月10日


危険度：高

コーリー・ナクライナー
概要：

• 対象：
  現バージョンの OS X 10.6.x (Snow Leopard) および OS X 10.7.x (Lion)
  
• 悪用方法：
  有害なウェブサイトにユーザを誘導したり、イメージやメディアファイルを開くように仕向けるなど様々な攻撃方法がある
  
• 影響：
  結果は様々だが、最悪の場合は攻撃者がユーザのコンピュータでコードを実行できるようになる。また、攻撃者はこうした問題を組み合わせてユーザの Mac を任意に操作できるようにもなる。
  
• 対策：
  OS X の管理者は、できる限り早急に OS X 10.7.4 またはセキュリティアップデート 2012-002 をダウンロードし、テストしてからインストールするかアップルのソフトウェアアップデートに任せて必要な更新プログラムを取り入れること。
  

詳細：
きのう遅く、アップルは セキュリティアップデート を公開し、現バージョンのOS Xで発見された脆弱性をすべて修正できるセキュリティ更新プログラムをリリースした。このアップデートは 19 のコンポーネントで発見されたセキュリティ問題、約 36 件を修正している（数字は CVE-ID によるもの）。 Quicktime、Kernel、Time Machine その他など、様々なコンポーネントが OS X や OSX Server の一部として搭載されている。
今回修正された脆弱性のうちいくつかを下記に説明する。

• ローカルファイルボルト・パスワード情報開示の脆弱性

File Vault は Mac でファイルを暗号化する OS X コンポーネント、そして Login Window は Mac へのログインを可能にするコンポーネントだ。しかし、今週始めに研究家達はローカルでパスワードを表に出してしまうアップルの File Vault にある欠陥の情報を公開した。問題は、ユーザが OS X Lion から OS X Snow Leopard にアップグレードした場合、アップグレード・プロセスが debug flag をセットするため、クリアテキストでパスワードがローカル・ログファイルに保存されてしまうという点である。つまり、その Mac にローカルアクセス権さえ持っていれば、そのシステムにログインした誰もがそのパスワードを見ることができるようになる。今回の Login Window アップデート はこの問題を修正し、ファイルにパスワードが保存されないようにすることができる。とはいっても、すでにログに残っているパスワードを除去することはできないため、過去のパスワードを手動削除したい場合は、こちらの記事を参照することをすすめる。

• ImageIOバッファ・オーバーフローの脆弱性（複数）

ImageIO は OS Xが様々なイメージファイルタイプを処理・表示できるようにするコンポーネントだ。しかし、このコンポーネントは 4 つのセキュリティ脆弱性の影響を受けている（ バッファ・オーバーフロー 2 件など）。 TIFF イメージファイルを処理する方法に関与するこの欠陥の技術面はそれぞれ異なるが、その大方の欠陥の作用範囲と影響力は同じだ。細工した悪質なイメージファイルを被害者が閲覧するように仕向けることに成功すると（有害なウェブサイトにホストするなど）、攻撃者はより深刻な方の欠陥を悪用してアプリケーションをクラッシュさせたり、被害者の Mac でユーザの特権を使って攻撃用コードを実行したりすることができるようになる。また、攻撃者はアップルのアラートで説明されている他の脆弱性を悪用して、ユーザの Mac を任意に操作できるようにもなる。

アップルのアラートは、 サービス拒否 欠陥や 特権昇格 の脆弱性、また情報開示の欠陥などその他様々なコード実行脆弱性についても説明している。今回のセキュリティ更新プログラムで修正されたコンポーネントのいくつかは次の通りだ。

詳細に関してはアップルの OS X 10.6.x と 10.7.x のアラートを参照することをすすめる。

注意
アップルは Safari のアラートとアップデートもリリースしており、Safari の Mac 版と Windows 版の両バージョンで発見された 4 つの脆弱性を修正している。攻撃者は、こうした脆弱性のうち少なくとも 1 件を利用してドライブバイ･ダウンロード攻撃を仕掛けることができるので、Mac や PC で Safari を使用している場合はバージョン 5.1.7 にアップデートするか、アップルの自動アップデート機能に任せることをすすめる。

解決方法
アップルはOS X Security Update 2012-002 と OS X 10.7.4 をリリースし、こうしたセキュリティ問題を修正している。OS Xの管理者は、できる限り早急に更新プログラムをダウンロードしテストしてから取り入れるか、アップルの自動ソフトウェアアップデート機能に任せることをすすめる。

• OS X Lion アップデート 10.7.4 (Client)
• OS X Lion アップデート 10.7.4 (Client Combo)
• OS X Lion アップデート 10.7.4 (Server)
• OS X Lion アップデート 10.7.4 (Server) Combo
• Security アップデート 2012-002 Server (Snow Leopard)
• Security アップデート 2012-002 Server (Snow Leopard)
Mac や PC で Safari を使用しているユーザはバージョン 5.1.7にアップデートすることをすすめる。

全ユーザ対象：
攻撃者達は、様々な悪用方法を使ってこうした欠陥を悪用し、中にはローカルのものもある。つまり、ユーザのぺリメターファイアウォールに気付かれずに攻撃が行われるため、セキュリティ更新プログラムをインストールすることがもっとも安全な対策といえるだろう。

ステータス：
アップルは欠陥を修正する更新プログラムをリリースしている。

参考資料：
• 2012年 5月　OS X セキュリティアップデート
• 2012年 5月　Safari セキュリティアップデート

この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。
（ツイッター：(@SecAdept)

続きを読む»

アドビの定例セキュリティアップデート公開日
Shockwave、Flash Professional、Illustrator のセキュリティ更新プログラム


2012年5月8日


危険度：高

コーリー・ナクライナー
概要：

• 対象：
  Adobe Shockwave Player、Flash Professional、Photoshop、Illustrator
  
• 悪用方法：
  悪質なファイルをユーザが開くように仕向けたり、特別に細工したウェブサイトにユーザを誘導するなど、様々な攻撃方法がある
  
• 影響：
  結果は様々だが、最悪の場合は攻撃者がユーザのコンピュータを完全に操作できるようになる
  
• 対策：
  状況に適した アドビのセキュリティ更新プログラムを至急インストールするか、アドビの自動アップデート機能に任せることをすすめる
  

詳細：
今日、アドビは 4 件のセキュリティアドバイザリをリリースし、Shockwave Player、Flash Professional、Photoshop、Illustrator など、多々ある人気のソフトウェアパッケージに見られる脆弱性について説明した。
リモート攻撃者は、その中でも悪質な欠陥を利用しユーザのコンピュータを完全にコントロールできるようになる。

• APSB12-13:
Shockwave のコード実行問題(5）
Shockwaveというインタラクティブな動画のウェブコンテンツやムービーを表示することができる Adobe Shockwave Player は、4 億 5 千万台もの PC にインストールされているとアドビは報告している。
このアドバイザリは、ウィンドウズや Mac で使用しているアドビの Shockwave Player 11.6.4.634 と、それ以前のバージョンに影響している 5 つのセキュリティ脆弱性について警告している。アドビのセキュリティアドバイザリは技術詳細について触れていないが、メモリ破損の脆弱性と分類はされており、影響力はどれも同じと報告されている。攻撃者が悪質に細工した Shockwave コンテンツを含むウェブサイトにユーザが誘導すると、攻撃者はいずれかの欠陥を悪用し、ユーザのコンピュータでユーザの特権を使って、コードを実行できるようになる。また、ウィンドウズ・ユーザがローカル管理者 の特権を持っていた場合、攻撃者はユーザのコンピュータを完全に操作できるようにもなる。
アドビの評価 : 2 （30 日以内に更新プログラムを取り入れること）

• APSB12-12:
Flash Professional バッファオーバーフローの脆弱性
アドビのFlash はインタラクティブなウェブ動画のコンテンツやビデオの作成に使うプラットフォームで、 Flash Professional はFlashコンテンツを作成するために使うオーサリング環境だ。
しかし Flash Professional 11.5.1.348 と旧バージョンの Windows と Mac は バッファオーバーフロー の影響を受けている。アドビはこの欠陥の詳細について一切説明しておらず、攻撃者がどのようにこの問題を悪用するかについても説明していない。しかし、細工済みの Flash コンテンツをユーザが Flash Professional で開いた場合、攻撃者はこの欠陥を利用してユーザの特権で、そのコンピュータでコードを実行できるようになるだろう。例によって、ユーザに管理者またはルート特権が備わっている場合は、攻撃者がユーザのコンピュータを完全に操作できるようになる。
アドビの評価: 3 （できる時に更新プログラムを取り入れること）

• APSB12-11:
Photoshop TIFF 処理の脆弱性
Photoshop はイメージ編集に使う人気プログラムだが、Photoshop CS5.5（WindowsおよびMac版）は特別に細工されたTIFFイメージを適切に処理できない点、そして未特定のバッファオーバーフロー問題といった2つの脆弱性の影響を受けている。悪質なイメージをユーザがダウンロードし、それを Photoshop で閲覧するように仕向けると、攻撃者は TIFF 欠陥を悪用してユーザの特権で、そのコンピュータにてコードを実行できるようになる。ユーザにローカル管理者の特権がある場合、攻撃者はユーザのコンピュータを完全に操作できるようになる。アドビは、攻撃者が 2 つめのバッファオーバーフローの脆弱性を利用するかについて説明していない。
アドビの評価: 3 （できる時に更新プログラムを取り入れること）

• APSB12-10:
Illustrator のコード実行問題(5） Illustrator はアドビのベクター・ドローイング・ソフトウェアだが、未特定のメモリ破損問題（5件）の影響を受けている。アドビは欠陥の詳細について説明していないが、コード実行問題と分類はしている。これはおそらく、特別に細工されたIllustrator 互換性ファイル（イメージなど）をユーザが処理すると、攻撃者がこの欠陥を悪用しユーザの特権でそのコンピュータにてコードを実行できるようになるのではないかというのが我々の推測だ。ユーザが管理者である場合、攻撃者はユーザのPCを完全に操作できるようになる。 アドビの評価:
3 （できる時に更新プログラムを取り入れること）
アドビが先週公開したFlash Player更新プログラム をまだインストールしていない場合は、今すぐそれを取り入れることをすすめる。今回のリリースよりも、先週リリースされたその更新プログラムの方が、より深刻な問題に対応しているからだ。

解決方法：
アドビは影響を受けているソフトウェアすべてに対してセキュリティ更新プログラムをリリースしている。次のソフトウェアいずれかを使用している場合は、状況に適した更新プログラムをできる限り早急にダウンロードしデプロイするか、アドビの自動アップデート機能に任せて必要なプログラムをインストールすることをすすめる。

注意
アドビはこうしたフィックスのいくつかを有料の更新プログラム（CS6)としてのみリリースするという姿勢を取っている。有料の更新プログラムを利用するつもりがなかった場合は、このようなセキュリティ問題を検討した上で決断しなければならない。しかし、今回問題となっている製品を攻撃者らが頻繁に標的として用いない点は、前向きに考えられるところとも言えるが（(Photoshop、Illustrator、Flash Professional）、最新のセキュリティ更新プログラムをすすめないのは我々にとっても難しい。アドビがこうしたセキュリティ更新プログラムにて全バージョンを対象にしていないことは残念である。

• APSB12-13:Shockwave 11.6.5.635 にアップグレード
• APSB12-12: 最善策は有料のセキュリティ更新プログラム、 Flash Professional CS6 にアップグレードすること
• APSB12-11: Photoshop CS6 にアップグレードすること
• APSB12-10: 最善策は有料のセキュリティ更新プログラム、 Illustrator CS6 にアップグレードすること

解決策： ウォッチガードユーザ専用
攻撃者達は様々な悪用方法を使ってこうした欠陥を悪用することができる。適切に設定した UTM であれば、こうした問題によるいくつかのリスクを緩和させることができる。とはいっても、ローカル攻撃を阻止することはできず、通常のHTTP トラフィックを利用する攻撃を阻止することもできないので、アドビが用意したセキュリティ更新プログラムをインストールすることがもっとも安全な対策といえるだろう。
ステータス：
アドビは脆弱性を修正するセキュリティ更新プログラムをリリースしている。

参考資料：
o アドビのセキュリティ･アップデート APSB12-10
o アドビのセキュリティ･アップデート APSB12-11
o アドビのセキュリティ･アップデート APSB12-12
o アドビのセキュリティ･アップデート APSB12-13
o アドビのセキュリティアドバイザリ（日本語 抄訳）

この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。
（ツイッター：(@SecAdept)

続きを読む»

Windows セキュリティ更新プログラム
.NET Framework + Office も修正


2012年5月8日

コーリー・ナクライナー
概要：

• 対象：
  現バージョンのウィンドウズとオプションの.NET Framework コンポーネント Office とSilverlight に影響するアドバイザリ (1 件)
  
• 悪用方法：
  特別に細工したドキュメントをユーザに実行させたり、有害なコンテンツを含むウェブサイトにユーザを誘導するなど、様々な攻撃方法がある
  
• 影響：
  最悪の場合は攻撃者がユーザのウィンドウズを完全に操作できるようになる
  
• 対策：
  状況に適したマイクロソフトのセキュリティ更新プログラムをできる限り早急にインストールするか、ウィンドウズのアップデート機能に任せて必要なプログラムをインストールすること

詳細：
今日、マイクロソフトは主にウィンドウズとオプションの.NET Framework コンポーネントに影響を与えている 15 の脆弱性について 4 件のセキュリティアドバイザリをリリースした。その他にも Office と Silverlight にも影響するアドバイザリが 1 件ある。各脆弱性の対象製品のバージョンと影響は異なるが、リモート攻撃者はその中でも悪質な欠陥を利用し、ユーザのウィンドウズ PC を完全にコントロールできるようになる。 できる限り早急にセキュリティ更新プログラムをダウンロードし、テストしてからデプロイすることをすすめる（特に深刻と評価されているもの）。 危険性の高い問題から順番にまとめた概要は以下の通り：
• MS12-034:
Windows、Office、.NET Framework と SilverLight にも影響 普段とは異なるこのマイクロソフトのセキュリティアドバイザリは、4つのマイクロソフト製品（Windows、Office、.NET Framework、Silverlight）において、外見上異なる脆弱性を修正している。こうした製品すべてのファイルに欠陥が影響しているため、マイクロソフトはこれらをひとつのアドバイザリにまとめている。 様々なコード実行の脆弱性や ドライブバイ･ダウンロード 系の問題、ローカルの 特権昇格 の欠陥、 サービス拒否（DoS） の脆弱性などがあり、これら10 件の脆弱性は大きく異なる。アドバイザリによると、研究家または攻撃者達は更新プログラムが用意される前に 3 つの脆弱性を公表、攻撃者達は少なくとも対象が限定されている攻撃 1 つをすでに実行している。 通常のユーザにとってもっともリスクの高いのは、フォントやイメージ処理の脆弱性だろう。 TrueType フォント や EMF イメージ を処理するためにWindowsが使用するコンポーネントは複数のコード実行欠陥の影響を受けている。細工済みのイメージやTrueTypeフォントをユーザが取り扱うように仕向けることに成功すると、攻撃者はこの欠陥を悪用してユーザの特権を利用し、そのユーザのコンピュータへのアクセス権を入手できる。また、ユーザにローカル管理者の特権があった場合、攻撃者はユーザのコンピュータを完全に操作できるようにもなる。攻撃者はこうした悪質なフォントやイメージをウェブサイトやドキュメントまたはメールなどに埋め込むことができる。しかし、こうした攻撃方法の中には、ユーザからのインタラクションを必要とするものもある。このアドバイザリは様々な製品に見られる深刻な脆弱性を多々修正しているため、（攻撃者達がすでに一般の環境下で悪用しているものも含む）できる限り早急にセキュリティ更新プログラムをダウンロードし、テストしてからデプロイすることをすすめる。 マイクロソフトの評価：深刻
• MS12-035 :
.NET Framework 遠隔操作によるコード実行の脆弱性(2）
.NET Framework は新しいウィンドウズやウェブアプリケーションを作成するために開発者が使う ソフトウェア・フレームワーク だ。コンピュータにおいて、 シリアル化 はデータ構造やデジタル保存、トランスミッションを許可する状態のオブジェクトを変換するプロセスだが、.NET Framework はシリアル化プロセスに関与する2つのコード実行問題の影響を受けている。特別に細工したウェブサイトに .NET Frameworkをインストールし、そのサイトにユーザを誘導することに成功すると、攻撃者はこの欠陥を悪用してユーザの特権を利用しながら、そのコンピュータでコードを実行できるようになる。また、ユーザがローカル管理者の特権を持っていた場合、攻撃者はこうした欠陥を利用してユーザのコンピュータを完全に操作できるようにもなる。この欠陥は社内で開発し実際に使用しているカスタムの.NET Framework をベースにしたプログラムにも影響を及ぼすことができるので、.NET Framework をネットワークで使用している場合は、この更新プログラムをできる限り早急に取り入れることをすすめる。 マイクロソフトの評価：深刻
• MS12-032 :
TCP/IP 特権昇格の欠陥とファイアウォール迂回問題 Windowsのネットワーキング･コンポーネントの2つがセキュリティ欠陥の影響を受けている。Windows TCP/IP スタックは、IPv6アドレスからローカル･ネットワーク･インターフェイスをバインドする方法に関与するローカル特権昇格の欠陥の影響を受けている。 特別に細工したプログラムを実行すると、ローカル攻撃者はこの欠陥を悪用してユーザのWindowsコンピュータを完全に操作できるようになる。とはいっても、攻撃者はまず有効なクレデンシャルを使ったユーザのウィンドウズへのローカルアクセス権を必要とする。
また、Windowsのホストベースのファイアウォールはファイアウォール迂回の脆弱性の影響を受けている。Windows ファイアウォールはパケットを ブロードキャスト するアウトバウンド･ファイアウォール･ポリシーを適切に用いることができず、ユーザのWindowsコンピュータへのアクセス権を持つ攻撃者は、この問題を悪用して Windowsコンピュータに適用していたアウトバウンド・ファイアウォールのポリシーを迂回するために、これを悪用することができる。この欠陥は、外部からの攻撃者がユーザのシステムへのアクセスを得るように許可することはないが、マルウェアがユーザのシステムを感染させ、コマンドやコントロール（C&C)接続を攻撃者に返しやすくすることができる。
マイクロソフトの評価：重要
• MS12-033 :
パーティション管理の特権昇格の脆弱性
コンピュータにおいて、 ディスクパーティション はハードドライブを1つのロジカル･ストレージ・ユニット以上に分けることを意味する。 Windowsはパーティション管理コンポーネントを搭載しており、ユーザがハードドライブを分割できるようにしているが、パーティション管理は別のWindowsコンポーネント（特にプラグアンドプレイの設定管理）と相互作用する点に関与する特権昇格の問題の影響を受けている。特別に細工したプログラムを実行すると、ローカル攻撃者はこの欠陥を悪用してユーザのWindowsコンピュータを完全に操作できるようになる。しかし攻撃者は、まず有効なクレデンシャルを使ったユーザのウィンドウズへのローカルアクセス権を必要とするため、この問題の危険性を大きく緩和させている。
マイクロソフトの評価：重要


解決方法：
マイクロソフトは、こうした問題をすべて修正できるウィンドウズ対象の更新プログラムをリリースしているので、状況に適したウィンドウズのプログラムを至急ダウンロードしテストしてからネットワーク全体に取り入れることをすすめる。また、ウィンドウズの自動アップデート機能に任せて必要な更新プログラムをインストールする方法もある。 下記のURLからそれぞれのアドバイザリにある「影響を受けているソフトウェアと受けていないソフトウェア」の欄に直接いくことができる。また、各種セキュリティ更新プログラムのダウンロード先も、ここで確認できる。 • MS12-034
• MS12-035
• MS12-032
• MS12-033
• セキュリティ情報一覧（日本語）


解決策： ウォッチガードユーザ専用
攻撃者はユーザがローカルで実行可能ファイルを実行するように説得するなど、様々な方法で欠陥を悪用することができる。ゲートウェイのWatchGuardアプライアンスでローカル攻撃を阻止することはできないため、マイクロソフトの更新プログラムをインストールし、このような欠陥から自分のネットワークをしっかりと守ることをすすめる。 とはいっても、ウォッチガードのファイアウォールやXTMセキュリティアプライアンスは、こうした欠陥の多くのリスクを緩和させることができる。例えば、攻撃者はWindowsファイアウォールの欠陥を利用してホストベースのファイアウォール・ポリシーを迂回するかもしれないが、その攻撃はウォッチガードのゲートウェイ・ファイアウォールをごまかすことはできない。さらに、ウォッチガードのゲートウェイ・ウィルス対策を利用していれば、ウォッチガードのアプライアンスがユーザのコンピュータに対するマルウェア攻撃を阻止するケースもある。
ステータス：
マイクロソフトは脆弱性を修正するセキュリティ更新プログラムをリリースしている。

参考資料：
セキュリティ情報一覧（日本語）

この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。
（ツイッター：(@SecAdept)

続きを読む»

Word / Visio / Excel でドキュメント処理の脆弱性


2012年5月8日

コーリー・ナクライナー
概要：

• 対象：
  Windows や Mac 版の現バージョンのマイクロソフト Office製品
  Visio Viewer、Office Compatibility Packs などの関連製品
  
• 悪用方法：
  悪質に細工されたOffice ドキュメントをユーザが開くように誘導するのが一般的
  
• 影響：
  攻撃者がユーザのコンピュータでコードを実行し、そのコンピュータを完全に操作できるようになる
  
• 対策：
  状況に適した Office のセキュリティ更新プログラムを至急インストールするか、ウィンドウズのアップデート機能に任せて必要なプログラムをインストールすること

詳細：
マイクロソフトは、 Microsoft Office や関連コンポーネントに影響を与えている 8 つの脆弱性について 3 件のセキュリティアドバイザリをリリースした。Windows や Mac で使用している Office に影響するものや、Office Compatibility Pack や Visio Viewer といったコンポーネントに影響するものなどがある。
その他にも、マイクロソフトは Office 関連のセキュリティアドバイザリ (MS12-034) をもう1件リリースしている。この問題は、その他様々なマイクロソフト製品に影響を与えている。このアドバイザリはWindowsユーザにも影響を与えているため、ウォッチガードでは次のウィンドウズ関連のアラートでその詳細を説明する予定。Office を使用しているユーザも、その Windows アドバイザリを参照して更新プログラムを適用することをすすめる。
マイクロソフトがリリースした Office 関連のアドバイザリ 3 件は、Office が別の種類のドキュメントを処理する方法に関与する 8 つのコード実行問題について説明している。欠陥の技術面は異なるが、その作用範囲と影響力はほぼ同じだ。悪質に細工された Office ドキュメントをユーザがダウンロードし、それを開くように誘導することに成功すると、攻撃者は任意に脆弱性を悪用してユーザレベルの特権や許可権を使い、そのコンピュータでコードを実行できるようになる。また、ユーザにローカル管理者の特権があった場合、攻撃者はユーザのコンピュータを完全に操作できるようにもなる。
コメントするに値する唯一の違いは、攻撃者が脆弱性を誘発するために使う Office ドキュメントの種類である。

影響を受けている Office ドキュメントの種類は次のとおり：
• Word で開く Rich Text Files (RTF)
• Excel (XLS)
• Visio (VSD, VSS, etc.)
それぞれの欠陥について知りたければ、下記のセキュリティアドバイザリにある「脆弱性の詳細」を参考にすることをすすめる：
• MS12-029:Word RTF のコード実行問題：　緊急
• MS12-030:Excel のコード実行問題(複数）：　重要
• MS12-031:Visio Viewer のコード実行問題：　重要


解決方法：
マイクロソフトは、こうした脆弱性を修正する更新プログラムをいくつもリリースしている。 このアラートで取り上げた Office や Office 関連のコンポーネントを使用している場合は、状況に適した更新プログラムをできる限り早急にダウンロードしテストしてからインストールするか、ウィンドウズの自動アップデート機能に任せて必要な更新プログラムを取り入れることをすすめる。

注意：
日本語版をダウンロードするには「Change Language:」と表記されたドロップダウンから「Japanese」を選択。
各アドバイザリの「影響を受けるソフトウェアと受けないソフトウェア」へのリンクについては、次を参照すること。

• MS12-029 - Office + Word セキュリティ更新プログラム
• MS12-030 - Office + Excel セキュリティ更新プログラム
• MS12-031 - Visio Viewer セキュリティ更新プログラム

解決策： ウォッチガードユーザ専用
ウォッチガードのアプライアンスには受信用の Office ドキュメントがネットワークに入り込まないようにすることができるものも多々あるが、大抵の管理者はビジネス上この種のファイルを許可しておく傾向がある。とはいえ、仕事をする上でどうしても Office ドキュメントが必要というのでなければ、更新プログラムをインストールするまでは Firebox のプロキシを使って Office ファイルがネットワークに入り込まないようにすることもできる。 ウォッチガードの XTM や Firebox のプロキシ機能を使って、攻撃対象になっている Office ドキュメントを阻止したい場合は下記のビデオ手順を参考にすることをすすめる。
• XTM アプライアンス + WSM 11.x
o FTP プロキシでファイルをブロックするには？
o HTTP プロキシでファイルをブロックするには？
o POP3 プロキシでファイルをブロックするには？
o SMTP プロキシでファイルをブロックするには？
• Firebox X Edge + 10.x
o FTP プロキシでファイルをブロックするには？
o HTTP プロキシでファイルをブロックするには？
o POP3 プロキシでファイルをブロックするには？
o SMTP プロキシでファイルをブロックするには？
• Firebox X Core & X Peak + Fireware 10.x
o FTP プロキシでファイルをブロックするには？
o HTTP プロキシでファイルをブロックするには？
o POP3 プロキシでファイルをブロックするには？
o SMTP プロキシでファイルをブロックするには？

ステータス：
マイクロソフトはこうした脆弱性を修正する Office 対象の更新プログラムをリリースしている。

参考資料：
マイクロソフトのセキュリティアドバイザリ（一覧）

この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。
（ツイッター：(@SecAdept)

続きを読む»

ゼロデイ脆弱性を修正する Flash アップデート


2012年5月4日

コーリー・ナクライナー
概要：

• 対象：
  すべてのプラットフォーム (Android も対象) で使用されているAdobe Flash Player 11.2.202.233 及びそれ以前のバージョン
  
• 悪用方法：
  有害な Flash コンテンツを含むウェブサイトにユーザを誘導
  
• 影響：
  最悪の場合は攻撃者がユーザのウィンドウズを完全に操作できるようになる
  
• 対策：
  Adobe Flash Player の最新バージョン（コンピュータの場合はバージョン 11.2.202.235）をダウンロードしインストールすること

詳細：
Adobe Flash PlayerはFlashというインタラクティブな動画ウェブコンテンツを表示することができる。Flash はオプション機能だが、99% の PC ユーザ がマルチメディアのウェブコンテンツを閲覧するためにそれをダウンロードし、インストールしている。Flash を使用できるオペレーティングシステムは多々あり、Android のようなモバイルもそれに対応している。

今日リリースされたセキュリティアドバイザリ で、アドビはすべてのプラットフォーム (Android も対象) で使用されている Adobe Flash Player 11.2.202.233 とそれ以前のバージョンで発見された深刻な脆弱性を修正するアップデートをリリースした。

そのアドバイザリでAdobe は｢オブジェクト混乱｣の脆弱性 (CVE-2012-0779) という深刻な欠陥について説明し、現在、一般の環境下で攻撃者達がこの欠陥を悪用していると警告した。問題の詳細については触れていないが、その影響力については解説している。攻撃者が特別に細工した Flash を含む悪質なウェブサイトにユーザを誘導したり、ユーザがそうした Flash コンテンツを扱った場合、攻撃者は、この脆弱性を悪用してユーザの特権でそのコンピュータでコードを実行できるようになる。また、ユーザがローカル管理者の特権を持っていた場合、攻撃者はユーザのコンピュータを完全に操作できるようになる。

現在の時点で Adobe が確認しているのは Windowsコンピュータでこの脆弱性が悪用されたケースのみであるため、これは Windows を対象とした ｢プライオリティ 1｣レベル問題として評価されている。また、アドビはできる限り早急に（72時間以内）セキュリティ更新プログラムを取り入れることをすすめている。しかし、他のプラットフォームでこの脆弱性を利用することも可能なため、Flash を使うことができるデバイスには、できる限り早急に最新バージョンを取り入れることをすすめる。

解決方法：
アドビはこうした問題を修正する新しいバージョン Flash Player をリリースしている(11.2.202.235 はコンピュータ用のバージョン、Android 版は11.1.11x.x) 。ネットワークで Adobe Flash の使用を許可している場合は、新しいバージョンを至急ダウンロードしインストールすることをすすめる。Flash Player の｢サイレント･アップデート｣オプションをオンにしている場合は、このアップデートを自動的に取り入れることができる。

・ Flash Player コンピュータ用：
・ Android Flash Player の最新バージョン は Google Play からダウンロード可能（Android から直接入手可能）

注意：
Chrome には独自のバージョンの Flash が搭載されているので、 Chrome を使用している場合は、それも別個にアップデートしておく必要がある。とはいっても、大方 Chrome はセキュリティ更新プログラムを自動的に受け取るようになっている。

解決策： ウォッチガードユーザ専用
XTM アプライアンスでは HTTP プロキシを使って Flash コンテンツがネットワークから遮断されるように設定することもできる。しかし、そうすることで問題があるないにかかわらず、すべてのFlash コンテンツを遮断してしまう点に注意しよう。
ウォッチガードのプロキシではファイル拡張子 やMIMEタイプ またはメッセージ本文に見られる特定の16進数のパターン別など（マジックバイトによる検出としても知られる方法）、様々な方法でファイルやコンテンツをネットワークから遮断するように設定することができる。
Flash ファイルを識別するいくつかの方法：

ファイル拡張子：
・ .flv - Adobe Flash ファイル（大方ウェブサイトで使用）
・ .fla - Flash ムービーファイル
・ .f4v - Flash ビデオファイル
・ .f4p - Flash ビデオ保護ファイル
・ .f4a - Flash オーディオファイル
・ .f4b - Flash オーディオブックファイル

MIM タイプ:
・ video/x-flv
・ video/mp4 （普通の Flash より使用率が高い）
・ audio/mp4 （普通の Flash より使用率が高い）

マジックバイトのパターンにより報告された FILExt.com：
・ 16進数（Hex) FLV：46 4C 56 01
・ ASCII FLV:FLV
・ 16進数（Hex) FLA：D0 CF 11 E0 A1 B1 1A E1 00

（ここに表示した16進数やASCIIパターンすべてがコンテンツブロックに適しているのではないことに注意すること。パターンが短すぎたり、それ独自のものでない場合、ブロックすることで様々な誤検知につながることもある。
それでも Flash ファイルをネットワークから遮断したいというのであれば、下記の URL を参考にし、先に説明したファイルや MIME 情報を使った方法で Firebox プロキシのコンテンツブロック機能を設定するといいだろう。

XTM アプライアンス + WSM 11.x
・ FTP プロキシでファイルをブロックするには？
・HTTP プロキシでファイルをブロックするには？
・ POP3 プロキシでファイルをブロックするには？
・ SMTP プロキシでファイルをブロックするには？

Firebox X Edge + 10.x
・FTP プロキシでファイルをブロックするには？
・ HTTP プロキシでファイルをブロックするには？
・ POP3 プロキシでファイルをブロックするには？
・ SMTP プロキシでファイルをブロックするには？

Firebox X Core & X Peak + Fireware 10.x
・FTP プロキシでファイルをブロックするには？
・HTTP プロキシでファイルをブロックするには？
・ POP3 プロキシでファイルをブロックするには？
・SMTP プロキシでファイルをブロックするには？

ステータス：
アドビは Flash の脆弱性を修正する更新プログラムをリリースしている。

参考資料：
2012 年 4 月 Adobe Flash セキュリティアドバイザリ
Adobe 最新のセキュリティ情報（日本語版）

この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。
（ツイッター：(@SecAdept)

続きを読む»

Windows セキュリティ更新プログラム
.NET Framework やAuthenticode の欠陥を修正

2012 年4月10日

コーリー・ナクライナー
危険度：高

概要：

• 対象：
  現バージョンのウィンドウズとオプションの.NET Framework コンポーネント
  
• 悪用方法：
  特別に細工した実行可能ファイルをユーザに実行させたり、有害なコンテンツを含むウェブサイトにユーザを誘導するなど、様々な攻撃方法がある
  
• 影響：
  最悪の場合は攻撃者がユーザのウィンドウズを完全に操作できるようになる
  
• 対策：
  状況に適したマイクロソフトのセキュリティ更新プログラムをできる限り早急にインストールするか、ウィンドウズのアップデート機能に任せて必要なプログラムをインストールすること

詳細：
今日、マイクロソフトはウィンドウズと、そのオプションの.NET Framework コンポーネントに影響を与えている脆弱性について 2 件のセキュリティアドバイザリをリリースした。各脆弱性の対象となるウィンドウズ・バージョンとその影響は異なるが、リモート攻撃者は中でも悪質な欠陥を利用し、ユーザのウィンドウズ PC を完全にコントロールすることができる。
危険性の高い問題から順番にまとめた概要は以下の通り：
・ MS12-024

Windows Authenticode 署名検証の脆弱性
Windows には デジタル署名 ベースコードの Authenticode 技術が含まれており、ユーザとオペレーティング・システムがソフトウェアの整合性と評判を確認することを可能にしている。例えば、ユーザが WatchGuard （ベンダー）が署名したソフトウェアをダウンロードしたとする。そのソフトウェアが Windows の Authenticode の検証確認をパスしている場合、そのソフトウェアは実際に WatchGuard のものであり、いかなる方法においても変更が施されていないソフトウェアであると信頼することができる。
しかし、このアドバイザリが説明している欠陥は、 Windows の Authenticode 署名検証機能（WinVerifyTrust）が Portable Executable (PE) ファイルをチェックする方法に関与している。つまり、攻撃者は実行可能ファイルを悪質なものに変更した後でも、WindowsのAuthenticode検証をパスできる、特別に細工した PE ファイルを作成することができる。ユーザがそうした実行可能ファイルをダウンロードし、それを実行するように仕向けると、攻撃者は欠陥を悪用してユーザの特権を使い、そのユーザのコンピュータへのアクセス権を手に入れることができる。また、ユーザにローカル管理者の特権があった場合、攻撃者はユーザのコンピュータを完全に操作できるようにもなる。しかし、大方のユーザはメールやウェブを介して勝手に送られてきた実行可能ファイルを不審に思うだろう。とはいっても、この欠陥はユーザがファイルの評判を確認できるようにするためにマイクロソフトが使っている機能を迂回するため、腕の立つ攻撃者であれば 実行可能ファイルを実行するようにユーザを納得させてしまう場合もあるだろう。こうした理由から、できる限り早急に更新プログラムを取り入れることをすすめる。
マイクロソフトの評価：緊急
・ MS12-025

.NET Framework の遠隔操作によるコード実行問題
.NET Framework は、新しいウィンドウズやウェブアプリケーションを作成するために開発者が使う ソフトウェア・フレームワーク CISSP だ。.NET Framework は特定のファンクション CISSP にパスされる、特定のパラメータを適切に確認できない点に関係したコード実行問題の影響を受けている。特別に細工したウェブサイトに.NET Frameworkをインストールしたユーザを誘導することに成功すると、攻撃者はこの欠陥を悪用し、そのユーザの特権を使ってコードを実行できるようになる。また、ユーザがローカル管理者の特権を持っていた場合、攻撃者はそれを利用してユーザのコンピュータを完全に操作することもできる。この欠陥は、.NET Framework エレメントを使うウェブサイトにも影響しているほか、社内で開発し実際に使用している多くのカスタム .NET ベースプログラムにも影響している。ひとことで言うならば、サーバやクライアントに.NET framework をインストールしている場合は、更新プログラムを取り入れることをすすめる。
マイクロソフトの評価：緊急

解決方法：
マイクロソフトは、こうした問題をすべて修正できるウィンドウズ対象の更新プログラムをリリースしているので、状況に適したウィンドウズのプログラムを至急ダウンロードしテストしてからネットワーク全体に取り入れることをすすめる。また、ウィンドウズの自動アップデート機能に任せて必要な更新プログラムをインストールする方法もある
各アドバイザリの「影響を受けるソフトウェアと受けないソフトウェア」や、セキュリティ更新プログラムのダウンロード先については、次のリンクを参照することをすすめる。

・ MS12-024

・ MS12-025

解決策： ウォッチガードユーザ専用
攻撃者は、ローカルで実行可能ファイルを実行するようにユーザを説得するなど、こうした欠陥を様々な方法で悪用することができる。ゲートウェイのWatchGuardアプライアンスでローカル攻撃を阻止することはできないため、マイクロソフトの更新プログラムをインストールし、こうした欠陥から自分のネットワークをしっかりと守ることをすすめる。
多くの WatchGuard 製品のプロキシポリシーでは、規定設定により実行可能ファイルを阻止することができるので、ユーザがインターネットで見つけた悪質である可能性を持つ実行可能ファイルへのアクセスを回避できる。つまり、規定設定でプロキシポリシーを使えば、こうした欠陥を利用する悪質な実行可能ファイルへのアクセスを避け、それにより生じるリスクを緩和することができる。

ステータス：
マイクロソフトは脆弱性を修正するセキュリティ更新プログラムをリリースしている。
参考資料：
マイクロソフト セキュリティアドバイザリ一覧（日本語） CISSP

この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。 （ツイッター：(@SecAdept)

続きを読む»

複数の Office セキュリティ更新プログラム:
別のサーバ製品に影響も

2012 年4月10日

コーリー・ナクライナー
概要：

• 対象：
  Microsoft Office, Works, SQL Server, BizTalk Server 2002, Commerce Server, Visual FoxPro, Visual Basic 6.0 Runtime
• 悪用方法：
  有害なウェブサイトや URL にユーザを誘導したり、悪質な Works ファイルを開くように促すなど、様々な攻撃方法がある
  
• 影響：
  最悪の場合は攻撃者がコードを実行し、そのコンピュータを完全に操作できるようになる可能性がある
  
• 対策：
  状況に適したマイクロソフトのセキュリティ更新プログラムを至急インストールするか、ウィンドウズの自動アップデート機能に任せること

詳細：
今日、マイクロソフトは Office やそうしたタイプのソフトウェアで見つかった脆弱性について説明したセキュリティアドバイザリを 2 件公開した。マイクロソフトはそのうち1件を深刻、もう 1 つの問題を重要と評価している。この深刻な更新プログラムは、Office の他に下記の機能にも影響を与えている。
・SQL Server（大方のバージョン）

・BizTalk Server 2002

・Commerce Server（すべてのバージョン）

・Visual FoxPro

・Visual Basic Runtime

概要は以下のとおり：
・MS12-027:

コモン コントロールの遠隔操作によるコード実行問題
Office （上記など、その他多くのマイクロソフト製品も対象）には、マイクロソフトが Windows コモン コントロール (MSCOMCTL.OCX)と呼んでいる ActiveX コントロールの一連が搭載されている。この ActiveX ライブラリにある3つのコントロールは、未特定の遠隔操作によるコード実行脆弱性の影響を受けており、攻撃者は有害なウェブページにユーザを誘導したり、特別に作成した URL をユーザにクリックさせたりすることで欠陥のいずれかを悪用し、ユーザの特権を使い、そのコンピュータでコードを実行できるようになる。また、ユーザにローカル管理者の特権があった場合、攻撃者はユーザのコンピュータを完全に操作できるようにもなる。マイクロソフトの更新プログラムは、脆弱な ActiveX コントロールでキルビット を設定するようになっている。現在、攻撃者達は、この脆弱性を一般環境下で悪用しているとマイクロソフトは述べており、すでに深刻なこの脆弱性のリスクをさらに高めている。このため、更新プログラムを至急取り入れることをすすめる。
マイクロソフトの評価：緊急
・ MS12-028:

Works 変換ドキュメント解析の脆弱性
マイクロソフトWorksは、マイクロソフト Office に似ている軽めのパッケージで、Office に比べると特性や機能が少ない。マイクロソフト Office や最近のバージョンの Works には、様々な Works ドキュメントを開けるようにする Works 変換コンポーネントが搭載されている。しかし、Works 変換機能は Works.wps ファイルを確認し解析する方法に関係する脆弱性の影響を受けていることが分った。攻撃者は、悪質に細工した .wps ドキュメントをユーザがダウンロードし、それを開くように誘導することに成功すると、脆弱性を悪用してユーザの特権を使い、そのコンピュータでコードを実行できるようになる。また、ユーザにローカル管理者の特権があった場合、攻撃者はユーザのコンピュータを完全に操作できるようにもなる。（注意：この欠陥の影響を受けているのはOffice 2007 w/SP2 と Works 9 のみ）。
マイクロソフトの評価：重要

解決方法：
マイクロソフトは脆弱性を修正する更新プログラムをいくつもリリースしている。 このアラートで取り上げたソフトウェアを使用している場合は、状況に適した更新プログラムをできる限り早急にダウンロードし、テストしてからインストールするか、ウィンドウズの自動アップデート機能に任せて必要な更新プログラムを取り入れることをすすめる。 各アドバイザリの「影響を受けるソフトウェアと受けないソフトウェア」や、セキュリティ更新プログラムのダウンロード先については、次のリンクを参照することをすすめる。 注意：日本語版をダウンロードするには「Change Language:」と表記されたドロップダウンから「Japanese」を選択。

・MS12-027

・ MS12-028

解決策： ウォッチガードユーザ専用
XTM アプライアンスでは、HTTP プロキシや SMTP プロキシ、FTP プロキシを使って Works ドキュメントがネットワークから遮断されるように設定できるので、そういった方法でこの問題のリスクを緩和することも可能だ。しかし、そうすることで問題があるないにかかわらず、すべての Works ファイルを遮断してしまう点に注意しよう。仕事上、ネットワークの外に Works ファイルを定期的に移動させている場合は Works を遮断することは避けた方がいいかもしれない。
ウォッチガードのプロキシではファイル拡張子やMIMEタイプまたはメッセージ本文に見られる特定の16進数のパターン別など（マジックバイトによる検出としても知られる方法）、様々な方法でファイルやコンテンツをネットワークから遮断するように設定することができる。
Works ファイル(.wps)を識別するいくつかの方法：

ファイル拡張子：
・wps - Works ドキュメント

MIME タイプ:
・application/vnd.ms-works

・application/x-msworks-wp

・zz-application/zz-winassoc-wps

マジックバイトのパターンにより報告されたFILExt.com： ・16進数（Hex)：D0 CF 11 E0 A1 B1 1A E1 00

それでも Works ファイルをネットワークから遮断したいというのであれば、下記のURLを参考にし、先に説明したファイルやMIME情報を使った方法で WatchGuard アプライアンスのコンテンツブロック機能を設定するといいだろう。

XTM アプライアンス + WSM 11.x

FTP プロキシでファイルをブロックするには？

HTTP プロキシでファイルをブロックするには？

POP3 プロキシでファイルをブロックするには？

SMTP プロキシでファイルをブロックするには？



Firebox X Edge + 10.x

FTP プロキシでファイルをブロックするには？

HTTP プロキシでファイルをブロックするには？

POP3 プロキシでファイルをブロックするには？

SMTP プロキシでファイルをブロックするには？



Firebox X Core & X Peak + Fireware 10.x

FTP プロキシでファイルをブロックするには？

HTTP プロキシでファイルをブロックするには？

POP3 プロキシでファイルをブロックするには？

SMTP プロキシでファイルをブロックするには？


ステータス：
マイクロソフトは脆弱性を修正できる更新プログラムをリリースしている。

参考資料：
マイクロソフトのセキュリティアドバイザリ（一覧） CISSP この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。 （ツイッター：(@SecAdept)

続きを読む»

ドライブバイ･ダウンロードの可能性を持つ5つの欠陥を修正するIE のアップデート

2012年4月10日

コーリー・ナクライナー

危険度：高

概要：

• 対象：
  現バージョンのウィンドウズで使用している Internet Explorer すべてのバージョン
  
• 悪用方法：
  有害なウェブページにユーザを誘導する方法が一般的
  
• 影響：
  この問題による影響は様々だが、最悪の場合には攻撃者がユーザのコンピュータでコードを実行し、それを操作できるようになる
  
• 対策：
  状況に適した Internet Explorer の更新プログラムを至急インストールするか、ウィンドウズの自動アップデート機能に任せること

詳細：
マイクロソフトはパッチデーに発表した セキュリティアドバイザリ で、現バージョンのウィンドウズで使われている Internet Explorer (IE) バージョン 9.0 と、それ以前のバージョンで発見された 5 つの新しい脆弱性について説明し、その危険度を「緊急」と評価した。
これら 5 つの欠陥の技術面は異なるが、その作用範囲と影響力はほぼ同じである。これらはすべて様々なHTMLオブジェクトやエレメントを IE が処理する方法に関係した遠隔操作によるコード実行の欠陥だ。有害なウェブコードを含むウェブページにユーザを誘導することに成功した攻撃者は、こうした脆弱性のいずれかを悪用してユーザの特権を利用し、そのユーザのコンピュータでコードを実行できるようになる。通常、ウィンドウズ ユーザはローカル管理者の特権を持っているため、そうした場合は攻撃者が欠陥を悪用し、そのユーザのコンピュータを完全に操作できるようになる。
欠陥の技術詳細については、マイクロソフトのアドバイザリにある 「脆弱性の情報」 の欄を閲覧することをすすめる。しかし、技術面を別にしても IE に見られるリモートコード実行の欠陥は深刻なリスクを掲げており、攻撃者がドライブバイ・ダウンロード攻撃を開始できるようにすることがある。さらに、攻撃者は正当なウェブサイトをハイジャックし、有害なウェブコードをホストするように仕向けることがよくある。そのため、このタイプの欠陥はユーザがどのサイトを訪れようとも、影響を及ぼすことができる。IE を使用している場合は、累積修正プログラムを至急ダウンロードしインストールすることをすすめる。
解決方法：
マイクロソフトは、脆弱性を修正するセキュリティ更新プログラムをリリースしているので、状況に適した IE のセキュリティ更新プログラムを至急インストールするか、ウィンドウズの自動アップデート機能に任せることをすすめる。
注意：日本語版をダウンロードするには「Change Language:」と表記されたドロップダウンから「Japanese」を選択しよう。詳細リンクは 「影響を受けるソフトウェアおよび影響を受けないソフトウェア」 の欄を参照。

解決策： ウォッチガードユーザ専用
通常、このタイプの攻撃は普通の HTTP トラフィックに見せかけた状態でやってくるが、ネットワーク上のユーザがワールドワイドウェブ（www）にアクセスできるようにするには、HTTP トラフィックを許可しなければならないため、セキュリティ更新プログラムを取り入れることが主な対策となる。

ステータス：
マイクロソフトはこうした脆弱性を修正するセキュリティ更新プログラムをリリースしている。

参考資料：
マイクロソフトのセキュリティアドバイザリ（一覧）

この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。 （ツイッター：(@SecAdept)

続きを読む»

Adobe Reader をアップデートまたは
悪質な可能性のある PDF を避けよう

2012 年4月10日

コーリー・ナクライナー
概要：

• 対象：
  ウィンドウズ、Mac、Linux で使用している Adobe Reader、Acrobat X 10.1.2 およびそれ以前のバージョン
  
• 悪用方法：
  故意に作成した PDF ドキュメントをユーザが閲覧するように誘導
  
• 影響：
  攻撃者がユーザのコンピュータでコードを実行し、そのコンピュータを完全に操作できるようになる可能性あり
  
• 対策：
  ウィンドウズ･ユーザは、アドビの Reader や Acrobat X 10.1.3 もしくは 9.5.1 のアップデートをできる限り早急にインストールするか、アドビのアップデート機能に任せて必要なプログラムをインストールすることをすすめる

詳細：
今月のパッチデーで、アドビは利用可能なプラットフォームで使用している Adobe Reader と Acrobat X 10.1.2 およびそれ以前のバージョンで発見された 4 つのセキュリティ脆弱性について説明した セキュリティアドバイザリ をリリースした。アドビはこうした欠陥の技術詳細を説明していないが、Reader や Acrobat コンポーネント内に見られる 整数のオーバーフロー やメモリ破損に関係しているものが大方である。技術面では異なるものの、4 つの脆弱性の作用範囲と影響力はよく似ている。故意に作成された PDF ファイルをユーザが開くように誘導した場合、攻撃者はこうしたタイプの問題を悪用して、ユーザの特権を使いユーザのコンピュータでコードを実行できるようになる。ユーザにローカルやシステム管理者としての特権がある場合、攻撃者はそのユーザのコンピュータを完全に操作できるようになる。

PDF ドキュメントを開く際に Adobe Reader を使っている場合は、この Reader の更新プログラムをできる限り早急にダウンロードしインストールすることをすすめる。

解決方法：
アドビは脆弱性を修正できる Reader と Acrobat X 10.1.3 （レガシーユーザ対象の9.5.1 も含む）をリリースしているので、状況に適した更新プログラムを至急ダウンロードし取り入れるか、アドビのソフトウェア アップデート機能に任せることをすすめる。

Adobe Reader X 10.1.3

Windows

Mac

Linux



Adobe Acrobat X 10.1.3

Standard & Pro for Windows

Pro Extended for Windows

Pro for Mac



解決策： ウォッチガードユーザ専用
WatchGuard のアプライアンスでは、HTTP プロキシや SMTP プロキシ、FTP プロキシを使って PDF ドキュメントがネットワークから遮断されるように設定することもできる。しかし、そうすることで問題があるないにかかわらず、すべての PDF ファイルを遮断してしまう点に注意しよう。社内で PDF ドキュメントを頻繁に使用している場合、これはベストな回避策ではないかもしれない。

ウォッチガードのプロキシでは、ファイル拡張子やMIMEタイプまたはメッセージ本文に見られる特定の16進数のパターン別など（マジックバイトによる検出としても知られる方法）、様々な方法でファイルやコンテンツをネットワークから遮断するように設定できる。 PDF ドキュメントを識別するいくつかの方法：

ファイル拡張子：

・PDF - Adobe Reader ドキュメント

MIME タイプ:

・application/pdf

・application/x-pdf

・application/acrobat

・applications/vnd.pdf

・ text/pdf

・text/x-pdf



マジックバイトのパターンにより報告されたFILExt.com：

・16進数（Hex)：25 50 44 46 2D 31 2E

・ASCII: %PDF-1

それでも PDF ファイルをネットワークから遮断したいという場合は、下記のURLを参考にし、先に説明したファイルやMIME情報を使った方法で WatchGuard アプライアンスのコンテンツブロック機能を設定すればいい。ウォッチガードの Gateway Antivirus (GAV) サービスでも、マルウェアチェックをする場合に PDF ファイルをスキャンできることを覚えておこう。多くの場合、ただ単に GAV サービスを有効にしておくだけで PDF ベースのマルウェアからネットワークを守ることができる。



XTM アプライアンス + WSM 11.x

FTP プロキシでファイルをブロックするには？

HTTP プロキシでファイルをブロックするには？

POP3 プロキシでファイルをブロックするには？

SMTP プロキシでファイルをブロックするには？



Firebox X Edge + 10.x

FTP プロキシでファイルをブロックするには？

HTTP プロキシでファイルをブロックするには？

POP3 プロキシでファイルをブロックするには？

SMTP プロキシでファイルをブロックするには？



Firebox X Core & X Peak + Fireware 10.x

FTP プロキシでファイルをブロックするには？

HTTP プロキシでファイルをブロックするには？

POP3 プロキシでファイルをブロックするには？

SMTP プロキシでファイルをブロックするには？



ステータス：
アドビは脆弱性を修正するセキュリティ更新プログラムをリリースしている。

参考資料：
アドビ（日本版）のセキュリティ・アップデート（抄訳）

この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。 （ツイッター：(@SecAdept)

続きを読む»

Mac のマルウェア感染を避ける
OS X Java のアップデート

2012年4 月5 日
コーリー・ナクライナー

概要：

• 対象：
  OS X 10.7.x (Lion) および 10.6.x (Snow Leopard)
  
• 悪用方法：
  故意に作成した Java を含むウェブサイトにユーザを誘導する
  
• 影響：
  結果は様々だが、最悪の場合は攻撃者がユーザの特権を持った状態で、そのユーザのコンピュータでコードを実行できるようになる
  
• 対策：
  OS X Lion 2012-001　対象の Java またはOS X 10.6 Update 7 対象の Java を至急インストールするか、アップルの自動更新プログラムに任せること

詳細：
米国時間の 4 月 4 日、アップルは OS X 10.6.x と 10.7.x. を対象にした Java セキュリティ更新プログラムについて説明したアドバイザリをリリースした。この更新プログラムは OS X の Java コンポーネントで発見された 12 件の脆弱性を修正している（数字は CVE-ID による情報）。 アップルは、各欠陥の詳細について説明をしていないが、最悪の場合に生じる影響については情報を提供している。故意に作成した Java コードを含むウェブサイトにユーザを誘導することに成功した場合、攻撃者はこうしたタイプの脆弱性を悪用し、ユーザの特権を使ってユーザの OS X コンピュータでコードを実行できるようになる。 このアップルの更新プログラムは、 オラクルが OS X ユーザ対象に 2 月にリリースした Java セキュリティ更新プログラムを含んでいるのだが、残念なことに攻撃者達はすでに一般の環境下のMacユーザに対し、こうしたJava脆弱性のひとつを使い攻撃を仕掛けている。Mac のトロイの木馬 ｢フラッシュバック ｣ は、こうした Java 欠陥やこれまでの Flash 脆弱性を利用し、すでに 600,000 台の Mac を感染させたと報告されている。このため、仕事場で Mac を使っている場合は、アップルの OS X Java のセキュリティ更新プログラムを至急インストールすることを強くすすめる。Flashback マルウェアについて、自分の Mac を調べる方法には このリンク を参照することをすすめる。
解決方法：
アップルは、こうした欠陥を修正する OS X Lion 2012-001 対象の Java と、OS X 10.6 Update 7 対象のJava をリリースしている。OS X 10.6.x または 10.7.x を入れているコンピュータを管理している場合は、こうしたセキュリティ更新プログラムをダウンロードしデプロイするか、自動ソフトウェア更新プログラムツールに任せることを強くすすめる。

解決策： ウォッチガードユーザ専用
攻撃の中には、悪質なJava バイトコード を含むウェブページにユーザが訪れることに依存しているものもある。大方のウォッチガード製品に搭載されている HTTP プロキシー･ポリシーは、Java バイトコード を規定設定でブロックするようになっているため、このような脆弱性をいくつかを緩和することが可能だ。

ステータス：
アップルは欠陥を修正する更新プログラムをリリースしている。

参考資料：
アップルのOS X：Javaアドバイザリ（3月分）

アップルのソフトウェア･ダウンロード先

アップルのセキュリティ更新プログラム

この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。 （ツイッター：(@SecAdept)

続きを読む»

半年に一度の Cisco 定例セキュリティアップデート公開日:
DoS 欠陥を修正する IOS セキュリティ更新プログラム

2012年3月28日

コーリー・ナクライナー
概要：

• 対象：
  Cisco IOS を使用している数々のデバイス
  
• 悪用方法：
  細工したネットワークパケットを送信するなど、攻撃手段は多々ある
  
• 影響：
  IOS デバイスをリロードするように攻撃者が促し、欠陥を繰り返し悪用してサービス拒否（DoS)状態に追い込むケースがもっともよく見られる。
  
• 対策：
  Cisco IOS デバイスを管理している管理者は、状況に適した Cisco の更新プログラムを至急ダウンロードしテストしてから取り入れることをすすめる。

詳細：
一年ほど前、 Cisco は年に2 回（3 月と 9 月の第四水曜日）、セキュリティアップデートをリリースすることにした。そして今回のセキュリティアップデート公開日に Cisco はインターネットワーク･オペレーティングシステム（ IOS ）ソフトウェアを使用しているデバイスに関連する 9 つのセキュリティアドバイザリをリリースした。 IOS は大方の Cisco ルーターやスイッチで使われている オペレーティングシステム である。9 つの IOS アドバイザリの技術面や影響する IOS コンポーネントはそれぞれ異なるが、ほとんどの欠陥の作用範囲と影響力は同じだ。

特別に細工したネットワークトラフィックを IOS へ送ったり、それを経由させて送信した場合、攻撃者は大方の問題を悪用してデバイスをリロードできるようになる。また、攻撃者は脆弱性を繰り返し悪用することでユーザのルーターやスイッチで サービス拒否（DoS） 状態にさせることもできる。

今回報告された IOS アラートの全リストについては、Cisco のセキュリティアドバイザリ とレスポンスのページを参照することをすすめる。以下の IOS アドバイザリ 3 件の概要を参考に、欠陥がもたらす影響力の大まかな点を確認しておくことをすすめる。

アドバイザリ ID：cisco-sa-20120328-ssh
リバース SSH DoS 脆弱性

Cisco のセキュアシェル (SSH) コンポーネントは、リバース SSH 接続を処理する方法に関係する DoS 脆弱性の影響を受けている。特別に細工したユーザ名を使ってリバース SSH ログインを試すことで、未認証状態にある攻撃者は欠陥を悪用してユーザの IOS デバイスをリロードさせることができる。また、攻撃者は、この問題を何度も繰り返すことでユーザの IOS デバイス（ゲートウェイ・ルーターなど）をオフライン状態にすることができる。

ベースCVSS スコア : 7.8 （もっとも深刻な数値は 10）

アドバイザリ ID：cisco-sa-20120328-nat
DirectWrite DoS の脆弱性

Cisco IOS の ネットワークアドレス変換（NAT） コンポーネントは、 セッション確立プロトコル（SIP） トラフィックを処理する方法に関係する脆弱性の影響を受けている。攻撃者は特別に細工した SIP トラフィックを IOS デバイスを通じて送信することで脆弱性を悪用し、ユーザの IOS デバイスのメモリを消耗させてリロードを強制する可能性がある。ユーザがCisco IOS ルーターを使用してインターネットに接続している場合、攻撃者は脆弱性を繰り返し悪用してそのネットワークをインターネットから落とすことができる。

ベースCVSS スコア : 7.8

アドバイザリ ID：cisco-sa-20120328-ike:
IKE DoS の脆弱性

インターネットキー交換（IKE） は、 IPSec VPN トンネルをビルドする場合に必要な暗号の特性値を交渉するために開発されたプロトコルだ。Cisco IOS の IKE コンポーネントは、未特定脆弱性の影響を受けており、攻撃者はそれを利用してユーザの IOS デバイスを強制的にリロードさせることができる。攻撃者は特別に細工した IKE トラフィックを IOS デバイスに送信することで欠陥を繰り返し悪用し DoS 状態に追い込むことができる。

ベースCVSS スコア : 7.8

この他の IOS アドバイザリも、多くの場合がここで説明した欠陥と同じように深刻な DoS 欠陥を修正している。中にはコマンド認証バイパスの脆弱性もある。各アドバイザリの詳細を知りたい場合は、このアラートの｢参考資料｣の欄を参照することをすすめる。


解決方法：
Cisco は脆弱性を修正するセキュリティ更新プログラムをリリースしている。IOS ソフトウェアを実行しているCiscoデバイスを管理している場合は、Ciscoのアドバイザリにある｢Software Versions and Fixes｣と｢Obtaining Fixed Software｣を参照し、状況に適したフィックスやその入手方法を確認することをすすめる。各アドバイザリへのリンクは、このアラートの｢参考資料｣で確認できる。

全ユーザ対象：
こうした脆弱性は、通常ファイアウォールの前に設置しているルーターに影響するため、できる限り早急に Cisco のセキュリティ更新プログラムを適用することをすすめる。

ステータス：
Cisco はこうした問題を修正するセキュリティ更新プログラムをリリースしている。

参考資料：
Cisco のセキュリティアドバイリとレスポンスのページ
Cisco リバース SSH DoS 脆弱性
Cisco IOS RSVP DoS 脆弱性
トラフィックを最適化するコンポーネントに見られる Cisco IOS DoS 脆弱性
Cisco IOS MSDP DoS 脆弱性
Cisco IOS NAT DoS の脆弱性
Cisco IOS IKE DoS の脆弱性
Cisco IOS Smart Install DoS の脆弱性
Cisco IOS コマンド認証バイパスの欠陥
Cisco IOS ゾーンベースのファイアウォール脆弱性
Cisco 日本語サイト
Cisco セキュリティ アドバイザリ

この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。 （ツイッター：(@SecAdept)

続きを読む»

7 つのセキュリティホールを塞ぐ Windows のセキュリティ更新プログラム 4 件

2012 年3月13日

コーリー・ナクライナー
RDP / DNS サーバ/ カーネルモード・ドライバ他
危険度：高

概要：

• 対象：
  現バージョンのウィンドウズと搭載されているコンポーネント （スモールビジネスサーバ 2003 に影響している欠陥も 1 つあり）
  
• 悪用方法：
  細工したパケットを脆弱なコンピュータに送信するなど、攻撃手段は多々ある
  
• 影響：
  結果は様々だが、最悪の場合は攻撃者がユーザの Windows を完全に操作できるようになる
  
• 対策：
  状況に適したマイクロソフトのセキュリティ更新プログラムを至急インストールするか、Windowsの自動アップデート機能に任せることをすすめる

詳細：
今日、マイクロソフトはWindowsと搭載されているコンポーネントに影響を与えている 7 つの脆弱性について 4 件のセキュリティアドバイザリをリリースした。各脆弱性の対象となるWindowsのバージョンと影響は異なるが、リモート攻撃者はその中でも悪質な欠陥を利用し、ユーザのWindows PC を完全にコントロールできるようになる。

危険性の高い問題から順番にまとめた概要は以下の通り：

• MS12-020: RDP リモートコード実行と DoS 脆弱性

リモート デスクトップ プロトコル(RDP) はマイクロソフトの通信規格で、ユーザがネットワーク上のコンピュータにアクセスでき、自分のデスクトップを直接管理できるようにデザインされている。 一台のマシンを何人ものリモートユーザで共有できるようにするため、Windows ターミナルサーバも RDP を使用している。
しかし残念ながら、全バージョンのWindowsに搭載されているRDPコンポーネントは 2 つの脆弱性の影響を受けている。中でもリモートコード実行の欠陥は深刻な問題であり、この欠陥は特別に細工したパケットシーケンスを RDP コンポーネントが処理する方法に関与している。攻撃者は RDP サービスを実行しているコンピュータにパケットを連続的に送信することで欠陥を悪用し、そのコンピュータを完全にコントロールできるようになる。また、比較的軽度ではあるが RDP コンポーネントは サービス拒否 欠陥の影響も受けており、攻撃者はその欠陥を利用して RDP サービスが新しい接続に反応しないようにすることができる。
RDPリモートコード実行の欠陥は深刻な脆弱性ではあるが、このサービスはWindowsシステムで既定設定として有効にされていないので、意図的にRDP接続を有効にしていない限り脆弱にはならない。そうとはいっても、RDP サービスを有効にしているウィンドウズ ターミナル サーバを管理している企業は多い。そうしたサーバを管理している場合は RDP セキュリティ更新プログラムを至急インストールすることを強くすすめる。
アップデート： マイクロソフトのスモール ビジネス サーバ (SBS) 2003には、リモート ウェブ ワークプレイスという機能があるが、これも RDP 問題において脆弱である。


マイクロソフトの評価：「深刻」

• MS12-017: DNSサーバのDoS欠陥

管理者が自分達のネットワークで ドメイン名システム を提供できるようにするため、サーバ版のWindows には DNS サーバが搭載されている。しかし DNS サーバは DNS リソース・レコード を調べている時にメモリでオブジェクトを処理する方法に関与する DoS 脆弱性の影響を受けている。このため、攻撃者は Windows DNS サーバに特別に細工したDNSリクエストを送信することで欠陥を悪用し、DNS サーバの反応を停止させ再起動が必要となるように仕向けることができる。
通常、DoS 欠陥はコード実行の欠陥に比べるとさほど深刻ではないと思う人が多いと思うが、攻撃者が DNS サーバを無反応にさせることに成功すれば、基本的にネットワークをオフラインにすることができるため、人が読めるアドレスを使ってユーザがインターネットを利用することができなくなる。マイクロソフトはこの問題を「重要」としか評価していないが、DNSの管理者にとっては、かなり深刻な問題を修正しているものと我々は判断している。

マイクロソフトの評価：重要

• MS12-018: カーネルモード・ドライバのコード実行問題

カーネル は、あらゆるコンピュータにおいてオペレーティングシステムのコア構成要素である。Windows には OS のデバイス・インタラクションをカーネルレベルで処理するカーネルモード・デバイス・ドライバ（win32k.sys）も搭載されている。しかし、カーネルモード･ドライバは深刻なコード実行欠陥の影響を受けており、カーネルモード･ドライバが Windows の機能（特にPostMessage）からパスされたインプットを処理する際に入力確認できない点が原因となっている。ローカル攻撃者が特別に細工したプログラムを実行した場合、攻撃者は欠陥を悪用してユーザの Windows コンピュータを完全に操作できるようになる。しかし、攻撃者は有効なクレデンシャルを使った、ユーザのウィンドウズへのローカルアクセス権が必要となるため、この欠陥が掲げているリスクは大幅に緩和される。

マイクロソフトの評価：重要

• MS12-019: DirectWrite DoS の脆弱性

DirectWrite は Windows の API で、Windows GUI においてアプリケーションがテキストを処理できるように開発者が使う機能である。しかし、深刻ではないものの、DirectWrite は特別に細工したユニコード文字列のシーケンス処理に関与する DoS の脆弱性問題の影響を受けている。特別に細工したユニコードのコンテンツを DirectWrite API を使うアプリケーションを通じてユーザが閲覧するように誘導すると、攻撃者はこの欠陥を利用してそのアプリケーションをクラッシュさせることができる。DirectWrite を使うアプリケーションには Internet Explorer や Windows インスタントメッセンジャーなどがある。前述した DNS サーバの DoS の脆弱性と違い、この欠陥はそれほど深刻ではない。攻撃者がこの問題を悪用しても、できることはユーザのマシンでクライアントアプリケーションを1つクラッシュさせるだけで、ユーザはアプリケーションを簡単に再起動させ、クラッシュの原因となったコンテンツを避けることができる。 マイクロソフトの評価：「中」

解決方法：
マイクロソフトは、こうした問題をすべて修正できる Windows 対象の更新プログラムをリリースしているので、状況に適した Windows のプログラムを至急ダウンロードしテストしてからネットワーク全体に取り入れることをすすめる。また、Windows の自動アップデート機能に任せて必要な更新プログラムをインストールする方法もある。 下記のURLからそれぞれのアドバイザリにある「影響を受けているソフトウェアと受けていないソフトウェア」の欄に直接いくことができる。また、各種セキュリティ更新プログラムのダウンロード先も、ここで確認できる。

• MS12-020
• MS12-017
• MS12-018
• MS12-019
• 2012 年 3 月版マイクロソフトのセキュリティ更新プログラム（一覧）

解決策： ウォッチガードユーザ専用
攻撃者達は様々な悪用方法を利用して欠陥を悪用することができる。適切に設定したファイアウォールであれば、こうした問題のいくつかのリスクを緩和させることができる。ただし、ウォッチガードのアプライアンスでローカル攻撃を阻止することはできないので、マイクロソフトのセキュリティ更新プログラムをインストールし、欠陥から自分のネットワークを完全に守ることをすすめる。
そうとはいっても、ウォッチガードのアプライアンスは Windows RDP 脆弱性によるリスクを緩和させることができる。既定設定では WatchGuardの XTM と Firebox アプライアンスはエクスターナル RDP アクセスをブロックすることができる（通常TCP ポート3389; SBS 2003 はTCP ポート4125を使用）。意図的にRDPを許可していなければ、ウォッチガードの規定設定により、インターネットベースの攻撃者がRDP欠陥を利用してサーバに攻撃を仕掛けることを妨げることができる。
また、ターミナルサーバへのエクスターナルアクセスを許可しなければならない場合は、ウォッチガードの認証機能を使って信頼できるユーザにだけ RDP アクセス権を与えるように制限することも可能だ。ウォッチガードの認証機能の詳細については ヘルプページ を参考にすることをすすめる。

ステータス：
マイクロソフトは脆弱性を修正するセキュリティ更新プログラムをリリースしている。

参考資料：
2012 年 3 月版マイクロソフトのセキュリティ更新プログラム（一覧）

この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。 ツイッター：(@SecAdept)

続きを読む»

予想外の Flash Player アップデート 　2 件の深刻な問題を修正

2012 年3月5 日

コーリー・ナクライナー 
概要：

• 対象： 
  すべてのプラットフォーム (Android も対象) で使用している Adobe Flash Player 11.1.102.62 とそれ以前のバージョン 
  
• 悪用方法： 
  有害な Flash コンテンツを含むウェブサイトにユーザを誘導 
  
• 影響： 
  最悪の場合は攻撃者がユーザのコンピュータでコードを実行し、そのコンピュータを完全に操作できるようになる 
  
• 対策：  
  Adobe Flash Player の最新バージョン（コンピュータの場合はバージョン 11.1.102.63）をダウンロードしインストールすること

詳細：
Adobe Flash PlayerはFlashというインタラクティブな動画ウェブコンテンツを表示することができる。Flash はオプション機能だが、99% の PC ユーザ がマルチメディアのウェブコンテンツを閲覧するためにダウンロードしインストールしている機能だ。Flash を使用できるオペレーティングシステムは多々あり、Android のようなモバイルもそれに対応している。  
 
しかし、アドビはこの予想外にリリースされたセキュリティアドバイザリで、すべてのプラットフォーム (Android も対象) で使われている Adobe Flash Player 11.1.102.62 と、それ以前のバージョンで発見された2つのセキュリティ問題を修正するアップデートについて警告している。アドビのアドバイザリは欠陥の詳細については説明してないが（1つはメモリ破損、もう1つは整数符号のエラーであることは公表）、もし攻撃者が特別に細工した Flash コンテンツを含む悪質なウェブサイトにユーザを誘導した場合、攻撃者は中でも悪質な脆弱性を悪用してユーザの特権を使い、そのコンピュータでコードを実行できるようになると注意を呼びかけている。また、ウィンドウズ ユーザがローカル管理者の特権を持っていた場合は、攻撃者がユーザの PC を完全に操作できるようになる。 アドビはこのアップデートを｢プライオリティ2｣と評価している。このプライオリティ2というレベルは、かなり重大な欠陥を修正しているが、攻撃者達はまだ一般の環境下でこの欠陥を悪用していないという意味である。アドビは、このセキュリティ更新プログラムを 30 日以内に取り入れることを提案しているが、1週間以内に対応した方がいいだろう。
解決方法：
アドビはこうした問題を修正する新しいバージョン Flash Player (11.1.102.63 はコンピュータ用のバージョン、Android 版は11.1.11x.x) をリリースしている。ネットワークで Adobe Flash の使用を許可している場合は、新しいバージョンを至急ダウンロードしインストールすることをすすめる。

• Flash Player コンピュータ用（全プラットフォーム）：

• Flash for Android 4.x Android 版（アンドロイドから直接アクセス）
• Flash Player for Android 3.x とそれ以前のバージョン Android 版（アンドロイドから直接アクセス）

注意：
Chrome には独自のバージョンの Flash が搭載されているので、ウェブ・ブラウザに Chrome を使用している場合は、それはそれでアップデートする必要がある。
解決策： ウォッチガードユーザ専用
XTM アプライアンスでは、HTTP プロキシを使って Flash コンテンツがネットワークから遮断されるように設定することもできる。しかし、そうすることで問題があるないにかかわらず、すべてのFlash コンテンツを遮断してしまう点に注意しよう。 ウォッチガードのプロキシではファイル拡張子やMIMEタイプまたはメッセージ本文に見られる特定の16進数のパターン別など（マジックバイトによる検出としても知られる方法）、様々な方法でファイルやコンテンツをネットワークから遮断するように設定することができる。 
 
Flash ファイルを識別するいくつかの方法：
ファイル拡張子：

• .flv -  Adobe Flash ファイル（大方ウェブサイトで使用）
• .fla - Flash ムービーファイル
• .f4v - Flash ビデオファイル
• .f4p - Flash ビデオ保護ファイル
• .f4a - Flash オーディオファイル
• .f4b - Flash オーディオブックファイル

MIME タイプ:

• video/x-flv
• video/mp4 （普通の Flash より使用率が高い）
• audio/mp4 （普通の Flash より使用率が高い）

マジックバイトのパターンにより報告されたFILExt.com：

• 16進数（Hex) FLV：46 4C 56 01
• ASCII FLV:FLV
• 16進数（Hex) FLA：D0 CF 11 E0 A1 B1 1A E1 00

（ここに表示した16進数やASCIIパターンすべてがコンテンツブロックに適しているのではないことに注意してほしい。パターンが短すぎたり、それ独自のものでない場合、ブロックすることで様々な誤検知につながることもある。  それでもネットワークから Flash ファイルを遮断したいというのであれば、下記のURLを参考にし、先に説明したファイルやMIME情報を使った方法でFireboxプロキシのコンテンツブロック機能を設定することをすすめる。

• XTM アプライアンス + WSM 11.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Edge + 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Core & X Peak + Fireware 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？

ステータス：
アドビは Flash の脆弱性を修正する更新プログラムをリリースしている。
参考資料：

• 2012 年 3 月 Adobe Flash セキュリティアドバイザリ
• アドビ（日本版）のセキュリティアップデート（抄訳） 
   
  この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。 （ツイッター：(@SecAdept)

続きを読む»

Adobe Flash アップデート、ゼロデイ XSS セキュリティホールなどに対応
2012年2月16日
コーリー・ナクライナー

概要：

• 対象： 
  すべてのプラットフォームで使われている Adobe Flash Player 11.1.102.55 とそれ以前のバージョン。アンドロイド版の Flash にも影響あり。 
  
• 悪用方法： 
  有害な Flash コンテンツを含むウェブサイトにユーザを誘導 
  
• 影響： 
  最悪の場合は攻撃者がユーザのコンピュータでコードを実行し、そのコンピュータを完全に操作できるようになる 
  
• 対策：  
  Adobe Flash Player の最新バージョンをダウンロードしインストールすること

 
詳細：
Adobe Shockwave Playerは、Flashというインタラクティブな動画ウェブコンテンツを表示することができる。Flash はオプション機能だが、マルチメディアのウェブコンテンツを閲覧するために、 99% の PC ユーザがそれをダウンロードしインストールしている。Flash を使用できるオペレーティングシステムは多々あり、アンドロイドのようなモバイルもそれに対応している。  
 
しかし、アドビはきのうリリースしたセキュリティアドバイザリで、アンドロイド も含むすべてのプラットフォームで使われている Adobe Flash Player 11.1.102.55 とそれ以前のバージョンが脆弱性7件の影響を受けていると警告した（数字はCVE によるもの）。アドビのセキュリティアドバイザリは 詳細について触れていないが、特別に細工したFlashコンテンツを含む悪質なウェブサイトにユーザを誘導することに成功した攻撃 者は、いくつもある未特定の脆弱性を悪用してユーザの特権で、そのコンピュータでコードを実行できるようになると注意を呼び かけている。また、ウィンドウズ ユーザがローカル管理者の特権を持っていた場合、攻撃者はユーザの PC を完全に操作できるようになる。 さらに、攻撃者はこうした欠陥を悪用して一般環境下でゼロデイXSS脆弱性を悪用しているともアドビは警告している。ネットワークで Adobe Flash Player の使用を許可している場合は、この攻撃によるリスクを低下させるために至急ネットワーク全体に最新バージョン をインストールすることをすすめる。  

解決方法：
アドビはこうした問題を修正する新しいバージョン Flash Player (11.1.102.62 はコンピュータ用のバージョン、アンドロイド版は11.1.11x.x) をリリースしている。 ネットワークでAdobe Flash の使用を許可している場合は、新しいバージョンを至急ダウンロードしインストールすることをすすめる。

• Flash Player コンピュータ用（全プラットフォーム）：

• Flash f0r Android 4.x アンドロイド版（アンドロイドから直接アクセス）
• Flash Player for Android 3.x とそれ以前のバージョン アンドロイド版（アンドロイドから直接アクセス）

 
解決策： ウォッチガードユーザ専用
XTMアプライアンスでは、HTTPプロキシを使って Flash コンテンツがネットワークから遮断されるように設定することもできる。しかし、そうすることで問題があるないにかかわらず、 すべてのFlash コンテンツを阻止してしまう点に注意しよう。 ウォッチガードのプロキシでは ファイル拡張子やMIMEタイプまたは メッセージ本文に見られる特定の16進数のパターン別など（マジックバイトによる検出としても知られる方法）、 様々な方法でファイルやコンテンツをネットワークから遮断するように設定することができる。 
 
Flash ファイルを識別するいくつかの方法： ファイル拡張子：

• .flv -  Adobe Flash ファイル（大方ウェブサイトで使用）
• .fla - Flash ムービーファイル
• .f4v - Flash ビデオファイル
• .f4p - Flash ビデオ保護ファイル
• .f4a - Flash オーディオファイル
• .f4b - Flash オーディオブックファイル

MIME タイプ:

• video/x-flv
• video/mp4 （普通の Flash より、よく使用されている）
• audio/mp4 （普通の Flash より、よく使用されている）

マジックバイトのパターンにより報告されたFILExt.com：

• 16進数（Hex) FLV：46 4C 56 01
• ASCII FLV:FLV
• 16進数（Hex) FLA：D0 CF 11 E0 A1 B1 1A E1 00

（ここに表示した16進数やASCIIパターンすべてがコンテンツブロックに適しているのではないことに注意してほしい。 パターンが短すぎたり、それ独自のものでない場合、ブロックすることで様々な誤検知につながることもある。）  それでもネットワークからFlash ファイルを遮断したいというのであれば、下記のURLを参考にし、先に説明したファイルや MIME情報を使った方法でFireboxプロキシのコンテンツブロック機能を設定すればよい。

• XTM アプライアンス + WSM 11.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Edge + 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Core & X Peak + Fireware 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？

 
ステータス：
アドビは Flash の脆弱性を修正する更新プログラムをリリースしている。

参考資料：
アドビ（日本版）のセキュリティ・アップデート（抄訳） 
 
 
この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。  
（ツイッター：(@SecAdept) 

続きを読む»

Sharepoint とVisio の欠陥を修正するマイクロソフト Office のセキュリティ更新プログラム
2012年2月15日
コーリー・ナクライナー

概要：

• 対象： 
  SharePoint / SharePoint Foundation / Visio Viewer 2010 - すべてマイクロソフト Office の一部 
  
• 悪用方法： 
  有害なウェブサイトや URL にユーザを誘導したり、有害なVisioファイルを開くように促すなど、様々な攻撃方法がある 
  
• 影響： 
  最悪の場合は攻撃者がコードを実行し、そのコンピュータを完全に操作できるようになる可能性がある 
  
• 対策：  
  状況に適した SharePoint や Visio のセキュリティ更新プログラムを至急インストールするか、ウィンドウズのアップデート機能に任せて必要なプログラムをインストールすること

 
詳細：
米国時間の2月14日、マイクロソフトは Office 関連のセキュリティアドバイザリを 2 件リリースし、SharePoint / SharePoint Foundation / Visio Viewer 2010（すべてマイクロソフト Office の一部）に見られる脆弱性8件について報告した。マイクロソフトはどちらのアドバイザリについても[重要]と評価している。 
 
概要は以下のとおり：

• MS12-011: SharePoint XSS の脆弱性（3）

SharePoint と SharePoint Foundation はマイクロソフトによるウェブおよびドキュメントのコラボレーションと管理を行うプラットフォームだが、どちらもクロスサイト･スクリプティングの脆弱性（XSS）問題（3つ）の影響を受けているため、攻撃者が特権昇格を試みることが可能になっている。有害なウェブページにユーザを誘導したり、特別に作成したURLをクリックさせたりすることで、攻撃者は任意に欠陥を悪用し、ユーザのSharePointサーバで特権を獲得することができる。つまり、攻撃者はユーザと同等にドキュメントを閲覧したり変更したりすることができるようになる。ただし、この欠陥の影響を受けているのは最新バージョンである 2010 の SharePoint のみである。 マイクロソフトの評価：重要

• MS12-015: Visio Viewer のメモリ破損の脆弱性（5）

マイクロソフトの Visio は人気のあるダイアグラム プログラムで、多くのネットワーク管理者達がネットワーク図を作成する際に使っている。Visio Viewer は無料プログラムで図を閲覧するために誰でも使うことができるのだが、Visio Viewer は、特別に細工したドキュメントを処理する方法に関与する5つのコード実行問題の影響を受けていることが分った。欠陥の技術面はどれも異なるが、その作用範囲と影響力は同じである。悪質に細工されたVisio ドキュメントをユーザがダウンロードし、それを開くように誘導することに成功すると、攻撃者は任意に脆弱性を悪用してユーザの特権を使い、そのコンピュータでコードを実行できるようになる。また、ユーザにローカル管理者の特権があった場合、攻撃者はユーザのコンピュータを完全に操作できるようにもなる。ただし、この欠陥の影響を受けているのは Visio Viewer 2010 で、市販の Visio 製品ではない。 マイクロソフトの評価：重要  

解決方法：
マイクロソフトは脆弱性を修正するSharePoint と SharePoint Foundation の更新プログラムをリリースしている。 状況に適した SharePoint の更新プログラムを至急ダウンロードし、テストしてからネットワーク全体に取り入れることをすすめる。また、ウィンドウズの自動アップデート機能に任せて必要な更新プログラムをインストールする方法もある。とはいっても、サーバの更新プログラムは実際のプロダクション環境に取り入れる前にテストしておく方がいいだろう。 下記のURLからそれぞれのアドバイザリの「影響を受けているソフトウェアと受けていないソフトウェア」の欄に直接いくことができる。

• MS12-011
• MS12-015
• セキュリティアドバイザリ一覧（日本語）

 
解決策：  
ウォッチガードユーザ専用 XTMアプライアンスでは、HTTPプロキシやSMTPプロキシ、FTPプロキシを使って マイクロソフトのVisioドキュメントがネットワークから遮断されるように設定することができる。しかし、そうすることで問題があるないにかかわらず、すべてのVisioファイルを遮断してしまうので注意が必要だ。仕事上、定期的にネットワークの外部にVisioファイルを移動させている場合は、Visioを遮断することは避けた方がいいかもしれない。逆に、ネットワークから遮断しても差し支えない場合は、そうした対策をとることで更新プログラムをインストールするまでの間はVisio Viewerの脆弱性によるリスクを緩和させることができる。 ウォッチガードのプロキシではファイル拡張子やMIMEタイプまたはメッセージ本文に見られる特定の16進数のパターン別など（マジックバイトによる検出としても知られる方法）、様々な方法でファイルやコンテンツをネットワークから遮断するように設定することができる。 
 
 
Visioファイルを識別する方法： ファイル拡張子：

• .vsd - Visio Drawing ファイル
• .vst - Visio テンプレートファイル
• .vss - Visio Stencil ファイル
• .vdx - Visio XML Drawing ファイル
• .vtx  - Visio XML Template ファイル
• .vsx - Visio XML Stencil ファイル

MIME タイプ:

• application/visio
• application/x-visio
• application/vnd.visio
• application/visio.drawing
• application/vsd
• application/x-vsd
• image/x-vsd
• zz-application/zz-winassoc-vsd
• application/x-visiotech

マジックバイトのパターンにより報告されたFILExt.com：

• 16進数（Hex)：D0 CF 11 E0 A1 B1 1A E1 00

Visioファイルをネットワークから遮断したいのであれば、下記のURLを参考にし、先に説明したファイルやMIME情報を使った方法でFireboxプロキシのコンテンツブロック機能を設定すればよい。

• XTM アプライアンス + WSM 11.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Edge + 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Core & X Peak + Fireware 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？

 
ステータス：
マイクロソフトは脆弱性を修正できるSharePointとVisio対象の更新プログラムをリリースしている。  

参考資料：
マイクロソフトのセキュリティアドバイザリ（一覧） 
 
 
この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。 （ツイッター：(@SecAdept)

続きを読む»

ウェブベース攻撃を回避するアドビのShockwave 更新プログラム
2012年2月15日
コーリー・ナクライナー
   
概要：

• 対象： 
  ウィンドウズや Mac で使用しているアドビのShockwave Player 11.6.3.633（それ以前のバージョンも含む） 
  
• 悪用方法： 
  悪質な Shockwave コンテンツを含むウェブサイトにユーザを誘導する 
  
• 影響： 
  攻撃者がユーザのコンピュータでコードを実行し、そのコンピュータを完全に操作できるようになる可能性あり 
  
• 対策：  
  ネットワークでShockwaveの使用を許可している場合は、できる限り早急にAdobe Shockwave Player の最新バージョン (11.6.4.634) をインストールすることをすすめる

 
詳細：
アドビによると、Shockwaveと いうインタラクティブな動画のウェブコンテンツやムービーを表示できる Adobe Shockwave Playerは何億台もの PC にインストールされているという。 アドビは火曜日にリリースした セキュリティアドバイザリで、Windows やMacで使われているAdobe Shockwave Player 11.6.3.633 （およびそれ以前のバージョン）に影響している深刻な脆弱性9件について警告した。 アドビのセキュリティアドバイザリは技術詳細については触れていないが、大部分においてはメモリに関連する脆弱性で、  ヒープ･バッファオーバーフロー やその他のメモリ破損の欠陥などがある。欠陥の技術面はどれも異なるが、その作用範囲と影響力は同じだ。攻撃者が悪質に細工した Shockwave コンテンツを含むウェブサイトにユーザを誘導することに成功すると、攻撃者はこうした欠陥のいずれかを悪用して ユーザのコンピュータで、ユーザの特権を使ってコードを実行することができるようになる。また、ウィンドウズ ユーザがローカル管理者の特権を持っていた場合、攻撃者はユーザのコンピュータを完全に操作できるようにもなる。 このため、ネットワークでShockwaveの使用を許可している場合は、できる限り早急に最新バージョンをインストールすることをすすめる。  

解決方法：
アドビはこうした脆弱性を修正できる Shockwave Player 11.6.4.634 をリリースしているので、ネットワークで Shockwave の使用を許可している場合は、できる限り早急に最新バージョンをインストールすることをすすめる。 
 
最新バージョンは下記の URL からダウンロードすることができる。  

解決策： ウォッチガードユーザ専用
XTMアプライアンスでは、HTTPプロキシを使って Shockwave コンテンツがネットワークから遮断されるように設定することもできる。しかし、そうすることで問題があるないにかかわらず、 すべてのShockwaveコンテンツを遮断してしまう点に注意しよう。 ウォッチガードのプロキシでは ファイル拡張子やMIMEタイプ またはメッセージ本文に見られる特定の16進数パターン別など（マジックバイトによる検出としても知られる方法）、 様々な方法でファイルやコンテンツをネットワークから遮断するように設定できる。 
 
 
Shockwave ファイルを識別する方法： ファイル拡張子：

• .swf -  Adobe Shockwave ファイル

MIME タイプ:

• application/x-shockwave-flash
• application/x-shockwave-flash2-preview
• application/futuresplash
• image/vnd.rn-realflash

マジックバイトのパターンにより報告されたFILExt.com：

• 16進数（Hex)：46 57 53

（このパターンは短すぎるため誤検知になりやすいので勧められない）  
Shockwave ファイルをネットワークから遮断したい場合は、下記のURLを参考にし、 先に説明したファイルやMIME情報を使った方法でFireboxプロキシのコンテンツ ブロック機能を設定すればよい。

• XTM アプライアンス + WSM 11.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Edge + 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Core & X Peak + Fireware 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？

 
ステータス：
アドビはこうした脆弱性を修正する Shockwave Player の更新プログラムをリリースしている。  

参考資料：

• アドビ（日本版）のセキュリティ・アップデート（抄訳）  
   
   
  

続きを読む»

オラクルの深刻な Java 脆弱性（14）を修正する 

セキュリティ更新プログラム  
2012年2月15日
コーリー・ナクライナー  
危険度：高

概要：

• 対象： 
  JRE（Sun Java Runtime Environment）のすべてのバージョンと、今日までにリリースされた JDK（Java Development Kit） 
  
• 悪用方法： 
  細工した Java を含む悪質なウェブページにユーザを誘導する方法が一般的 
  
• 影響： 
  結果は様々だが、最悪の場合は攻撃者がユーザのコンピュータを完全に操作できるようになる  
  
• 対策：  
  状況に適した JRE (または JDK) の更新プログラムをできる限り早急にインストールすること

 
詳細：
サン･マイクロシステムズにより開発された プログラミング言語の Java は、ウェブページを向上させるためによく使われる。オラクルのSun< a href="http://en.wikipedia.org/wiki/Java_%28software_pla tform%29" target="_blank">Java Runtime Environment (JRE)は、現在もっとも人気のある Java インタプリタである。 しかし、米国時間の2月14日にオラクルはセキュリティアラートをリリースし、Windows、Solaris、Linux のプラットフォームで使用しているSun JRE （または Sun Java SDK）における、これまでのバージョンすべてに影響を与えるセキュリティ脆弱性 14 件について警告した。脆弱性の技術面はそれぞれ異なるが、攻撃者は Java を含む特別に細工した悪質なウェブページにユーザを誘導するなどして欠陥を悪用することができる。最悪の場合、もしユ ーザがそうしたサイトに行ってしまった場合、攻撃者はいずれかの Java欠陥を利用し、ユーザの特権を使ってそのコンピュータでコードを実行できるようになる。また、ユ ーザがローカル管理者やルート特権を持っていた場合、攻撃者はこうした欠陥を利用して、そのコンピュータを完全に操 作できるようになることも考えられる。 
 
ウォッチガードが今回の Javaアップデートを深刻な問題として受け止めるに至った理由は、攻撃者達によるJava欠陥をター ゲットにしたドライブバイ･ダウンロード攻撃が次第に増えており、ウェブ・ブラウザ欠陥を悪用するケースよりも頻繁に見 られるようになってきているからだ。 
大方のユーザがそうであるように、Javaをインストールしている場合はオラクルのセキュリティ更新プログラムをできる限 り早急にダウンロードし、インストールすることをすすめる。  

解決方法：
サンはこうした問題を修正するため、JREとSDKを対象にした数々のセキュリティ更新プログラムをリリースしている。 ネットワークでSun JRE を使用している場合は、できる限り早急に状況に適したセキュリティ更新プログラムをダウンロードし取り入れ ることをすすめる。セキュリティ更新プログラムはオラクルのアラートにある「Patch Availability Table」の欄で見つけることができる。  

解決策： ウォッチガードユーザ専用
ウォッチガードのFireboxモデルの中にはウェブサイトからJavaアプレットをユーザがダウンロードできないように設定できるものもある。しかし、そうすることで特に問題のないウェブサイトもJavaアプレットを使うことができなくなるため、Java アプレットを無効にしたくないのであれば、状況に適した Sun JRE セキュリティ更新プログラムをできる限り早急にダウンロードすることをすすめる。また、Javaアプレットを無効にすること でいくつかの脆弱性によるリスクを緩和させることができるかもしれないが、すべてのリスクを抑えるわけではないので、 オラクルの更新プログラムを取り入れることが最善の解決方法であるといえるだろう。 FireboxのHTTPプロキシでJavaバイトコードを無効にする方法については、 ヘルプページを参考にすることをすすめる。  

ステータス：
オラクルは問題を修正する更新プログラムをリリースしている。  

参考資料：

• オラクルのセキュリティアドバイザリ（2012年2月）

 
この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。  
（ツイッター：(@SecAdept)

続きを読む»

9つのセキュリティ脆弱性を修正する6つのウィンドウズ セキュリティ更新プログラム
2012年2月14日
コーリー・ナクライナー
.NET Framework / カーネルモード・ドライバ / Indeo コーデック、その他
危険度：高

概要：

• 対象： 
  現バージョンのウィンドウズと搭載されているコンポーネント。 .NET Framework と SilverLight にも影響あり 
  
• 悪用方法： 
  有害なウェブサイトにユーザを誘導したり、有害なメディアやファイルを開くように促すなど様々な攻撃方法がある 
  
• 影響： 
  結果は様々だが、最悪の場合は攻撃者がユーザのウィンドウズを完全に操作できるようになる  
  
• 対策：  
  状況に適したマイクロソフトのセキュリティ更新プログラムを至急インストールするか、 ウィンドウズの自動アップデート機能に任せることをすすめる

 
詳細：
今日、マイクロソフトはウィンドウズとそれに搭載されているコンポーネントに影響を与えている 9 つの脆弱性について、6 件のセキュリティアドバイザリをリリースした。アドバイザリの中には、.NET FrameworkやSilverlightで発見された欠陥について説明しているものもある。この2つはオプション機能だが、 ウィンドウズ開発に使う人気のフレームワークだ。 各脆弱性の対象となるウィンドウズ・バージョンとその影響は異なるが、リモート攻撃者はその中でも悪質な欠陥を利用してユーザ のウィンドウズ PC を完全にコントロールできるようになる。  
 
危険性の高い問題から順番にまとめた概要は以下のとおり：

• MS12-008: カーネルモード･ドライバの脆弱性（2）

カーネルは、あらゆるコンピュータにおいてオペレーティングシステムのコア構成要素である。ウィンドウズには、OSのデバイス インタラクションをカーネル レベルで処理するカーネルモード・デバイス・ドライバ(win32k.sys)も搭載されている。しかし、 カーネルモード･ドライバは2つの脆弱性の影響を受けており、中でも悪質なのは、カーネルモード･ドライバがWindows  GDIからパスされたインプット 処理で入力確認できない点が原因となっているコード実行の欠陥だ。有害なウェブサイトにユーザを誘導したり、特別に細工したメール を開かせたり、悪質なプログラムを実行させるように促すなどして、攻撃者はこの欠陥を悪用してユーザの Windows コンピュータを完全に操作できるようになる。これは実に深刻な欠陥であるため、できる限り早急に 更新プログラムをインストールすることをすすめる。 マイクロソフトの評価：深刻

• MS12-013: Msvcrt.dll バッファオーバーフローの脆弱性

Msvcrt.dll はダイナミック リンク ライブラリ (DLL)で、ウィンドウズのシステムレベルのコンポーネントが定期的なタスクを行う場合に よく使う機能だ。しかし、これは未特定の バッファオーバーフローの影響を受けており、細工したメディアファイルをユーザが開くように誘導すると（メールやウェブを使用） 、攻撃者は欠陥を悪用してそのユーザの特権を使い、ユーザのコンピュータでコードを実行できるようになる。また、 ユーザがローカル管理者である場合、攻撃者はユーザのPCを完全に操作できるようにもなる。 マイクロソフトの評価：深刻

• MS12-016: .NET Frameworkのコード実行欠陥（2）

. NET Frameworkは新しいウィンドウズやウェブアプリケーションの作成に開発者が使う ソフトウェア・フレームワークだが、 .NET Framework と SilverLight は2つのコード実行脆弱性の影響を受けている。2つの欠陥の技術面は異なるが、その作用範囲と影響力は同じだ。.NET Frameworkをインストールした細工済みのウェブサイトにユーザを誘導することに成功すると、攻撃者はこの欠陥を悪用して ユーザの特権を利用しながら、そのコンピュータでコードを実行できるようになる。また、ユーザがローカル管理者の特権を持っていた 場合、攻撃者はそれを利用してユーザのコンピュータを完全に操作できるようにもなる。この欠陥は .NET FrameworkやSilverlightエレメントを使うウェブサイトにも影響しているほか、社内で開発し実際に使用している多くのカスタム .NETベースプログラムにも影響している。つまり、 サーバやクライアントに.NET framework をインストールしている場合は、更新プログラムを取り入れることをすすめる。 マイクロソフトの評価：深刻

• MS12-009: Ancillary Function ドライバのEoP 脆弱性（2）

マイクロソフトによると、Ancillary Functionドライバ (AFD)はウィンドウズのコンポーネントで、Winsock TCP/IP コミュニケーションを管理するために役立つという。しかし、それは2つのローカル 特権昇格 (EoP)の問題の影響を受けており、特別に細工したアプリケーションを実行することで、 攻撃者は実際の自分のユーザ特権にかかわらず、欠陥を利用して完全なシステム特権でコードを実行することができる。 しかし、攻撃者がそのプログラムを実行できるようにするには、まず有効なクレデンシャルでユーザのウィンドウズへのローカル アクセス権を必要とするため、このリスクは大幅に低下する。 マイクロソフトの評価：重要

• MS12-012: カラーコントロールパネルの動作が不安定なライブラリローディングの脆弱性 

Windows 7 には カラーコントロールパネルなど、様々な「デスクトップ・エクスペリエンス」機能が搭載されている。Windows Server 2008やServer 2008 R2は、こうしたデスクトップ・エクスペリエンス機能を既定的にインストールしていないが、オプションと しては提供している。しかし残念ながら、Server 2008 バージョンのカラーコントロールパネルは、過去のマイクロソフト アラートで何度も説明してきたダイナミック リンク ライブラリ（DLL)のローディングクラス問題の影響を受けている。ひとことでいえば、この種類の欠陥は細工済みのDLLフ ァイルと同じ場所にある罠を仕掛けたファイルを攻撃者がユーザに開かせることに関与している。罠が仕掛けられているファイルをユ ーザが開くと、攻撃者はユーザの特権を利用して、その有害な DLL ファイルでコードを実行できるようになる。ユーザがローカル管理者の特権を持っている場合は、攻撃者がこの種の問題を悪用 してユーザのコンピュータを完全に操作できるようになる。今回の場合はカラーコントロールパネル、特に .ICM や .ICC ファイルに関連したファイルの種類により、脆弱性は誘発されるようになっている。この欠陥の影響を受けているのは、 Windows Server 2008 と Server 2008 R2 のユーザで、オプション機能のカラーコントロールパネルをインストールしている場合に限られている。 マイクロソフトの評価：重要

• MS12-014: Windows XP のIndeo コーデックの動作が不安定なライブラリローディングの脆弱性 

Indeo コーデックはレガシー ビデオコーデックで、特に圧縮されフォーマットされたビデオをウィンドウズが再生するために使う機能だ。Windows XPに搭載されているIndeo コーデックは、先述の問題とほぼ同じである動作が不安定なライブラリローディング問題の影響を受けている。 その2つが唯一異なるところは、攻撃者は有害なDLLと同じ場所にある .AVIファイルをユーザがダウンロードするように誘導しなければならない点だ。ただし、この欠陥の影響を受けているのはWindows XP のみである。 マイクロソフトの評価：重要  

解決方法：
マイクロソフトは、こうした問題をすべて修正できるウィンドウズ対象の更新プログラムをリリースしているので、状況に適したウィン ドウズのプログラムを至急ダウンロードしテストしてからネットワーク全体に取り入れることをすすめる。また、ウィンドウズの自動ア ップデート機能に任せて必要な更新プログラムをインストールする方法もある。 下記のURLからそれぞれのアドバイザリにある「影響を受けているソフトウェアと受けていないソフトウェア」の欄に直接いくことができ る。また、各種セキュリティ更新プログラムのダウンロード先も、ここで確認できる。

• MS12-008
• MS12-013
• MS12-016
• MS12-009
• MS12-012
• MS12-014
• マイクロソフトのセ キュリティアドバイザリ一覧（日本語） 
   
  

解決策： ウォッチガードユーザ専用
攻撃者達は、様々な悪用方法を使ってこうした欠陥を悪用するが、適切に設定してあるファイアウォールであれば、こうした問題のいく つかのリスクを緩和させることができる。また、WatchGuard のプロキシポリシーは、この欠陥を悪用するために必要なタイプのコンテンツのいくつかをネットワークから阻止できるように設定でき るものもある。とはいっても、WatchGuard のアプライアンスでローカル攻撃を阻止することはできないので、マイクロソフトのセキュリティ更新プログラムをインストールし、 こうした欠陥から自分のネットワークを完全に守ることをすすめる。  

ステータス：
マイクロソフトは脆弱性を修正するセキュリティ更新プログラムをリリースしている。  

参考資料：

• マイクロソフト セキュリティアドバイザリ一覧（日本語）

 
この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。（ツイッター：(@SecAdept)

続きを読む»

ドライブバイ ダウンロードを避けるには？
IE のセキュリティ更新プログラム
2012年2月14日
コーリー・ナクライナー
危険度：高

概要：

• 対象：
  現バージョンのウィンドウズで使用している Internet Explorer すべてのバージョン（程度に違いあり）
  
• 悪用方法：
  有害なウェブページにユーザを誘導する
  
• 影響：
  この問題による影響は様々だが、最悪の場合は攻撃者がユーザのコンピュータでコードを実行し、それを操作できるようになる
  
• 対策：
  状況に適した Internet Explorer の更新プログラムを至急インストールするか、 ウィンドウズの自動アップデート機能に任せること

詳細：
マイクロソフトは米国時間2月14日に 月例パッチを発表した。このセキュリティアドバイザリでは、現バージョンのウィンドウズで使用している Internet Explorer (IE) バージョン 9.0 とそれ以前のバージョンで発見された 4 つの新しい脆弱性について説明、その危険度を「深刻」と評価している。 欠陥の技術面はそれぞれ異なるが、そのうち2つの欠陥の作用範囲と影響力は同じである。その2つは、IE が多々ある HTML オブジェクトの取り扱いを誤る点に関係したメモリ破損欠陥の影響を受けている。有害なウェブコードを含む ウェブページにユーザを誘導することに成功すると、攻撃者は脆弱性を悪用してユーザの特権をもってそのコンピュータでコード を実行できるようになる。通常、ウィンドウズ ユーザはローカル管理者の特権を持っているが、その場合は攻撃者がユーザのコンピュータを完全に操作できるようになる。 このセキュリティ更新プログラムは他にも二つの情報開示問題も修正している（先述の脆弱性に比べれば深刻性は低い）。 詳細についてはマイクロソフトのセキュリティアドバイザリを参照することをすすめる。 最近の攻撃者達は、正当なウェブページをハイジャックして有害なコードで罠を仕掛ける手口を使うため、 その点においても注意が必要だ。見覚えのあるウェブサイトや正当なウェブサイトでさえも、その方法でハイジ ャックされドライブバイ･ダウンロード攻撃に利用されているケースがよく見られる。こうした攻撃を避けるには、 マイクロソフトが提供している IE のセキュリティ更新プログラムをできる限り早急にインストールすることをすすめる。

解決方法：
マイクロソフトは脆弱性を修正するセキュリティ更新プログラムをリリースしているので、状況に適した IE の更新プログラムを至急インストールするか、ウィンドウズの自動アップデート機能に任せることをすすめる。

注意：日本語版をダウンロードするには「Change Language:」と表記されたドロップダウンから「Japanese」を選択しよう。 マイクロソフトが提供しているIE アドバイザリの「影響を受けているソフトウェアと受けていないソフトウェア」の欄には、 下記にまとめた リンクから直接いくことができる。また、IE の各種セキュリティ更新プログラムのダウンロード先も、ここで確認することができる。

解決策： ウォッチガードユーザ専用
通常、このタイプの攻撃はごく普通のHTTPトラフィックに見せかけた状態でやってくるが、ネットワーク上のユーザがインターネ ットにアクセスできるようにするには HTTPトラフィックを許可しなければならないため、セキュリティ更新プログラムを取り入れることが主な対策となる。 大方の場合、ウォッチガードの IPS / AV / RED (Reputation Enabled Defense) サービスを使ってこの種の攻撃からネットワークを守ることができる。

ステータス：
マイクロソフトは脆弱性を修正するセキュリティ更新プログラムをリリースしている。

参考資料：
マイクロソフトのセキュリティアドバイザリ（一覧）


この記事はコーリー・ナクライナー CISSP が調査し執筆したものです。
（ツイッター：(@SecAdept)

続きを読む»

52のセキュリティ脆弱性を修正、2012年初のOS X アップデート
2012年2月1日  
コーリー・ナクライナー

概要：

• 対象： 
  現バージョンの OS X 10.6.x (Snow Leopard) と OS X 10.7.x (Lion) 
  
• 悪用方法： 
  有害なウェブサイトにユーザを誘導したり、ユーザがドキュメントやメディアファイルを開くように仕向けるなど、様々な攻撃方法がある 
  
• 影響： 
  結果は様々だが最悪の場合は攻撃者がユーザのコンピュータでコードを実行できるようになる 
  
• 対策：  
  OS Xの管理者は、できる限り早急にOS X 10.7.3 またはセキュリティアップデート2012-001をダウンロードしテストしてからインストールするか、アップルのソフトウェアアップデートに任せ、必要な更新プログラムを取り入れることをすすめる 
  

詳細：
アップルは米国時間の2月1日にセキュリティアップデートをリリースし、OS Xの現バージョンで発見された脆弱性をすべて修正した。このアップデートは27のコンポーネント内で発見されたセキュリティ問題（52件）を修正することができる（数字はCVE-IDより）。こうしたコンポーネントにはApacheやQuicktime、Time Machine などがあり、OS X やOSX Serverの一部として搭載されている。 
 
今回修正された脆弱性のいくつかを次に説明する：

• ImageIOバッファ・オーバーフローの脆弱性（複数） 
  ImageIO は、様々な種類のイメージファイルをOS Xが処理できるようにするコンポーネントだが、残念なことにバッファ・オーバーフローなど様々なセキュリティ脆弱性の影響を受けている。この脆弱性は特定の種類のイメージファイルを処理する方法に関与しており、技術面は異なるものの、その作用範囲と影響力はどれもほぼ同じである。細工された悪質なイメージファイルをユーザが閲覧すると、その罠を仕掛けた攻撃者はいずれかの欠陥を悪用してアプリケーションをクラッシュさせたり、被害者のコンピュータでコードを実行することが可能になる。また、デフォルトにより攻撃者はユーザの特権でのみコードを実行することができる。 
   
  問題の影響を受けているイメージタイプ：TIFFやPNGなど。 
  
• CoreAudioバッファ・オーバーフローの脆弱性 
  CoreAudioは オーディオコンテンツをOS Xが再生できるようにするコンポーネントだが、バッファ・オーバーフローの影響を受けている。細工済みの悪質なオーディオファイルをユーザに再生させると、攻撃者はこの欠陥を悪用してユーザのシステムをクラッシュさせたり、ユーザの特権を使ってコードを実行できるようになる。
• Quicktimeの脆弱性（複数） 
  QuicktimeはOS X（およびiTunes）に搭載されており、ビデオやメディアの再生を可能にするものだが、6つのセキュリティ問題の影響を受けていることが分った（数字はCVE-IDによる）。こうした脆弱性は、特定のイメージやビデオファイルを処理する方法に関与しており、それぞれの技術面は異なるが作用範囲と影響力は同じだ。攻撃者は、悪質に細工されたイメージやビデオをユーザがQuickTimeで閲覧するように仕向け、それに成功するといずれかの欠陥を悪用し、ユーザの特権でそのユーザのコンピュータでコードを実行できるようになる。 
   
  

アップルのアラートは、サービス拒否（DoS)欠陥や特権昇格の脆弱性そして情報開示の欠陥など、その他にも様々なコード実行の脆弱性について説明している。 
 
今回のセキュリティ更新プログラムで修正された主なコンポーネント：  
詳細に関してはアップルの OS X 10.5.x と10.6.x のアラートを参照することをすすめる。  

解決方法：
アップルはOS X Security Update 2012-001 と OS X 10.7.3をリリースし、こうしたセキュリティ問題を修正しているので、OS Xの管理者はできる限り早急に更新プログラムをダウンロードしテストしてから取り入れるか、アップルの自動ソフトウェアアップデート機能に任せて必要な更新プログラムをインストールすること。

• OS X Lion アップデート 10.7.3 (Client)
• OS X Lion アップデート 10.7.3 (Client Combo)
• OS X Lion アップデート 10.7.3 (Server)
• OS X Lion アップデート 10.7.3  (Server) Combo
• Security アップデート 2012-001 Server (Snow Leopard)
• Security アップデート 2012-001 Server (Snow Leopard)

 
注意：
セキュリティ更新プログラムの中にはサイズが大きなものもあるので（700MBまたはそれ以上）、再起動の必要がある。  
全ユーザ対象：
攻撃者達は様々な悪用方法を使ってこうした欠陥を悪用するが、中にはユーザのぺリメター・ファイアウォールに気付かれずに攻撃が行われるローカルの悪用方法もある（社内の部署間でファイアウォールを設置している場合は別）。このためセキュリティ更新プログラムをインストールすることがもっとも安全な対策といえるだろう。 
ステータス：
アップルは欠陥を修正できる更新プログラムをリリースしている。  
参考資料：

• 2012年2月　OS X  セキュリティアップデート（英文）
• アップル（日本語サイト） 
   
  

この記事はコーリー・ナクライナー CISSP が調査し書いたものです。 
ツイッター：@SecAdept 

続きを読む»

ウィンドウズのセキュリティ更新プログラム（6件） 
深刻なケース（1件）
ウィンドウズ / メディアコンポーネント / CSRSS/SSL / TLS、他 
  2012年1月11日  
コーリー・ナクライナー  
危険度：高  

概要：

• 対象： 
  現バージョンのウィンドウズと搭載されているコンポーネント  
  
• 悪用方法： 
  罠を仕掛けたメディア、ドキュメント、その他のファイルをユーザがダウンロードし開くように仕向けるなど、 様々な攻撃方法がある 
  
• 影響： 
  結果は様々だが、最悪の場合は攻撃者がユーザのウィンドウズを完全に操作できるようになる  
  
• 対策：  
  状況に適したマイクロソフトのセキュリティ更新プログラムを至急インストールするか、 ウィンドウズの自動アップデート機能に任せることをすすめる

詳細：
今日、マイクロソフトはウィンドウズとそれに搭載されているコンポーネントに影響する 7 つの脆弱性について、6 件のセキュリティアドバイザリをリリースした。各脆弱性の対象となるウィンドウズのバージョンと 各影響は異なるが、リモート攻撃者は、中でも悪質な欠陥を利用してユーザのウィンドウズ PC を完全にコントロールすることができる。 
 
危険性の高い問題から順番にまとめた概要は以下の通り：

• MS12-004: 
  ウィンドウズのメディアコード実行の欠陥（2）

ウィンドウズにはWindows Media PlayerやDirectShowなど、メディア レンダリング機能が搭載されている。ユーザはそうした機能を使い、様々な種類のマルチメディアを再生することができるのだが、残念ながら、その2つのウィンドウズ メディアコンポーネントは、コード実行脆弱性の影響を受けている。欠陥の技術面は各自異なり、影響を及ぼすコンポーネントも別ではあるが、その作用範囲と影響力は同じだ。攻撃者は細工したメディアファイルをユーザが開くように誘導して欠陥を悪用し、そのユーザの特権を利用した上で悪質なコードをユーザのコンピュータで実行することができる。大抵のウィンドウズユーザは、ローカル管理者の特権を持っているため、攻撃者がこうしたタイプの欠陥を悪用してユーザのコンピュータを完全に操作できるようになる可能性は大きい。 マイクロソフトの評価：深刻 

• MS12-001: 
  ウィンドウズカーネルのSafeSEHバイパスの脆弱性

ここ何年もの間、マイクロソフトは攻撃者がバッファオーバーフロー攻撃などのメモリ破損の脆弱性を利用した攻撃を仕掛けにくくするように構築された様々なデータ実行防止（DEP)機能をWindowsに取り入れている。ここではその詳細説明は省くが、DEP機能は、大方の場合、通常ならば実行不可能なデータ用にリザーブしているメモリロケーションから攻撃者がシェルコードをインジェクトし実行することを困難にさせている。SafeSEHは別のDEP関連機能で、バッファオーバーフロー攻撃の最中に攻撃者がウィンドウズのStructured Exception Handler (SEH)をハイジャックすることを妨げようとするものだ。しかし、外部のある研究家がウィンドウズのSafeSEHセキュリティ機能を迂回できる方法を発見したのである。それ自体ではセキュリティ迂回の欠陥はウィンドウズにおいて直接的な脆弱性ではない。つまり、攻撃者は直接それを利用して、ユーザのコンピュータを操作することはできない。とはいっても、攻撃者が新しいバッファオーバーフローの脆弱性をウィンドウズで発見した場合、SafeSEHの欠陥は攻撃者がウィンドウズのDEP保護機能を迂回しやすくし、バッファオーバーフロー攻撃を悪用することが可能になる。 マイクロソフトの評価：重要 

• MS12-002: 
  ウィンドウズのオブジェクト パッケージャーにあるコード実行の脆弱性

マイクロソフトによると、ウィンドウズのオブジェクト パッケージャーは「ファイルに挿入できるパッケージの作成に使えるツール」だという。実に漠然とした定義だ。PC Magazineの用語集によると、それはオブジェクト パッケージャーをObject Linking and Embedding (OLE)に関連させるもの、マイクロソフトのドキュメントを別のドキュメント内に埋め込めるようにするマイクロソフトの技術、とある。どちらにしても、ウィンドウズのオブジェクト パッケージャーは未特定の実装欠陥の影響を受けていることにはかわりない。攻撃者は、有害である可能性を持つ実行可能ファイルをユーザが誤って実行するように罠を仕掛けてそれを利用する。攻撃者は、有害な実行可能ファイルと同じシェアもしくは同じネットワークロケーションにある、特別にパッケージしたオブジェクトを入れた正当なファイルに見せ掛けたファイルをユーザが開くように誘導することで、攻撃者はユーザが特に何もしなくてもそのファイルを強制的に実行させることができる。とはいっても、このオブジェクト パッケージャーの欠陥の影響を受けているのはウィンドウズXPとServer 2003 のみである。 マイクロソフトの評価：重要 

• MS12-003: 
  CSRSS 特権昇格の脆弱性

クライアント/サーバ･ランタイム･サブシステム（CSRSS）は、ウィンドウズに必要不可欠なコンポーネントであり、コンソールウィンドウズやスレッドの作成・削除の役割を担っているが、CSRSSはローカル特権昇格問題の影響を受けていることが分った。攻撃者は特別に細工したアプリケーションを実行することで、実際の自分のユーザ特権のレベルにかかわらず欠陥を利用してシステムのフルアクセス権でコードを実行できる。しかし、攻撃者がそのプログラムを実行できるようにするには、まず有効なクレデンシャルで、ユーザのウィンドウズへのローカルアクセス権を必要とするため、この欠陥によるリスクを大幅に緩和させている。 マイクロソフトの評価：重要 

• MS12-005: 
  マイクロソフトのClickOnceコード実行の欠陥

マイクロソフトのClickOnce は、インストールが簡単でセルフアップデートできるウィンドウズのアプリケーションを開発者達が製作しやすくする配置技術だが、ClickOnceアプリケーションはインストールが簡単すぎることが分かった。マイクロソフトは、パッケージャーの安全ではないファイルリストにClickOnceをまだ入れていないため、ClickOnceアプリケーションを入れた悪質なOfficeドキュメントをユーザが開くとそれが自動的に実行されてしまう。攻撃者はこの欠陥を利用して、無害に見えるドキュメントをユーザが誤って開くことでマルウェアをインストールするように仕向けることができる。 マイクロソフトの評価：重要 

• MS12-006: 
  SSL/TLSプロトコルの脆弱性（BEAST攻撃）

去年9月、Ekoparty セキュリティ コンフィレンスにて、研究家達がBEAST SSL/TLS攻撃のデモを行った。BEASTは［Browser Exploit Against SSL/TLS］の略で、SSL/TLSプロトコルの脆弱性を利用しHTTPSリクエストを妨害・解読することを可能にする。『The Register』の記事には、BEASTツールやこの攻撃についての高度で質の良い説明を出している。マイクロソフトのMS12-006 アップデートは、この SSL/TLS プロトコルの脆弱性を緩和させている。 マイクロソフトの評価：重要  
解決方法： マイクロソフトは、こうした問題をすべて修正できるウィンドウズ対象の更新プログラムをリリースしているので状況に適したウィンドウズのプログラムを至急ダウンロードし、テストしてからネットワーク全体に取り入れることをすすめる。また、ウィンドウズの自動アップデート機能に任せて必要な更新プログラムをインストールする方法もある。 これまで我々はマイクロソフトのセキュリティアドバイザリに掲載されているセキュリティ更新プログラムへのリンクを各アラートに載せてきたが、マイクロソフトは自社のセキュリティアドバイザリに更新プログラムへのリンクをわかりやすくまとめているので、今後はここで提供せずに、直接マイクロソフトのサイトで［影響を受けている（または受けていない）ソフトウェア］の項目を参照してもらうようにしていく予定だ。意見・感想があれば記事の最後にあるコメント欄に投稿して欲しい。 
 
次のリンクは、各セキュリティアドバイザリの［影響を受けているソフトウェアと受けていないソフトウェア］の項目につながっており、セキュリティ更新プログラムへのリンクはそこから探すことができる。

• MS12-004
• MS12-001
• MS12-002
• MS12-003
• MS12-005
• MS12-006 
  
• 日本語版セキュリティアドバイザリ一覧 
  

解決策： 
ウォッチガードユーザ専用 攻撃者達は様々な悪用方法を使ってこうした欠陥を悪用してくる。状況に適したように設定してあるファイアウォールは、こうした問題によるいくつかのリスクを緩和させることができる。また、WatchGuard のプロキシポリシーは、欠陥を悪用するために必要なタイプのコンテンツのいくつかをネットワークから阻止できるように設定できるものもある。とはいっても、WatchGuard のアプライアンスでローカル攻撃を阻止することはできず、通常のHTTPトラフィックを利用する攻撃を阻止することもできないので、マイクロソフトが用意したセキュリティ更新プログラムをインストールすることがもっとも安全な対策といえるだろう。  
ステータス：
マイクロソフトは脆弱性を修正するセキュリティ更新プログラムをリリースしている。  

参考資料：  
日本語版セキュリティアドバイザリ一覧 
この記事はコーリー・ナクライナー CISSP により調査され書かれたものです。

続きを読む»

アドビ、Reader と Acrobat の更新プログラムをリリース
2012年1月11日

コーリー・ナクライナー
概要：

• 対象： 
  ウィンドウズ、Mac、UNIXで使用している Adobe Reader、Acrobat X 10.1.1、それ以前のバージョン 
  
• 悪用方法： 
  故意に作成した PDF ドキュメントをユーザに閲覧させる 
  
• 影響： 
  攻撃者がユーザのコンピュータでコードを実行し、そのコンピュータを完全に操作できるようになる可能性がある 
  
• 対策：  
  ウィンドウズユーザは、アドビの Reader や Acrobat X 10.1.2 または 9.5 のアップデートを至急インストールするか、アドビのアップデート機能に任せて必要なプログラム をインストールすることをすすめる

 
詳細：
今月のパッチデーで、アドビはAdobe ReaderとAcrobat X 10.1.1（それ以前のバージョンも対象）で発見された6つのセキュリティ脆弱性について説明した セキュリティアドバイザリ をリリースした。アドビはそうした欠陥の技術詳細を説明していないが、ReaderやAcrobatコンポーネント内に見られる問題はメモリ 破損関連が大方だ。故意に作成された PDF ファイルをユーザが開くように攻撃者が誘導した場合、攻撃者はこうしたタイプの問題を悪用し、ユーザの特権を使い、 そのユーザのコンピュータでコードを実行できるようになる。ユーザにローカルやシステム管理者としての特権があれば、攻 撃者はユーザのコンピュータを完全に操作できるようにもなる。 過去に掲載した 記事でも説明したが、定例外にリリースされたアドビの更新プログラムはReaderとAcrobat 9.4.6 およびそれ以前のバージョンにあった2つのゼロデイ脆弱性を修正している。こうしたゼロデイ欠陥は Reader とAcrobat X にも影響を与えているが、アドビは 実社会での悪用においては、Xに搭載している保護機能でこの欠陥の悪用を防げると見ていたため、その時点でX対象の更新 プログラムをリリースしなかった。しかし、今回リリースされたReaderの更新プログラムは ReaderとAcrobat Xで見られる2つの未解決問題を修正している。 【アップデート】アドビが公式にセキュリティアドバイザリを公開してから、無所属の研究家達や組織ら が欠陥詳細に関する情報をシェアしている。技術面に精通しているセキュリティプロで、問題の詳細を知りたいならば次の セキュリティメーリングリストに登録するといいだろう：FullDisclosure / Security Focus  
解決方法：
アドビはReaderやAcrobat X 10.1.2（レガシーユーザ対象の9.5も含む）を対象とした更新プログラムをリリースしており、こうした問題を修正できるようにしている。状況に適した更新プログラムを至急ダウンロードし取り入れるか、アドビのソフトウェア・アップデート機能に任せることをすすめる。

• Adobe Reader X 10.1.2
• Windows
• Mac
• Adobe Acrobat X 10.1.2
• Standard &Pro for Windows
• Pro Extended for Windows
• Pro for Mac

 
解決策：ウォッチガードユーザ専用
ウォッチガードの Firebox シリーズ製品の多くは、PDF ファイルをネットワークから遮断することができるが、大抵の管理者はビジネス上この種のファイルを許可しておく傾向がある。とはいえ、仕事をする上でどうしても PDF ファイルが必要というのでなければ、更新プログラムをインストールするまでは Firebox の HTTP プロキシや SMTP プロキシを使って PDF ファイルがネットワークに入り込まないようにすることもできる。 ウォッチガードの Gateway Antivirus (GAV) サービスでも、マルウェアチェックをする場合に PDF ファイルをスキャンできることを覚えておこう。大抵、ただ GAV サービスを有効にしておくだけで、このように有名で一般的に見られるセキュリティ脅威からネットワークを守ることができる。 PDF ドキュメントをネットワークから遮断したい場合は、次の手順を参考にして Firebox プロキシのコンテンツ･ブロック機能を使い、ファイル拡張子別に .pdf ファイルを阻止することができる。

• XTM アプライアンス + WSM 11.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Edge + 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Core & X Peak + Fireware 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？

 
ステータス：
アドビは脆弱性を修正するセキュリティ更新プログラムをリリースしている。  
参考資料：
アドビ（日本版）のセキュリティ・アップデート（抄訳） 
 
 
この記事はコーリー・ナクライナー CISSP により調査され書かれたものです。

続きを読む»

ゼロデイ脆弱性を修正するReader と Acrobat のセキュリティ更新プログラム
2011年12月16日
　
コーリー・ナクライナー 

概要：

• 対象： 
  ウィンドウズ / Mac / UNIX で使用している Adobe Reader、Acrobat 9.x、それ以前のバージョン（厳密にいえば Readerへの影響もあるが、悪用しにくい） 
  
• 悪用方法： 
  故意に作成した PDF ドキュメントをユーザに閲覧させようとする 
  
• 影響： 
  攻撃者がユーザのコンピュータでコードを実行し、そのコンピュータを完全に操作できるようになる可能性がある 
  
• 対策：  
  ウィンドウズ･ユーザは、アドビの Reader や Acrobat X9.4.6 のアップデートを至急インストールするか、アドビのアップデート機能に任せて必要なプログラムをインストールすることをすすめる

詳細：
過去に掲載した記事でアドビの Reader にあるゼロデイ脆弱性を利用して攻撃者達が特定の業界に攻撃を仕掛けていると警告した。攻撃者達は故意に細工した PDF ファイルをメールに添付し、対象を絞り込んだフィッシングメールで攻撃は仕掛けているのだが、ユーザがその PDF ファイルを開いてしまうと、これまで知られていなかった脆弱性を攻撃者が利用してユーザの特権を使い、ユーザのコンピュータでコードを実行することが可能になってしまう。 アドビは、今週内にそのゼロデイ問題に対応する更新プログラムをリリースすると約束しており、今日、そのプログラムが公開された。このセキュリティアドバイザリによると、定例外にリリースされたこの更新プログラムは一般環境下で攻撃者達が悪用したことがある2つのセキュリティ脆弱性を修正しているという。アドビはこれまでと同様に欠陥の詳細については説明していないが、Reader や Acrobat のコンポーネントであるU3D や PRC コンポーネントとのメモリ破損に関係しているとは述べている。先にも説明したが、故意に作成された PDF ファイルをユーザが開くように誘導した場合、攻撃者はこの問題を悪用してユーザの特権でコードを実行できるようになる。また、ユーザにローカルやシステム管理者としての特権があれば、攻撃者はユーザのコンピュータを完全に操作できるようになる。 解決方法： アドビは、ウィンドウズ･システムに見られるこうした脆弱性を修正するウィンドウズ用の Reader や Acrobat 9.4.6 をリリースしている。Mac や Unix など別のプラットフォームで使用している Reader のバージョンも、こうした問題の影響を受けやすいのだが、アドビはそれらを対象とする更新プログラムは 2012年1月10日に予定されている次回の更新プログラム・リリース日まで用意する予定はないという。 また、最近の Reader や Acrobat X (10.1.1) バージョンも、これに対して脆弱なので注意が必要だ。とはいっても、アドビは保護機能が搭載されているXバージョンでこうした欠陥を攻撃者が悪用することはないだろうと見ている。それでもアドビは 1 月に Reader X のセキュリティ更新プログラムをリリースする予定だという。 ウィンドウズ版の Reader や Acrobat 9.x のユーザは、次のアップデートをできる限り早急にインストールするか、アドビのアップデート機能に任せて必要なプログラムをインストールすることをすすめる。

• Adobe Reader 9.4.6
• Windows
• Adobe Acrobat 9.4.6
• Windows

 
解決策： ウォッチガードユーザ専用
ウォッチガードの Firebox シリーズ製品の多くは PDF ファイルをネットワークから遮断することができるが、大抵の管理者はビジネス上、この種のファイルを許可しておく傾向がある。とはいえ、仕事をする上でどうしても PDF ファイルが必要というのでなければ、更新プログラムをインストールするまでは Firebox の HTTP プロキシや SMTP プロキシを使って PDF ファイルがネットワークに入り込まないようにすることもできる。 ウォッチガードの Gateway Antivirus (GAV) サービスでも、マルウェアチェックとして PDF ファイルをスキャンできる点を覚えておこう。多くの場合、ただ GAV サービスを有効にしておくだけで、有名で一般的なセキュリティ脅威からネットワークを守ることができるのだ。 PDF ドキュメントをネットワークから遮断したい場合は、次の手順を参考にして Firebox プロキシのコンテンツ･ブロック機能を使い、ファイル拡張子別に .pdf ファイルを阻止することが可能だ。

• XTM アプライアンス + WSM 11.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Edge + 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Core & X Peak + Fireware 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？

 
ステータス：
アドビは特定のウィンドウズ・システムで見られる脆弱性を修正するセキュリティ更新プログラムをリリースしている。 また、アドビはこの他のセキュリティ更新プログラムを 1 月にリリースする予定だ。  
参考資料：

• アドビ（日本版）のセキュリティ・アップデート（抄訳）
• アドビ（英文）のセキュリティ・アップデート

  
 
この記事はコーリー・ナクライナー CISSP により調査され書かれたものです。

続きを読む»

WatchGuard WSM v11.5.1 Update 1 - XSS 欠陥を修正
2011年12月15日
コーリー・ナクライナー
危険度：高
2011年12月15日

概要：

• 対象： 
  WatchGuard System Manager (WSM) v11.5.1 
  
• 悪用方法： 
  故意に作成したリンクをユーザがクリックするように誘導したり、細工した悪質なネットワーク・トラフィックをXTMアプライアンスを介して送信し、ウォッチガードのウェブUIにあるログ結果を見せるなど、攻撃方法は複数ある 
  
• 影響： 
  最悪の場合は、攻撃者がユーザのブラウザで特権を昇格させた状態でコードを実行、場合によっては、ユーザのウェブ･ブラウザをハイジャックする可能性もある 
  
• 対策：  
  都合がつき次第、[WSM 11.5.1 Update 1] をインストールすることをすすめる

詳細：
数週間前、ウォッチガードは [Fireware XTM OS] と [WatchGuard System Manager (WSM) v11.5.1] をリリースした。それには、新たにデザインした [Log and Report Manager Web UI] もあり、ロギングやレポートのインターフェイスを大きく改善、これまでに比べ、そのスピードと使い勝手が大幅に向上した。 しかしWSM v11.5.1をリリースしてすぐに、 [Log and Report Manager Web UI] に影響を与えるセキュリティ問題が発見された。そのうち非公開に報告されたものは2件、社内で発見したものは2件あった。[WSM v11.5.1 Update 1] は、それら4件すべてのセキュリティ問題を修正している。 

• BUG 64549: 
  ログ･メッセージの頑固なXSS 脆弱性(CVE-2011-4774)

[Log and Report Manager Web UI] が、ログ・データベースから取り出すログ・データをウェブUIで表示する前に適切にサニタイジングしていないことが分った。攻撃者は細工した悪質なトラフィック（故意に作成したメールやFTP接続など）をユーザのXTM アプライアンス経由で送信し、悪質なウェブスクリプトを含むメッセージでユーザのログをいっぱいにすることができる。そして、ユーザがそうしたログを [Log and Report Manager Web UI] で閲覧した場合、クロスサイト・スクリプティング（XSS）脆弱性を誘発することになり、ウォッチガードのウェブUI環境下で攻撃者はユーザのウェブ・ブラウザでスクリプトを実行できるようになる。悪質なログは、ユーザが削除するまでユーザのログ･データベースに残るため、この欠陥は頑固なXSS脆弱性の欠陥となる。

概して攻撃者達は、XSS攻撃を利用してユーザのウェブ・クッキーを盗んだり、ウェブ・セッションをハイジャックしたり、有害サイトへの誘導、また脆弱なサイトでユーザとして動くことができる。場合によってはXSS攻撃を利用してユーザのウェブ・ブラウザをハイジャックし、ユーザのコンピュータで未認証アクセス権を得ることも可能だ。とはいっても、この問題の危険性を緩和させる要因がいくつかあり、まず欠陥を悪用するにあたって攻撃者は、ユーザがWSM server でv11.5.1を管理しているという情報を掴んでいなければならない。また、細工した悪質なトラフィックをユーザのXTMアプライアンス経由で送信しなければならないほか、トラフィックを許可するポリシーも必要となる。この攻撃により、ユーザのウェブ・ブラウザで攻撃者が特権を昇格させることも可能な場合はあるが、攻撃者はXTMアプライアンスへのアクセス権を得ることも、ファイアウォールのルールを変更することもできない。それでもウォッチガードとしては、これをかなり深刻な問題として見ており、できる限り早急にアップデートすることをすすめている。 
 
この場をお借りし、この欠陥について我々に連絡して下さったSec-1ウェイン・マーフィー氏に御礼申し上げます。

危険度：高 

• BUG 64551: 
  URL パラメータの反射型XSS脆弱性(CVE-2011-4774)

[Log and Report Manager Web UI] は、特定のURLパラメータに入力された情報も、適切にサニタイジングしていない。細工した悪質なリンクをユーザがクリックするように誘導したり、URLパラメータを傍受したり変更したりすることで、攻撃者は欠陥を悪用して別のXSS脆弱性を誘発させることができる。この欠陥による影響力は、先に説明したものと同じだ。攻撃者は、これを利用してウェブ・クッキーを盗んだり、ユーザのウェブ・セッションをハイジャックしたり、[Log and Report Web UI] でユーザのように動きが取れるようになる。この攻撃は、ユーザが有害なリンクをクリックした時に限り一度だけ起きるので反射型XSS欠陥であるといえる。

先に説明した欠陥と似たように、この欠陥を悪用するにあたり攻撃者は、まずユーザがXTMアプライアンスでv11.5.1を管理しているという情報を掴んでいなければならない。また、攻撃者は有害なリンクをユーザがクリックするように誘導しなければならないため、上記の問題に比べると危険性は低いといえる。 
 
この場をお借りし、この欠陥について我々に連絡して下さったSec-1ウェイン・マーフィー氏に再度、御礼申し上げます。

危険度：中 

• Nessus報告による危険性の低い2つの脆弱性

社内テストで Nessus スキャンをかけた結果、マイナーなセキュリティ問題2件を [Log and Report Web UI] で発見した。この問題の詳細については、次のリンクを参照：

• Nessus Plugin ID 49067: CGI Generic HTML インジェクション
• Nessus Plugin ID 55976: Apache HTTP Server Byte Range DoS

どちらのケースにおいても、ユーザのWSMサーバは XTM アプライアンスで保護しているため、外部の攻撃者が、このようなマイナーな欠陥を悪用する可能性は低い。これによるリスクは実に低いものと我々は見ているが、それでもできる限り早急に Update 1を取り入れることをすすめる。

危険度：低

 
解決方法：
[WSM v11.5.1 Update 1] は、4件すべてのセキュリティ問題を修正している。XTMアプライアンスでWSM v11.5.1をインストールした管理者は、都合がつき次第 Update 1をダウンロードし、インストールしておくことをすすめる。  
FAQ: 他のウォッチガード製品への影響は？
ありません。我々が知る限り、この脆弱性が影響しているのは新しい [WSM v11.5.1 Log and Report Manager Web UI] のみです。  
脆弱性は？
こうした4つの脆弱性の中で、もっとも悪質なのはクロスサイト・スクリプティング（XSS）脆弱性で、ウォッチガードのウェブ UI 環境下で攻撃者がユーザのウェブ・ブラウザでスクリプトを実行できるようにするものです。概して攻撃者達はXSS攻撃を利用して、ユーザのウェブ・クッキーを盗んだり、ウェブ・セッションをハイジャックしたり、有害サイトにユーザを誘導したり、脆弱なウェブサイトでユーザとして動きを取れるようになります。場合によっては、攻撃者が XSS 攻撃を利用して、ユーザのウェブ・ブラウザをハイジャックし、ユーザのコンピュータで未認証アクセス権を得ることもできます。とはいっても、攻撃者達がこれを利用し、ユーザのXTMアプライアンスへのアクセス権を獲得したり、ファイアウォールのルールを変更したりすることはできません。  
この脆弱性はかなり深刻ですか？
XSS脆弱性2件はかなり深刻であると我々は捉えています。けれど、攻撃者が実社会において欠陥を悪用することを限定する要因もいくつかあります。概してXSS欠陥は非常に危険なものです。[Browser Exploitation Framework (BeEF)] のようなツールは、攻撃者が簡単なXSS欠陥を利用して、ユーザのブラウザを大きくコントロールし、ユーザのコンピュータにおいても、その力が及ぶ可能性があることを例証しています。とは言うものの、XSS 脆弱性を悪用するには攻撃者達がユーザそしてその組織について十分な情報を把握していなければなりません。特に、ユーザがWSM v11.5.1サーバを管理しているということを知っておく必要があるほか、ユーザにリンクをクリックさせるように誘導したり、ウェブUIにある特定のログ・メッセージをユーザが閲覧するようにしなければならないため、これは対象を絞り込んだ攻撃であるといえるでしょう。ちなみに、こうした欠陥は攻撃者にユーザのXTMアプライアンスへのアクセス権を与えることはしません。とはいっても、セキュリティ会社のウォッチガードとしては、弊社製品におけるあらゆる種類の脆弱性を非常に深刻に捉えていますので、ユーザの皆様には [WSM v11.5.1 Update 1] をできる限り早急にインストールいただくよう、おすすめしています。  
Update 1をインストールする他に、回避策はありますか？
とくにありません。悪質なフィッシング・リンクをクリックしなければ、攻撃者がこの反射型XSS攻撃を悪用することはできません。とはいっても、実に腕の立つセキュリティのプロでさえ、時々間違ったリンクをクリックしてしまうことはあります。XTMアプライアンスで、受信用トラフィックを一切許可していなければ、攻撃者は細工した悪質なメッセージでユーザのログファイルに罠を仕掛けることはできないかもしれません。ただ、大方の組織では少なくともメール・トラフィックを許可するポリシーがあるので、それだけでも外部攻撃者がユーザのログを破損させる可能性につながります。このため、ウォッチガードでは [WSM v11.5.1 Update 1] をインストールし、問題を修正することをおすすめしています。  
ホットフィックスを入手するには？
現在、ウォッチガードのサポートセンターにある [Articles & Software] で [WSM 11.5.1 Update 1] を入手することができます。XTMアプライアンスは [Management Software] にあります。  
どうやって問題を発見したか？
脆弱性4件中2件は、Sec-1 (@Sec1Ltd) のウェイン・マーフィー氏が発見し、未公開の状態でウォッチガードがその報告を受けました。この場をお借りして、弊社お客様の安全維持にご協力頂いたマーフィー氏に感謝申し上げます。また、他2件は社内で発見しました。  
この脆弱性が一般環境下で悪用されている兆しはありますか？
ありません。現時点において、この脆弱性が一般の環境下で悪用されているという兆しはありません。また、今後その可能性は大きくないと我々は見ています。  
他にも質問がある場合は、ウォッチガードの誰に連絡をすればいいですか？
この問題に関して他に質問がある場合、またはウォッチガード製品関連その他セキュリティについて懸念があれば、次の連絡先までお問い合わせください。  
コーリー・ナクライナーCISSP 
 
シニア・ネットワーク・セキュリティ・ストラテジスト 
WatchGuard Technologies, Inc. 
 
http://www.watchguard.com（本社） 
http://www.watchguard.co.jp（日本） 
 
corey.nachreiner@watchguard.com 

続きを読む»

ウィンドウズのセキュリティアドバイザリ（4）： 
リモートルートを許可するTCP/IP緊急問題

2011年11月8日 
 
コーリー・ナクライナー 対象： TCP/IP、Active Directory、Windows メールなど  

危険度：高 
 
概要：

• 対象： 
  現バージョンのウィンドウズと搭載されているコンポーネント（但し、最近のバージョンの方がより影響を受けている模様） 
  
• 悪用方法： 
  特別に細工したパケットを送信したり、罠が仕掛けられたファイルを開くようにユーザを誘導したりするなど、様々な攻撃方法がある  
  
• 影響： 
  結果は様々だが、最悪の場合は攻撃者がユーザのウィンドウズを完全に操作できるようになる 
  
• 対策： 
  状況に適したマイクロソフトのセキュリティ更新プログラムを至急インストールするか、ウィンドウズの自動 アップデート機能に任せること

  詳細： 
今日、マイクロソフトはウィンドウズやウィンドウズに搭載されているコンポーネントに影響を与えている4つの脆弱性について それぞれ説明するため、セキュリティアドバイザリを4件リリースした。各脆弱性による影響はウィンドウズのバージョンにより異なるが、 今回影響を大きく受けているのは Windows Vista 7 と Server 2008 である。リモート攻撃者は中でも悪質な欠陥を悪用して、ユーザのウィンドウズ PC を完全に操作することができる。 
 
危険性が高い問題から順番にまとめた概要は以下の通り：

• MS11-083:  
  TCP/IP リモートコード実行の脆弱性

想像通り、ウィンドウズのTCP/IP スタックはコンピュータがインターネットにアクセスすることを可能にするネットワーキング・プロトコルのセットだ。 しかし残念ながら、ウィンドウズのTCP/IP スタックは特別に作成されたUDPパケットの連続フローを適切に解析できない点に関与する 整数のオーバーフロー問題の影響を受けている。 攻撃者は、そうしたパケットを送信することで欠陥を利用し、ユーザのウィンドウズを完全に操作できるようになる。 この欠陥の影響を受けているウィンドウズのバージョンはWindows Vista、7、Server 2008 のみである。とはいっても、これは深刻な脆弱性であるため、 更新プログラムを至急インストールすることをすすめる。 
 
マイクロソフトの評価：緊急 

• MS11-085:  
  Windows メールとミーティング スペースの脆弱性による、安全でないライブラリのロード脆弱性

Windows メールはウィンドウズやミーティング スペースに搭載されているメールクライアントで、ドキュメントやデスクトップ共有用のアプリケーションだ。 しかし、残念なことに、どちらのコンポーネントも安全でないダイナミックリンクライブラリ(DLL) クラス ローディングの影響を受けている。その点については過去のマイクロソフトのアラートでも説明したと思うが、 簡潔に言うと、攻撃者は特別に細工した悪質なDLLファイルの保存先と同じ場所にある罠を仕掛けたファイルをユーザが 開くように誘導し、ユーザがその罠に掛かると、そのユーザの特権を持った状態で悪質なDLLに潜むコードを実行することができる。 また、ユーザにローカル管理者の特権があった場合、攻撃者は問題を悪用してユーザのコンピュータを完全に操作できるようにもなる。 今回のこのケースでは、メールやミーティング スペースに関係する.EMLや.WCINVといった拡張子のファイルにより、脆弱性が誘発されている。 
 
マイクロソフトの評価：重要 

• MS11-086:  
  Active Directory の特権昇格問題

Active Directory (AD) は、ウィンドウズ用の一元認証や集中管理サービスを可能にするもので、 ウィンドウズのサーバ版に搭載されている。そのオプションは様々だが、AD は証明書で認証することを可能にしている。しかしAD はSSL (LDAPS)でLDAPを 使って設定しようとする際に脆弱性を処理する証明書の影響を受けている。つまり、AD は撤回されたSSL証明書を適切に認識しないため、攻撃者はその証明書を使ってユーザのシステムにアクセスできる可能性がある。 とはいっても攻撃者がこの欠陥を利用するには、まずユーザのドメインで有効なアカウント用の撤回済み証明書にアクセスすることが 必要であるため、この危険性のレベルは大きく低下する。しかし、攻撃者が有効なアカウントの証明書にアクセスできる場合は、 それが撤回されていようがいまいが深刻な問題につながってしまう。 
 
マイクロソフトの評価：重要 

• MS11-084:  
  カーネルモード ドライバの脆弱性によるサービス拒否問題

 
カーネルは、 あらゆるコンピュータのオペレーティングシステムにおいて中心となるコンポーネントだ。ウィンドウズは様々なカーネル レベルのデバイスを処理するカーネルモードのデバイスドライバ(win32k.sys)も搭載している。しかし、カーネルモード ドライバは細工されたTrueTypeフォントの処理法に関係するサービス拒否（DoS）問題の影響を受けている。攻撃者は細工されたフォント ファイルをユーザが開くように誘導したり、ファイルのホスト先をユーザがブラウズするように仕向けたりすることで欠陥を悪用し、 ユーザのシステムが再起動するまで応答しないようにすることができる。ちなみに、この欠陥の影響を受けているのはWindows 7とServer 2008 R2 のみである。 
 
マイクロソフトの評価：警告  
解決方法： 
  マイクロソフトは、こうした問題をすべて修正できるウィンドウズ対象の更新プログラムをリリースしているので、 状況に適したプログラムを至急ダウンロードしテストしてからネットワーク全体に取り入れることをすすめる。また、 ウィンドウズの自動アップデート機能に任せて必要な更新プログラムをインストールする方法もある。 
 
注意：日本語版をダウンロードするには「Change Language:」と表記されたドロップダウンから「Japanese」を選択しよう。 MS11-083:

• For Windows Vista (w/SP2)
• For Windows Vista x64 (w/SP2)
• For Windows Server 2008 (w/SP2)
• For Windows Server 2008 x64 (w/SP2)
• For Windows Server 2008 Itanium (w/SP2)
• For Windows 7 (w/SP1)
• For Windows 7 x64 (w/SP1)
• For Windows Server 2008 R2 x64 (w/SP1)
• For Windows Server 2008 R2 Itanium (w/SP1)

MS11-085:

• For Windows Vista (w/SP2)
• For Windows Vista x64 (w/SP2)
• For Windows Server 2008 (w/SP2) *
• For Windows Server 2008 x64 (w/SP2) *
• For Windows Server 2008 Itanium (w/SP2)
• For Windows 7 (w/SP1)
• For Windows 7 x64 (w/SP1)
• For Windows Server 2008 R2 x64 (w/SP1) *
• For Windows Server 2008 R2 Itanium (w/SP1)

* Server Core インストールには影響なし： 
「Server Core」インストールオプションを選択した場合、ウィンドウズはメールやミーティングスペースなど、不必要なクライアント アプリケーションをインストールしないようになっている。 MS11-086: Active Directory のアップデート：

• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• Active Directory
• Active Directory Application Mode (ADAM)
• For Windows Server 2003 x64 (w/SP2)
• Active Directory
• Active Directory Application Mode (ADAM)
• For Windows Server 2003 Itanium (w/SP2)
• For Windows Vista (w/SP2)
• For Windows Vista x64 (w/SP2)
• For Windows Server 2008 (w/SP2)
• For Windows Server 2008 x64 (w/SP2)
• For Windows 7 (w/SP1)
• For Windows 7 x64 (w/SP1)
• For Windows Server 2008 R2 x64 (w/SP1)
• For Windows Server 2008 R2 Itanium (w/SP1)

MS11-084:

• For Windows 7 (w/SP1)
• For Windows 7 x64 (w/SP1)
• For Windows Server 2008 R2 x64 (w/SP1) *
• For Windows Server 2008 R2 Itanium (w/SP1)

* Server Core インストールへの影響はなし  
ウォッチガードユーザ専用 
 
攻撃者達は様々な悪用方法を使って、こうした欠陥を悪用することができる。適切に設定してあるファイアウォールは、こうした問題のうち、いくつかのリスクを緩和させることができる。とはいってもFireboxでローカル攻撃を阻止することはできず、また、通常のHTTPトラフィックを利用する攻撃を阻止することはできないので、マイクロソフトが用意したセキュリティ更新プログラムをインストールすることがもっとも安全な対策といえるだろう。 
 
 
ステータス：
マイクロソフトは脆弱性を修正するセキュリティ更新プログラムをリリースしている。 
参考資料：
マイクロソフトのセキュリティアドバイザリ一覧　(11月)  
 
 
 
この記事はコーリー・ナクライナーCISSPにより、調査され書かれたものです。

続きを読む»

ウィンドウズのセキュリティアドバイザリ（危険性の高い問題1件、他）

2011年10月11日
コーリー・ナクライナー .NET Framework / メディアセンター / カーネルモード・ドライバ
危険度：高

概要：

• 対象：
  現バージョンのウィンドウズと搭載されているコンポーネント
  
• 悪用方法：
  有害なウェブサイトにユーザを誘導したり、罠を仕掛けたファイルを開くように仕向けるなど、様々な攻撃方法がある
  
• 影響：
  結果は様々だが、最悪の場合は攻撃者がユーザのウィンドウズを完全に操作できるようになる
  
• 対策：
  状況に適したマイクロソフトのセキュリティ更新プログラムを至急インストールするか、ウィンドウズの自動アップデート機能に任せること

詳細：
今日、マイクロソフトはウィンドウズとウィンドウズに搭載されているコンポーネントに影響を与えている8つの脆弱性について、5件のセキュリティアドバイザリをリリースした。各脆弱性の対象となるウィンドウズ・バージョンと、その影響は異なるが、リモート攻撃者はその中でも悪質な欠陥を利用し、ユーザのウィンドウズPCを完全にコントロールできるようになる。

危険性の高い問題から順番にまとめた概要は以下の通り：

• MS11-078:
  .NET FrameworkとSilverlight のコード実行問題

.NET Frameworkは、新しいウィンドウズやウェブアプリケーションを作成するために開発者が使うソフトウェア・フレームワークだ。.NET Framework とSilverLightはクラス内での継承を適切に制限していない。攻撃者は、その点を悪用してユーザと同じ特権で何かを実行できるウェブコードを作成することができる。攻撃者がこの欠陥を悪用するには、まず細工したサイトにユーザを誘導する必要がある（もしくは攻撃者の有害なサイトにリンクしている正当なサイトへ誘導）。また、ユーザがローカル管理者である場合、攻撃者はこの問題を悪用してユーザのコンピュータを完全に操作できるようになる。この欠陥は.NET FrameworkやSilverlightエレメントを使うウェブサイトにも影響を与えている。

マイクロソフトの評価：深刻

• MS11-075:
  Active Accessibilityの動作が不安定なライブラリ・ローディングの脆弱性

ウィンドウズにはActive Accessibilityコンポーネントが搭載されている。それは、障害を持つユーザがコンピュータを使いやすくする方法を提供するための機能である。しかし残念ながら、Active Accessibilityのコンポーネントは動作が不安定なダイナミック リンク ライブラリのローディング・クラス問題の影響を受けている。それについては過去のアラートでも説明したことがあるが、一言でいえば、この種類の欠陥は、攻撃者が細工済みのDLLファイルと同じ場所にある罠を仕掛けたファイルをユーザに開かせることに関与している。罠が仕掛けられているファイルをユーザが開くと、悪質なDLLファイルでユーザの特権を利用した状態でコードを実行することができる。ユーザにローカル管理者の特権がある場合、攻撃者はこの種の問題を悪用してユーザのコンピュータを完全に操作できるようになる。マイクロソフトは、攻撃者がこの欠陥を悪用する場合に使うファイルの種類について、それが正当なファイルという以外には説明をしていない。こうした理由から、ウィンドウズで処理できるファイルの種類であれば、攻撃者は何でも使うことができるのであろうと我々は推測している。

マイクロソフトの評価：重要

• MS11-076:
  メディアセンターの動作が不安定なライブラリ・ローディング問題

ウィンドウズ・バージョンの中には（Vistaや7）、メディアセンターを搭載しているものもある。メディアセンターは、便利なインターフェースを通じてユーザのメディアを整理したり閲覧したり、聴いたりすることができるようにする機能だ。しかし、メディアセンターは動作が不安定なライブラリ・ローディング問題の影響を受けており、これは先述の問題とほぼ同様である。つまり、コンポーネントは異なるものの、その作用範囲と影響力はActive Accessibilityの問題とまったく同じである。ユーザが、悪質なDLLファイルと同じ場所にある罠が仕掛けられたファイルをダウンロードし開くと、攻撃者はこの欠陥を悪用してユーザの特権でユーザのコンピュータでコードを実行することができるようになる。また、ユーザにローカル管理者の特権がある場合、攻撃者はユーザのコンピュータを完全に操作できるようになる。

マイクロソフトの評価：重要

• MS11-077:
  カーネルモード・ドライバのコード実行問題

カーネルは、あらゆるコンピュータにおいてオペレーティングシステムのコア構成要素になる機能だ。ウィンドウズには、様々なカーネル・レベルのデバイスを処理するカーネルモード・デバイス・ドライバ(win32k.sys)も搭載されているが、カーネルモード・ドライバは4つのセキュリティ脆弱性の影響を受けている。もっとも悪質なのは、細工したフォント・ファイル(.fon)を処理する方法に関与するコード実行問題があり、細工したフォント・ファイルをユーザが開くように誘導すると、攻撃者はこの欠陥を悪用して、そのユーザのコンピュータを（ユーザの特権に関係なく）完全に操作できるようになる。

マイクロソフトの評価：重要

• MS11-080:
  Ancillary Function ドライバの特権昇格問題

マイクロソフトによると、Ancillary Functionドライバ (AFD)とは、ウィンドウズのコンポーネントでWindows socketsアプリケーションをサポートするものであるという。ところが、AFDは入力に対する確認が不適切なことから、特権昇格(EoP)問題の影響を受けており、細工したプログラムを実行すると、ローカル攻撃者は欠陥を悪用して、ユーザのウィンドウズ・コンピュータを完全に操作できるようになる。しかし、攻撃者が悪質なプログラムを実行できるようにするには、まず有効なクレデンシャルを使ったユーザのウィンドウズのローカルアクセス権が必要となる。この点は、この欠陥によるリスクを大幅に緩和させている。ちなみに、この欠陥の影響を受けているのはXPとServer 2003 のみである。

マイクロソフトの評価：重要
解決方法： マイクロソフトは、こうした問題をすべて修正できるウィンドウズ対象の更新プログラムをリリースしているので、状況に適したプログラムを至急ダウンロードしテストしてからネットワーク全体に取り入れることをすすめる。また、ウィンドウズの自動アップデート機能に任せて必要な更新プログラムをインストールする方法もある。
MS11-078: .NET Frameworkのアップデートは複雑でありバージョンに依存するため、マイクロソフトのセキュリティアドバイザリにあるパッチ詳細で、影響を受けているソフトウェア一覧を確認することをすすめる（もしくは、ウィンドウズの自動アップデート機能に任せること）。

• MS11-078 影響を受けているソフトウェア一覧
  
  注意：日本語版をダウンロードするには「Change Language:」と表記されたドロップダウンから「Japanese」を選択しよう。

MS11-075:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Vista (SP2)
• Windows Vista x64 (w/SP2)
• Windows Server 2008 (w/SP2)
• Windows Server 2008 x64 (w/SP2)
• Windows Server 2008 Itanium (w/SP2)
• Windows 7 (w/SP1)
• Windows 7 x64 (w/SP1)
• Windows Server 2008 R2 x64 (w/SP1)
• Windows Server 2008 R2 Itanium (w/SP1)

MS11-076:

• Windows Vista (SP2)
• Windows Vista x64 (w/SP2)
• Windows 7 (w/SP1)
• Windows 7 x64 (w/SP1)
• Windows Media Center TV Pack for Vista
• Windows Media Center TV Pack for Vista x64

MS11-077:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Vista (w/SP2)
• Windows Vista x64 (w/SP2)
• Windows Server 2008 (w/SP2)
• Windows Server 2008 x64 (w/SP2)
• Windows Server 2008 Itanium (w/SP2)
• Windows 7 (w/SP1)
• Windows 7 x64 (w/SP1)
• Windows Server 2008 R2 x64 (w/SP1)
• Windows Server 2008 R2 Itanium (w/SP1)

MS11-080:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)

解決策：ウォッチガードユーザ専用
攻撃者達は様々な悪用方法を使って、こうした欠陥を悪用する。適切に設定してあるファイアウォールは、こうした問題のいくつかのリスクを緩和させることができる。とはいっても、Fireboxでローカル攻撃を阻止することはできず、また、通常のHTTPトラフィックを利用する攻撃を阻止することはできないので、マイクロソフトが用意したセキュリティ更新プログラムをインストールすることがもっとも安全な対策といえるだろう。
ステータス：
マイクロソフトは脆弱性を修正するセキュリティ更新プログラムをリリースしている。
参考資料：
マイクロソフトのセキュリティアドバイザリ一覧



この記事はコーリー・ナクライナーCISSPにより、調査され書かれたものです。

続きを読む»

アドビのReaderとAcrobatの更新プログラム:
13件のセキュリティ欠陥を修正

2011年9月14日

概要：

• 対象：
  ウィンドウズ、Macで使用している ReaderとAcrobat X 10.1、UNIXのReader 9.4.2
  
• 悪用方法：
  悪質に作成されたPDFドキュメントをユーザに閲覧させる方法が一般的
  
• 影響：
  最悪の場合、攻撃者がユーザのコンピュータでコードを実行し、ユーザのコンピュータを完全に操作できるようになる
  
• 対策：
  状況に適したアドビのReaderやAcrobat X10.1.1のセキュリティ更新プログラムを至急インストールするか、アドビのアップデート機能に任せて 必要なプログラムをインストールすること

詳細：
アドビのパッチデーは年に４回ある（マイクロソフトのパッチデーとリリース日が重なっている）。 今回の セキュリティアドバイザリでは、WindowsやMacで使用しているAdobe ReaderとAcrobat X 10.1およびそれ以前のバージョンに影響している
13件のセキュリティ脆弱性について説明している （情報源：CVE-ID）。また、UNIX対象のReader 9.4.2も、この影響を受けているという。欠陥の技術面は異なるが、主に バッファオーバーフローや メモリ破損の脆弱性から成り、その作用範囲と影響力はほぼ同じである。 最悪の場合は、細工されたPDFドキュメント（.PDF）をユーザがダウンロードして開くように攻撃者が誘導し、それに成功すると様々な脆弱性を悪用して ユーザの特権で、そのコンピュータにてコードを実行できるようになる。また、ユーザにローカル管理者の特権があった場合、 攻撃者はユーザのコンピュータを完全に操作できるようにもなる。

Readerは、ブラウザでPDFドキュメントを閲覧する際に役立つ機能をインストールするので、悪質なPDFを埋め込んだウェブサイトに行くだけで、 この種の攻撃を誘発することになってしまう。 最近の攻撃者は、メールやウェブベースのマルウェアを利用した方法でReaderの脆弱性を活用しているため、 できる限り早急にReaderの更新プログラムを取り入れることを強くすすめる。

解決方法：
アドビは、こうした脆弱性を修正できるReaderとAcrobat X 10.1.1をリリースしている。状況に適した更新プログラムを至急ダウンロードしてインストールするか、アドビのソフトウェア アップデート機能に任せることをすすめる。UNIXユーザの更新プログラム、Reader 9.4.6は2011年11月7日にリリースされる予定だ。

• Adobe Reader X 10.1.1
• Windows
• Mac
• Adobe Acrobat X
• Standard and Pro for Windows
• Pro Extended for Windows
• 3D for Windows
• Pro for Mac

解決策：
ウォッチガードユーザ専用 大方のウォッチガードFireboxシリーズ製品はPDFファイルを遮断することができる。しかし管理者はこの種のファイルを仕事上の目的で許可しておく傾向があるのが一般的だ。とはいえ、仕事をする上でどうしてもPDFファイルが必要でなければ、更新プログラムをインストールするまではFireboxのプロキシを使ってPDFファイルをネットワークから遮断することもできる。 プロキシ機能を使ってPDFドキュメントを阻止したい場合は、下記のビデオ手順を参考にすることをすすめる。

• XTM アプライアンス + WSM 11.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Edge + 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Core & X Peak + Fireware 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？

ステータス：
アドビは、こうした脆弱性を修正できるセキュリティ更新プログラムをリリースしている。

参考資料：

• アドビ（日本版）のセキュリティ・アップデート（抄訳）
• アドビ（英文）のセキュリティ・アップデート

続きを読む»

Windows更新プログラム：
WINS で発見された問題と動作が不安定なDLLローディングの脆弱性を修正

危険度：中
2011年9月13日

概要：

• 対象：
  現バージョンのウィンドウズと搭載されているコンポーネント
  
• 悪用方法：
  細工したWINS メッセージの送信、悪質なファイルをユーザが開くように誘導するなど、攻撃手段は多々ある
  
• 影響：
  結果は様々だが、最悪の場合は攻撃者がユーザのウィンドウズを完全に操作できるようになる
  
• 対策：
  状況に適したマイクロソフトのセキュリティ更新プログラムを至急インストールするか、ウィンドウズの自動アップデート機能に任せること

詳細：
米国時間の9月13日、マイクロソフトはウィンドウズとその搭載コンポーネントに影響を与えている複数の脆弱性について、2件のセキュリティアドバイザリを リリースした。各脆弱性の対象となるウィンドウズ・バージョンとその影響は異なるが、リモート攻撃者は、その中でも悪質な欠陥を利用してユーザの ウィンドウズPCを完全にコントロールできるようになる。

危険性の高い問題から順番にまとめた概要は以下の通り（情報源：マイクロソフト）。

• MS11-070:
  WINS 特権昇格の脆弱性

ウィンドウズ・インターネット・ネームサービス(WINS) は、基本的にマイクロソフト版 NetBIOSネームサービス(NBNS) だといえる。つまり、人間が読みやすい名称をコンピュータで指定できるようにするサービスだ （ローカルネットワーク・コンピュータにおけるDNSのようなもの）。 しかし、マイクロソフトによるとWINSサービスは細工されたWINSメッセージを適切に処理できず、 ループバック・インターフェイスにて特権昇格の欠陥の影響を受けているという。 攻撃者は細工済みのWINSパケットを送信することで欠陥を利用し、ユーザのWINSサーバがSYSTEM特権で強制的にコードを実行できるため、 攻撃者がサーバを完全に操作できるようになる。

しかし、この欠陥の規模を大幅に縮小させる特定要因がある：

1. 攻撃者がこの欠陥を悪用するには有効なウィンドウズ・クレデンシャルが必要。
2. ループバック インターフェースに関係しているため、この攻撃はローカルでのみ実行可能（ネットワーク上では不可能）。

マイクロソフトの評価：重要

• MS11-071:
  （再度）動作が不安定なDLLローディングの脆弱性

去年、マイクロソフトは多々ある自社製品に影響を及ぼしていた複数の 「動作が不安定なダイナミック リンク ライブラリ（DLL) ローディング」の脆弱性に取り組んでいた。この種の欠陥は、バイナリ・プランティグ欠陥とも呼ばれることがある。 これについては、 マイクロソフトのセキュリティアドバイザリについて説明した 9月のWireで取り上げたが、極めて簡潔に言うと、この種類の欠陥は攻撃者が細工済みのDLLファイルと同じ場所にある悪質なファイルをユーザに開かせること に関与している。悪質なファイルをユーザが開いてしまうと、攻撃者は有害なDLLファイルでユーザの特権を使いコードを実行できるようになる。 また、ユーザにローカル管理者の特権がある場合、攻撃者はこの種の問題を悪用してユーザのコンピュータを完全に操作できるようになる。 今回ターゲットとなっているファイル形式は.rtf / .txt /.docで、ユーザがそうしたファイルを開くと攻撃者が新たな問題を誘発できるようになっている。このセキュリティアドバイザリでは、 また新たに報告された不安定なDLLローディング問題を修正している。

マイクロソフトの評価：重要
解決方法：
マイクロソフトは、こうした問題をすべて修正できるウィンドウズ対象の更新プログラムをリリースしているので、状況に適したプログラムを至急ダウンロードし、 テストしてからネットワーク全体に取り入れることをすすめる。 また、ウィンドウズの自動アップデート機能に任せて必要な更新プログラムをインストールする方法もある。

注意：日本語版をダウンロードするには「Change Language:」と表記されたドロップダウンから「Japanese」を選択すること。

• MS11-070: Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Server 2008 (w/SP2)
• Windows Server 2008 x64 (w/SP2)
• Windows Server 2008 Itanium (w/SP2)

MS11-071:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Vista (SP2)
• Windows Vista x64 (SP2)
• Windows Server 2008 (w/SP2)
• Windows Server 2008 x64 (w/SP2)
• Windows Server 2008 Itanium (w/SP2)
• Windows 7
• Windows 7 x64
• Windows Server 2008 R2 x64
• Windows Server 2008 R2 Itanium

解決策：ウォッチガードユーザ専用
攻撃者達は様々な悪用方法を使って欠陥を悪用する。Fireboxでローカル攻撃を阻止することはできないので、マイクロソフトが用意したセキュリティ更新プログラムをインストールすることがもっとも安全な対策だろう。
ステータス：
マイクロソフトは、こうした脆弱性を修正できるセキュリティ更新プログラムをリリースしている。
参考資料：

• マイクロソフトのセキュリティアドバイザリ一覧
  

この記事はコーリー・ナクライナーCISSPにより、調査され書かれたものです。

続きを読む»

Officeドキュメントの解釈問題
危険度：高
2011年9月13日

概要：

• 対象：
  現バージョンのマイクロソフトOfficeと搭載されているコンポーネント
  （Office SharePointとGroove サーバや製品にも影響）
  
• 悪用方法：
  悪質なOfficeドキュメントをユーザが開くように誘導する方法が一般的
  
• 影響：
  最悪の場合は攻撃者がユーザのコンピュータでコードを実行し、そのコンピュータを完全に操作できるようになる
  
• 対策：
  マイクロソフトOfficeのセキュリティ更新プログラムを至急インストールするか、 マイクロソフトの自動アップデート機能に任せて必要なプログラムをインストールすること

詳細：
パッチデーの今日、マイクロソフトはOfficeとそれに搭載されているコンポーネントで発見された欠陥についてセキュリティアドバイザリを3件リリースした。 アドバイザリでは、Office SharePointとGrooveサーバーや製品に関係する脆弱性についても取り上げている。 そのうち2件は、ウィンドウズ版とMac版のOfficeとExcelで発見された脆弱性に関係がある7つのドキュメントについて説明している。 それら脆弱性は技術面では異なるが、その作用範囲と影響力は同じだ。攻撃者は、悪質に細工したOfficeドキュメントをユーザがダウンロードして開くように誘導、 それに成功すると、様々な脆弱性を悪用してユーザの特権を使い、そのユーザのコンピュータでコードを実行できるようになる。 また、ユーザにローカル管理者の特権があった場合、攻撃者はユーザのコンピュータを完全に操作できるようにもなる。 マイクロソフトのセキュリティアドバイザリによると、攻撃者はExcel、Word、PowerPointファイルなど、様々な種類のOfficeドキュメントを利用して 欠陥を悪用するという。また、中には去年マイクロソフトが取り組んでいた動作が不安定なDLLローディングの脆弱性の 影響を受けているものもある。しかし、その場合、攻撃者は悪質なDLLファイルの保存先と同じ場所にあるドキュメントをユーザが開くように誘導しなければ ならないため、攻撃によるリスクは多少軽くなる。 各ドキュメントとその欠陥について知りたければ、下記セキュリティアドバイザリの「脆弱性の詳細」を参考にすることをすすめる：

• MS11-072:　Excelのコード実行問題（5）：　重要
• MS11-073:　 Officeのコード実行問題（2）：　重要

マイクロソフトは、SharePointとGrooveやForms製品に影響を及ぼしている6つの脆弱性の詳細についても、 セキュリティアドバイザリをリリースしている。これら6つの欠陥は、 主に攻撃者の特権昇格を許してしまうクロスサイト スクリプティング（XSS)の脆弱性だ。具体的に言うと、攻撃者は欠陥を利用してスクリプトを実行したり、コマンドを開始したり、 被害者である認証済みのSharePointユーザとしてコンピュータを操作したりする可能性がある。もちろん、このタイプの攻撃を成功させるにおいて、 攻撃者は細工したリンクやURLを被害者がクリックするように仕向けなければならない。
解決方法：
マイクロソフトは、こうした脆弱性を修正するOffice、SharePoint、Groove製品を対象とした更新プログラムをリリースしているので、 状況に適したプログラムを至急ダウンロードし、テストしてからネットワーク全体に取り入れることをすすめる。また、マイクロソフトの自動アップデート 機能に任せて必要なプログラムをダウンロードする方法もある。しかし作業を簡単にするため、可能であればWindowsの自動アップデート機能に任せ、 必要な更新プログラムを自動選択することを強くすすめる。
MS11-072: Mac対象の更新プログラム：

• Office 2003 w/SP3
• Office 2007 w/SP2
• KB2553073
• KB2553089
• KB2553090
• Office 2010 32-bit
• KB2553070
• KB2553091
• KB2553096
• Office 2010 64-bit
• KB2553070
• KB2553091
• KB2553096
• Office 2004 for Mac
• Office 2008 for Mac
• Office for Mac 2011
• Open XML File Format Converter for Mac
• Excel Viewer
• Office Compatibility Pack for Word, Excel, and PowerPoint 2007 File Formats
• Excel Services for SharePoint Server 2007
• 32-bit
• 64-bit
• Excel Services for SharePoint Server 2010
• Office Web Apps 2010

MS11-073:

• Office 2003 w/SP3
• Office 2007 w/SP2
• Office 2010 w/SP1 (32-bit)
• Office 2010 w/SP1 (64-bit)

MS11-074:
アップデートには複雑な箇所があるので、マイクロソフトのSharePointとGrooveのセキュリティアドバイザリにある「影響を受けているソフトウェア」 を参考にし、自分が必要な更新プログラムを探すことを強くすすめる。可能であれば、マイクロソフトの自動アップデート機能に任せて適切な更新プログラム を取りれることをすすめる。

解決策：ウォッチガードユーザ専用
ウォッチガードのFirebox製品シリーズには、マイクロソフトOfficeのドキュメントをネットワークから遮断するように設定できるものもある。しかし、 仕事上その種のファイルを許可しておくのが一般的であるため、更新プログラムをインストールすることがベストな対策といえるだろう。 それでもOfficeドキュメントをネットワークから遮断したいという場合は、HTTP、SMTP、および（または）POP3プロキシを使い、 拡張子別にファイルを阻止することができる（.xls / .doc / .pptなど）。しかし、そうすると問題のないファイルも受信できないようになる点に注意しよう。 プロキシ機能を使ってOfficeドキュメントをネットワークから遮断するならば、下記のビデオ手順を参考にすることをすすめる。

• XTM アプライアンス + WSM 11.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Edge + 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Core & X Peak + Fireware 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？

ステータス：
マイクロソフトはこうした脆弱性を修正できるOffice対象のセキュリティ更新プログラムをリリースしている。

参考資料：

• マイクロソフトのセキュリティアドバイザリ（一覧）

この記事はコーリー・ナクライナーCISSPにより、調査され書かれたものです。

続きを読む»

IE9のドライブバイ・ダウンロードによる感染を防ぐ
累積的なセキュリティ更新プログラム

2011年８月10日　
コーリー・ナクライナー
危険度：高
2011年8月9日

概要：

• 対象：
  IE9を含むInternet Explorerすべてのバージョン
  
• 悪用方法：
  有害なウェブページにユーザを誘導する方法が一般的
  
• 影響：
  これにより及ぶ影響は多々あるが、最悪の場合はユーザのコンピュータで攻撃者がコードを実行し、そのコンピュータを攻撃者が完全に操作できるようになる
  
• 対策：
  状況に適したInternet Explorerのセキュリティ更新プログラムを至急ダウンロードするか、ウィンドウズの自動アップデート機能に任せて必要な更新プログラムをダウンロードすること

詳細：
月例でセキュリティ更新プログラム（パッチ）を公開しているマイクロソフトは、米国時間の8月9日にセキュリティアドバイザリを リリースした。このアドバイザリは、現バージョンのウィンドウズ（Windows 7 / Windows Server 2008も含む）で使用しているInternet Explorer (IE) 9.0と、それ以前のバージョンで発見された新たな脆弱性７件について説明しており、マイクロソフトは、その危険性を重大と評価している。

報告された脆弱性はどれも技術面では異なるが、中でも悪質な問題３件の主な作用域と影響力は同じだ。IEが様々なHTMLオブジェクトやURLの処理法に関与するリモートコード実行の欠陥に関与しているため、攻撃者がユーザを有害なウェブコードを含むウェブページにユーザを誘導すると、攻撃者はいずれかの脆弱性を悪用し、ユーザの特権を自分のものにした状態で、そのユーザのコンピュータでコードを実行できるようになる。大方、ウィンドウズ・ユーザはローカル管理者の特権を持っているものだが、その場合は攻撃者が欠陥を悪用して被害者のコンピュータを完全に操作できるようになる。 その他の脆弱性は、主に情報開示の欠陥によるものである。 また、最近の攻撃者達は正当なウェブページをハイジャックし、それに有害なコードを罠として仕掛ける攻撃手段を使っているので注意が必要だ。一般的に、攻撃者はウェブ広告やSQLインジェクション、XSS攻撃を利用してそれを行う。言い換えれば、ユーザがそうした方法でサイトをハイジャックしてしまえば、良く知られたサイトや信頼の置けるサイトさえも危険を伴うことになる。

欠陥の技術詳細を知りたい場合は、マイクロソフトのセキュリティアドバイザリにある脆弱性の情報欄を参照にすることをすすめる。しかし、その技術面を別にしても、IEのリモートコード実行問題によるリスクは深刻なものであり、攻撃者がドライブバイ・ダウンロード攻撃を仕掛けられるようにするものなので、IEの累積的なセキュリティ更新プログラムを至急ダウンロードし、インストールすることをすすめる。

解決策：
この累積的セキュリティ更新プログラムは深刻な問題を修正しているので、状況に適した更新プログラムを至急ダウンロードしテストしてから取り入れるか、ウィンドウズの自動アップデート機能に任せること。

注意：日本語版をダウンロードするには「Change Language:」と表記されたドロップダウンから「Japanese」を選択しよう。

• Internet Explorer 6.0
• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2003 Itanium (w/SP2)
• Internet Explorer 7.0
• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2003 Itanium (w/SP2)
• For Windows Vista (w/SP1 or SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 (w/SP2) *
• For Windows Server 2008 x64 (w/SP2) *
• For Windows Server 2008 Itanium (w/SP2)
• Internet Explorer 8.0
• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Vista (w/SP1 or SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 (w/SP2) *
• For Windows Server 2008 x64 (w/SP2) *
• For Windows 7 (w/SP1)
• For Windows 7 x64 (w/SP1)
• For Windows Server 2008 (w/SP1)
• For Windows Server 2008 x64 (w/SP1)
• Internet Explorer 9.0
• For Windows Vista (w/SP1 or SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 (w/SP2) *
• For Windows Server 2008 x64 (w/SP2) *
• For Windows 7 (w/SP1)
• For Windows 7 x64 (w/SP1)
• For Windows Server 2008 x64 (w/SP1) *

※：Server Core インストールオプションを使ってインストールしたWindows Server 2008 administratorsにおいては、この欠陥の影響を受けていない。

解決策：ウォッチガードユーザ専用
通常、このタイプの攻撃は普通のHTTPトラフィックに見せかけた状態でやってくるが、ネットワーク上のユーザがワールドワイドウェブ（www）にアクセスできるようにするには、HTTPトラフィックを許可しなければならないため、セキュリティ更新プログラムを取り入れることが主な対策となる。

ステータス：
マイクロソフトは脆弱性を修正する累積的なセキュリティ更新プログラムをリリースしている。

参考資料：
マイクロソフトのセキュリティアドバイザリ MS11-057

この記事はコーリー・ナクライナーCISSPにより、調査され書かれたものです。

続きを読む»

Visioドキュメントの解析問題2つ

2011年８月10日　
コーリー・ナクライナー
危険度：中
2011年8月10日

概要：

• 対象：
  現バージョンのマイクロソフトVisio
  
• 悪用方法：
  悪質に細工済みのVisioドキュメントをユーザが開くように誘導
  
• 影響：
  攻撃者がコードを実行、ユーザのコンピュータを完全に操作できるようになる
  
• 対策：
  状況に適したVisio更新プログラムをできる限り早急に取り入れるか、ウィンドウズの自動アップデート機能に任せること
  

詳細：
マイクロソフトのVisioは、設計図やダイアグラムなどの作図に使う人気のソフトウェアだ。ネットワーク・ダイアグラムの作成にこれを使う管理者は多く、Office パッケージのいくつかに搭載されている。

しかし、マイクロソフトは昨日リリースした セキュリティアドバイザリで、現バージョンのVisio に影響している２つのセキュリティ脆弱性について説明した。脆弱性の技術面は異なるが、その作用域と影響力は同じで、どちらもVisioがVisioドキュメントを解析する方法に関係する欠陥に関与している。攻撃者は細工済みのVisioファイル（.vsd /.vdx/.vst/.vtxなど）をユーザが開くように誘導し、欠陥を悪用してユーザの特権を自分のものにし、そのユーザのコンピュータでコードを実行する。また、ユーザが管理者特権を持っている場合、攻撃者はそのコンピュータを完全に操作できるようになる。

解決策：
マイクロソフトはこの欠陥を修正する更新プログラムをリリースしているので、状況に適した更新プログラムをできるだけ早急にダウンロードし、テストしてから適用すること。また、ウィンドウズのアップデート機能に任せて必要な更新プログラムをダウンロードすることもできる。

注意：日本語版をダウンロードするには「Change Language:」と表記されたドロップダウンから「Japanese」を選択しよう。

• Visio 2003
  
• Visio 2007
  
• Visio 2010
  
• Visio 2010 x64
  

解決策：ウォッチガードユーザ専用
仕事場の環境が許すならば、HTTP/SMTP/POP3プロキシなどを使い拡張子別（.vsd /.vdx/.vst/.vtxなど）にVisioドキュメントを阻止することができる。但し、そうすることで有害なファイルだけでなく、問題のない正当なファイルまでも受信できなくなるので注意が必要だ。

プロキシ機能を使ってVisioドキュメントを阻止したい場合は、下記のビデオの手順を参考にすることをすすめる。

• XTM アプライアンス + WSM 11.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Edge + 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Core & X Peak + Fireware 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？

ステータス：
マイクロソフトは問題を修正するセキュリティ更新プログラムを提供している。

参考資料：
マイクロソフトのセキュリティアドバイザリ MS11-060
この記事はコーリー・ナクライナーCISSPにより、調査され書かれたものです。

続きを読む»

アドビの更新プログラム：
Flash / Shockwave / Photoshop

2011年８月10日　
コーリー・ナクライナー
危険度：高

概要：

• 対象：
  アドビのShockwave Player / Flash Player / Flash Media Server / Photoshop
  
• 悪用方法：
  有害なファイルをユーザが開くように誘導したり、細工したウェブサイトにユーザを仕向けるなど、攻撃手段は多々ある
  
• 影響：
  結果は様々だが、最悪の場合は攻撃者がユーザのコンピュータを完全に操作することができる
  
• 対策：
  状況に適したアドビのセキュリティ更新プログラムを至急インストールするか、アドビのアップデート機能に任せて必要なプログラムをインストールすること

詳細：
昨日、アドビは人気のソフトウェア・パッケージに含まれているプログラムで発見された様々なセキュリティ脆弱性について、セキュリティアドバイザリを5件リリースした （Shockwave Player/ Flash Player / Flash Media Server / Photoshop / Robohelpなど）。リモート攻撃者は、その中でも悪質な欠陥を利用してユーザのコンピュータを 完全に操作できるようになる。

今回報告された脆弱性の中でも目立った問題点の概要：
アドビ（日本版）のセキュリティ・アップデート（抄訳）
アドビ（英文）のセキュリティ・アップデート

APSB11-19:
Shockwave Player のセキュリティ脆弱性（7件）
Adobe Shockwave Playerは、Shockwaveと呼ばれるインタラクティブな動画のウェブコンテンツやムービーを再生するもので、アドビ曰く世界中で4億5000万台のコンピューターでインストールされているという。

アドビのセキュリティアドバイザリは、Shockwave Player 11.6.0.626とそれ以前のバージョン（ウィンドウズとMac対象）に影響を及ぼしているセキュリティ脆弱性７件について警告した。しかし、アドビのアドバイザリは技術詳細について述べておらず、各欠陥の性質と主な影響力についてのみ説明している。欠陥は未特定のメモリ破損問題から成り立っているものが大方で、どれも技術面では異なるが、その作用域と影響力はほぼ同様だ。攻撃者は何らかの有害なShockwaveコンテンツを含むウェブサイトにユーザを誘導、様々な脆弱性を悪用してユーザの特権を獲得し、そのユーザのコンピュータでコードを実行できるようになる。また、ウィンドウズのユーザがローカル管理者の特権を持っていた場合、攻撃者は欠陥を悪用してユーザのPCを完全に操作することが可能になる。

アドビによる評価：緊急

APSB11-20:
Flash Media Server DoS 脆弱性
Flash PlayerはFlashと呼ばれるインタラクティブな動画ウェブコンテンツを表示させるもので、Flash Media Server は管理者がFlashコンテンツをストリームできるようにする機能だ。

しかし、Flash Media Server 4.0.2とそれ以前のバージョンは未特定のサービス拒否（DoS）脆弱性の影響を受けている。ただ、アドビはそれに関する詳細情報も、攻撃者がそれをどう悪用する可能性があるのかについても公開していない。唯一、アドビが公開している情報は、攻撃者が何らかの方法で欠陥を悪用し、ユーザのメディアサーバに対してDoS攻撃を仕掛けるという点だけである。

アドビによる評価：緊急

APSB11-21:
Flash Player のアップデート、13件のセキュリティ欠陥を修正
Flash PlayerはFlashと呼ばれるインタラクティブな動画ウェブコンテンツを表示させることができる。Secuniaによる最近の報告では、99％のウィンドウズコンピュータがAdobe Flash Playerをインストールしていると報告している。だとすると、おそらく君のユーザもFlash Playerを使っていることだろう。

アドビのアップデートは、Flash Player（Windows / Mac / Linux / Solaris 対象）で発見された13のセキュリティ脆弱性を修正しているが、その主な作用域と影響力以外の詳細については説明していない。最悪の場合、攻撃者は有害なウェブサイトにユーザを誘導し、欠陥を悪用してユーザのコンピュータを操作できるようになる。ただ、その場合に攻撃者が獲得できる特権は、その時点でログインしているユーザの特権だけだろうと我々は見ている。とはいっても、大方のウィンドウズユーザはローカル管理者の特権を持っているため、攻撃者はおそらくウィンドウズコンピュータを完全に操作できるようになるだろう。

アドビによる評価：緊急

APSB11-22:
Photoshop GIF 処理の脆弱性
Photoshopはイメージ編集を可能にするアドビの人気プログラムだが、Photoshop CS5は特別に作成されたGIFイメージを適切に処理できない点に関与する未特定問題の影響を受けている。攻撃者は、まず有害なGIFイメージをユーザがダウンロードし、それをPhotoshopで開くように 仕向ける。そして、欠陥を悪用してユーザの特権を獲得し、そのユーザのコンピュータでコードを実行する。また、ユーザがローカル管理者の特権を持っている場合、攻撃者はそのコンピュータを完全に操作できるようにもなる。

アドビによる評価：緊急

APSB11-23:
RoboHelp XSS 欠陥
ヘルプシステムの作成に使うソフトウェア、RoboHelp 9は未特定のクロスサイト・スクリプティング（XSS)脆弱性の影響を受けている。攻撃者は細工したリンクをユーザがクリックするように仕向け、Robohelpコンポーネントの状況下にてユーザのコンピュータでスクリプトを実行することができる。

アドビによる評価：重要
解決策： アドビは影響を受けているソフトウェアすべてに対してセキュリティ更新プログラムを用意している。下記のリストにあるソフトウェアを使用している場合は、状況に適した更新プログラムをできる限り早急にダウンロードし、取り入れることをすすめる。また、アドビの自動アップデート機能に任せて必要なプログラムをインストールすることもできる。

• APSB11-19: Shockwave 11.6.1.629にアップグレード
  
• APSB11-20: Flash Media Server 4.0.3 または 3.5.7にアップグレード
  
• APSB11-21: Flash Player 10.3.183.5にアップグレード
  
• APSB11-22:
  　　　　　　　Photoshop CS5 for Windows
  　　　　　　　Photoshop CS5 for Windows x64
  　　　　　　　Photoshop CS5 for Mac
  
• APSB11-23: RoboHelp 8 and 9にアップグレード
• RoboHelp 8
• RoboHelp 9

解決策：
ウォッチガードユーザ専用 攻撃者達は、様々な悪用方法を使ってこうした欠陥を悪用する。適切に設定されたファイアウォールであれば問題のリスクを緩和させることができるが、Fireboxでローカル攻撃を阻止したり、通常のHTTPトラフィックを利用した攻撃を阻止したりすることはできないため、アドビが用意したセキュリティ更新プログラムをインストールすることがもっとも安全な対策といえるだろう。

ステータス：
アドビは問題を修正するセキュリティ更新プログラムをリリースしている。

参考資料：
アドビ（日本版）のセキュリティ・アップデート（抄訳）
アドビ（英文）のセキュリティ・アップデート


この記事はコーリー・ナクライナーCISSPにより、調査され書かれたものです。

続きを読む»

ウィンドウズのセキュリティアドバイザリ６件（危険度：中〜重要）
2011年８月10日　
コーリー・ナクライナー

対象：TCP/IP Stack、データアクセス・コンポーネント、カーネル、その他
危険度：中

概要：

• 対象：
  現バージョンのウィンドウズと搭載されているコンポーネント
  
• 悪用方法：
  細工したネットワーク・パケットの送信、悪質なファイルをユーザが開くように誘導、有害なアプリケーションをローカルで実行するなど、攻撃手段は多々ある
  
• 影響：
  結果は様々だが、最悪の場合は攻撃者がユーザのウィンドウズを完全に操作できるようになる
  
• 対策：
  状況に適したマイクロソフトのセキュリティ更新プログラムを至急インストールするか、ウィンドウズの自動アップデート機能に任せること

詳細：
昨日、マイクロソフトはウィンドウズと搭載されているコンポーネントで発見された7つの脆弱性について、6件のセキュリティアドバイザリをリリースした。 各脆弱性の対象となるウィンドウズ・バージョンは異なるが、リモート攻撃者はその中でも悪質な欠陥を利用し、ユーザのウィンドウズPCを完全にコントロール できるように なる。

危険性の高い問題から順番にまとめた概要は以下の通り：
MS11-059:
Data Access Components のコード実行問題
マイクロソフトによると、Windows Data Access Components (Windows DAC)は、エンタープライズに渡る情報へのアクセスを提供する機能だという。しかし残念ながら、Windows DACは外部ライブラリに制限なしのアクセスを許可している。攻撃者は有害なDLLと同じ場所にある細工済みのエクセル・ファイルをユーザが開くように 誘導することで欠陥を悪用し、ユーザの特権を使って、そのユーザのシステムでコードを実行できるようになる。ユーザにローカル管理者の特権がある場合は、 攻撃者はそのマシーンを完全にコントロールできるようになる。
この欠陥の影響を受けているのはWindows 7およびそれ以降のものに限る。

マイクロソフトの評価：重要

MS11-061:
リモート・デスクトップのウェブ・アクセスXSS脆弱性
ウィンドウズ・リモート・デスクトップ（RD）は、自分のウィンドウズ・デスクトップのネットワークに、どこからでもアクセスできるようにする機能だ。 ウェブ・アクセスのコンポーネントは、ウェブ・ブラウザを介してこの機能を提供するようになっているのだが、残念ながら、 RDウェブ・アクセスのコンポーネントはクロスサイト・スクリプティング （XSS） 脆弱性の影響を受けていることが分った。攻撃者は、細工済みのリンクをユーザがクリックするように仕向け、RDウェブ・アクセス・コンポーネントの状況にて、 ユーザのコンピュータでスクリプトを実行できるようになる。また、場合によっては攻撃者がユーザのリモート・デスクトップにもアクセスできるようになる可能性がある。
この欠陥の影響を受けているのは、Windows Server 2008 R2 x64だけである。

マイクロソフトの評価：重要

MS11-062:
RAS NDISTAPI ドライバー特権昇格の脆弱性
リモート・アクセス・サービス（RAS）は電話回線を通じてネットワークにアクセスできるようにするコンポーネント、 そして、NDISTAPIドライバーはその機能提供にかかわるRASコンポーネントのひとつである。しかし、NDISTAPIドライバーはウィンドウズのカーネルに送るユーザの インプットを適切に認証していないため、攻撃者は細工したアプリケーションを実行して欠陥を利用すると、特権昇格を行うことができるようになる。そうなると、 攻撃者はユーザのウィンドウズを完全にコントロールすることも可能になる。しかし、攻撃者が細工したプログラムを実行するには、ユーザのウィンドウズにて有効な クレデンシャルでのローカル・アクセス権が必要なるため、この欠陥のリスクは大幅に緩和される。
この欠陥の影響を受けているのはXPとServer 2003のみである。

マイクロソフトの評価：重要

MS11-063:
CSRSS 特権昇格の脆弱性
クライアント／サーバ・ランタイム・サブシステム(CSRSS)は、コンソール・ウィンドウズと スレッドの作成と削除の役割を担う必要不可欠なウィンドウズ・コンポーネントだが、特権昇格(EoP)脆弱性の影響を受けていることが分った。 上記のNDISTAPIドライバー欠陥と同様に、攻撃者が細工したプログラムを実行すると、認証を受けた攻撃者は欠陥を利用してユーザのウィンドウズ・ コンピュータでSYSTEM-レベルの完全な操作権利を獲得できる。とはいっても、先述の問題と同じく、攻撃者はまずユーザのウィンドウズで有効なクレデンシャルを使った ローカル・アクセス権を必要とするため、この欠陥のリスクは幾分緩和される。

マイクロソフトの評価：重要

MS11-064:
TCP/IP スタックDoS 脆弱性
ウィンドウズのTCP/IPスタックは、IPベースのネットワーク接続をユーザのコンピュータに提供できる。しかし、これらは2つのサービス拒否(DoS)脆弱性の影響を受けている ことが分った。 そのうちの1つは非常に古いPing of Deathの脆弱性で、攻撃者は細工したICMPメッセージを送信してユーザのシステムが反応しなくなるようにしたり、再起動が必要になるようにさせたりする。 WatchGuardのXTMアプライアンス、そして大方のファイアウォールは、この昔ながらのDoS欠陥を使った外部からの悪用を阻止することができる。 また、2つめの欠陥は細工済みのURLをTCP/IPスタックが処理する方法に関係するもので、攻撃者はユーザのウィンドウズ・ウェブサーバに細工済みのURLを送信し、 欠陥を悪用してサーバを動かなくさせたり、再起動を必要にさせたりする。
影響を受けているのはWindows Vistaとそれ以降のものに限る。

マイクロソフトの評価：重要

MS11-068:
Windows カーネルのDoS 脆弱性
カーネルは、コンピュータのオペレーティング・システムに とって中心となるコンポーネントだ。しかし、ウィンドウズのカーネルはファイル内のメタデータの解析欠陥に関係するサービス拒否（DoS)脆弱性の影響を受けている。 攻撃者は細工したプログラムを実行することで欠陥を利用し、ユーザのウンィンドズ・コンピュータを完全に操作できるようになる。しかし、攻撃者はユーザのウィンド ウズ・コンピュータで有効なクレデンシャルを使ったローカル・アクセス権を必要とするため、この欠陥によるリスクは大幅に緩和される。
この欠陥の影響を受けているのはWindows Vistaとそれ以降のものに限る。

マイクロソフトの評価：中

解決策：
マイクロソフトは、脆弱性を修正するウィンドウズ用のセキュリティ更新プログラムをリリースしているので、状況に適したプログラムを至急ダウンロードしテストしてから取り入れることをすすめる。また、ウィンドウズの自動アップデート機能に任せて必要な更新プログラムをインストールする方法もある。

注意：日本語版をダウンロードするには「Change Language:」と表記されたドロップダウンから「Japanese」を選択しよう。
MS11-059:

• For Windows 7 (w/SP1)
• For Windows 7 x64 (w/SP1)
• For Windows Server 2008 R2 x64 (w/SP1)
• For Windows Server 2008 R2 Itanium (w/SP1)

MS11-061:

• For Windows Server 2008 R2 x64

MS11-062:

• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2003 Itanium (w/SP2)

MS11-063:

• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2003 Itanium (w/SP2)
• For Windows Vista (w/SP2)
• For Windows Vista x64 (w/SP2)
• For Windows Server 2008 (w/SP2)
• For Windows Server 2008 x64 (w/SP2)
• For Windows Server 2008 Itanium (w/SP2)
• For Windows 7 (w/SP1)
• For Windows 7 x64 (w/SP1)
• For Windows Server 2008 R2 x64 (w/SP1)
• For Windows Server 2008 R2 Itanium (w/SP1)

MS11-064:　

• For Windows Vista (w/SP2)
• For Windows Vista x64 (w/SP2)
• For Windows Server 2008 (w/SP2)
• For Windows Server 2008 x64 (w/SP2)
• For Windows Server 2008 Itanium (w/SP2)
• For Windows 7 (w/SP1)
• For Windows 7 x64 (w/SP1)
• For Windows Server 2008 R2 x64 (w/SP1)
• For Windows Server 2008 R2 Itanium (w/SP1)

MS11-068:

• For Windows Vista (w/SP2)
• For Windows Vista x64 (w/SP2)
• For Windows Server 2008 (w/SP2)
• For Windows Server 2008 x64 (w/SP2)
• For Windows Server 2008 Itanium (w/SP2)
• For Windows 7 (w/SP1)
• For Windows 7 x64 (w/SP1)
• For Windows Server 2008 R2 x64 (w/SP1)
• For Windows Server 2008 R2 Itanium (w/SP1)

解決策：ウォッチガードユーザ専用
攻撃者達は、様々な悪用方法を使ってこうした欠陥を悪用する。適切に設定されたファイアウォールであれば問題のリスクを緩和させることができるが、 Fireboxでローカル攻撃を阻止したり、通常のHTTPトラフィックを利用した攻撃を阻止したりすることはできないため、マイクロソフトが用意したセキュリティ更新プログラムをインストールすることがもっとも安全な対策といえるだろう。

ステータス：
マイクロソフトは脆弱性を修正するセキュリティ更新プログラムをリリースしている。


参考資料：
マイクロソフトのセキュリティアドバイザリ一覧
この記事はコーリー・ナクライナーCISSPにより、調査され書かれたものです。

続きを読む»

Visio 2003 不正ドキュメントがマルウェアをインストール？
コーリー・ナクライナー　
危険性：中
2011年７月12日　

概要：

• 対象：
  Visio 2003
  
• 悪用方法：
  故意に細工したVisio ドキュメントをユーザが開くように攻撃者が誘導する
  
• 影響：
  攻撃者がコードを実行、ユーザのコンピュータを完全に操作できるようになる
  
• 対策：
  Visio 2003 のパッチをできる限り早急に取り入れるか、Windows のアップデート機能に任せること

詳細：
マイクロソフトのVisio は、設計図やダイアグラムなどの作図に使う人気のソフトウェアだ。ネットワーク・ダイアグラムの作成にこれを使う管理者は多く、Office パッケージのいくつかに搭載されている。

米国時間の12日にリリースした セキュリティアドバイザリで、マイクロソフトはVisio 2003 にのみ影響しているセキュリティ脆弱性の説明を公開した。安全ではない DLL（ダイナミック・リンク・ライブラリ）には脆弱性をローディングしてしまう問題があり、Visio 2003 はその影響を受けているというのだ。ちなみに、これはバイナリ・プランティング欠陥とも呼ばれている。この種の欠陥についての解説は、 9月のWire でマイクロソフトの セキュリティアドバイザリについて説明したのが初めてだ。

特別に細工したDLLがある場所からVisio 関連のファイル（.vsd /.vdx/.vst/.vtxなど）を ユーザが開くように誘導すると、攻撃者は欠陥を悪用し、ユーザのシステム特権を自分のものにした状態でユーザのコンピュータで コードを実行できるようになる。つまり、攻撃者はそのユーザのコンピュータを完全に操作できるようになる。

解決策：
マイクロソフトは、この欠陥を修正するVisio 2003 のパッチをリリースしているので、できる限り早急にそれをダウンロード し導入するか、Windowsのアップデート機能に任せることをすすめる。

ウォッチガード・ユーザの解決策：
ビジネス環境が許すのであれば、HTTP やSMTP、POP3プロキシなどを使って、拡張子別に（.vsd /.vdx/.vst/.vtxなど）Visioドキュメントをネットワークから阻止することができる。しかし、その方法では悪質なファイルだけでなく、 問題のないファイルもブロックしてしまう。

プロキシ機能を使ってVisioドキュメントをネットワークから阻止したい場合は、次のリンクをクリックし、ビデオ手順を参考にしよう。

• XTM アプライアンス + WSM 11.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
• Firebox X Edge + 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには?
• SMTP プロキシでファイルをブロックするには？
• Firebox X Core & X Peak + Fireware 10.x
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？

ステータス：
マイクロソフトはこのフィックスをリリースしている。

参考資料：
マイクロソフトのセキュリティアドバイザリ　MS11-055
この記事はコーリー・ナクライナー CISSPにより調査され書かれたものです。
ご感想を是非お寄せ下さい： your.opinion.matters@watchguard.com. これまでの記事一覧はこちらからどうぞ： LiveSecurityアーカイブ

続きを読む»

Windowsアップデート（3）：ワイヤレス・ブルートゥース攻撃
コーリー・ナクライナー　
CSRSSやカーネルモード・ドライバーも
危険性：高　
2011年７月12日　

概要：

• 対象：
  Windowsおよび搭載されているコンポーネント
  
• 悪用方法：
  特別に細工したワイヤレス・ブルートゥース・トラフィックを送信するなど、攻撃方法は様々ある
  
• 影響：
  攻撃者はユーザのWindowsコンピュータを完全に操作できるようになる
  
• 対策：
  状況に適したマイクロソフトのパッチを至急インストールするか、Windowsの自動アップデート機能に任せること

詳細：
米国時間の12日、マイクロソフトはWindowsとそれに搭載されているコンポーネントに影響している21件のセキュリティ脆弱性について 説明したアドバイザリを3件リリースした。各脆弱性は、影響を及ぼすWindowsのバージョンも、その度合いも異なる。 しかし、リモート攻撃者は3つの欠陥のうち、中でも悪質なものを選び、ワイヤレスでそれを悪用してユーザのWindows PCを完全にコントロールできるようになる。

次の概要一覧では、危険性の高いものから順にまとめた（危険性についてはマイクロソフトの概要を参考にした）。

• MS11-053: ブルートゥース・スタック・コード実行問題
  
  ブルートゥースはオープン・ワイヤレス・テクノロジーで、近距離にてデータを送信する規格だ。しかし、 最近のWindowsバージョンに搭載されているブルートゥース・スタックは、まだ削除されていないメモリや、 初期化されていないメモリにアクセスする方法に関係するコード実行問題の影響を受けている。 特別に細工したブルートゥース・パケットを連続して無線送信することで、攻撃者はこの欠陥を利用し、 ユーザの脆弱なコンピュータを完全にコントロールできるようになる。しかし、攻撃者はこの攻撃を実行するにあたりブルートゥースの範囲内にいなければならない （ブルートゥースの平均範囲は5メートルから100メートル）。 とはいっても、「Snipers」 というブルートゥースの特別ギアを使えば、その範囲をキロメートルまで拡大することができる。この欠陥の影響を受けているのはWindows Vistaと7 のみだ。
  
  マイクロソフトの評価：緊急
  
  
• MS11-054 : カーネルモード・ドライバーの特権昇格問題（15）
  
  カーネルは、 あらゆるコンピュータのオペレーティングシステムの中軸となるコンポーネントだ。 Windowsにはカーネルモード・デバイスドライバー(win32k.sys)も搭載されており、 様々なカーネルレベルのデバイスを処理している。しかし、このカーネルモード・ドライバーは15の特権昇格問題（EoP）の影響を受けているという。 この欠陥はどれも技術面では異なるものの、その範囲と影響は大体共通している。特別に細工したプログラムを実行することで、 ローカルの攻撃者はこうした欠陥を利用し、ユーザのWindowsを完全にコントロールできるようになる。とはいっても、 攻撃者はまずユーザのWindowsで使える有効なクレデンシャルを獲得しなければならないため、この欠陥のリスクを大きく減少させている。
  
  マイクロソフトの評価：重要
  
  
• MS11-056: CSRSS ローカル特権昇格の脆弱性
  
  CSRSS（クライアント／サーバ・ランタイム・サブシステム) は、スレッドを作成したり削除したりし、コンソール・ウィンドウズを担う必要不可欠なウィンドウズ・コンポーネントである。 ところが、これは5つの特権昇格（EoP）の脆弱性による影響を受けており、どれも技術面では異なるが機能的には似通っている。 先のカーネルモード・ドライバー欠陥と同様に、特別に細工したプログラムを実行した認証済みの攻撃者は、こうした欠陥を利用してユーザの WindowsのSYSTEMレベル・コントロール全権を獲得することができる。 とはいっても上述の問題と同じく、攻撃者はまずそのユーザのWindowsで使える有効なクレデンシャルを必要とするため、この欠陥のリスクを大幅に減少させている。
  
  マイクロソフトの評価：重要
  
  

解決策：
マイクロソフトは、こうした脆弱性をすべて修正するWindowsのパッチをリリースしているので、状況に適したパッチを至急ダウンロードしテストしてから ネットワーク全体に導入することをすすめる。また、Windowsの自動アップデート機能に任せてその作業を行うこともできる。

日本語版をインストールする場合は、ドロップダウンメニューから「Japanese」を選択すること。

MS11-053:

• For Windows Vista w/SP1
• For Windows Vista w/SP2
• For Windows Vista x64 w/SP1
• For Windows Vista x64 w/SP2
• For Windows 7
• For Windows 7 x64

* 注：Windows Vista SP1は、ワイヤレスのオプション機能パックをインストールした場合に限り対象となる。 MS11-054:

• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2003 Itanium (w/SP2)
• For Windows Vista (w/SP1 or SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 (w/SP2)
• For Windows Server 2008 x64 (w/SP2)
• For Windows Server 2008 Itanium (w/SP2)
• For Windows 7
• For Windows 7 x64
• For Windows Server 2008 R2 x64
• For Windows Server 2008 R2 Itanium

MS11-056:

• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2003 Itanium (w/SP2)
• For Windows Vista (w/SP1 or SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 (w/SP2)
• For Windows Server 2008 x64 (w/SP2)
• For Windows Server 2008 Itanium (w/SP2)
• For Windows 7
• For Windows 7 x64
• For Windows Server 2008 R2 x64
• For Windows Server 2008 R2 Itanium

ウォッチガード・ユーザの解決策：
攻撃者は、ローカルまたはブルートゥース・ワイヤレス・トランスミッションを使ってこうした欠陥を悪用する。 ウォッチガードのワイヤードおよび802.11ワイヤレス・アプライアンスは、そうした攻撃方法からはネットワークを保護しないため、 マイクロソフトのアップデートをインストールすることがもっとも安全な対策方法となる。

ステータス：
マイクロソフトはこの問題を修正するパッチをリリースしている。

参考資料：

• マイクロソフトのセキュリティアドバイザリ　 MS11-053
• マイクロソフトのセキュリティアドバイザリ　 MS11-054
• マイクロソフトのセキュリティアドバイザリ MS11-056

この記事はコーリー・ナクライナー CISSPにより調査され書かれたものです。

ご感想を是非お寄せ下さい： your.opinion.matters@watchguard.com. これまでの記事一覧はこちらからどうぞ： LiveSecurityアーカイブ

続きを読む»

Apple OSX: Leopardのチェックアップ コーリー・ナクライナー

日付：2011年6月23日

概要：

• 対象：
  現バージョンの OS X 10.5.x (Leopard) と OS X 10.6.x (Snow Leopard)
• 悪用方法：
  悪質なウエブサイトにユーザを誘導したり、不正ドキュメントやイメージをユーザがダウンロードし閲覧するように仕向けるなど、攻撃方法は様々ある
• 影響：
  攻撃結果は様々だが、最悪の場合には、攻撃者がユーザのコンピュータでコードを実行できるようになる
• 対策：
  OS X の管理者はOS X 10.6.8かSecurity Update 2011-004をダウンロードし、テストしてからインストールまたはアップルのソフトウェア・アップデート機能に任せること

詳細：
米国時間の6月23日、アップルは現バージョンのOS X に見られる脆弱性を修正するセキュリティアップデートをリリースした。このアップデートはOS X やOS X Server （Airport / Quicktime / MobileMe を含む）の一部として搭載されている22のコンポーネントで発見された、39件ほどの（情報源CVE-ID）セキュリティ問題を修正している。そのうちのいくつかの概要については、下記を参照することをすすめる。

• ImageIO コード実行の欠陥（2）
  ImageIOは、OS Xが様々なファイル形式を処理しやすくするコンポーネントのひとつだが、残念ながら、 これは特定のタイプのイメージファイル処理に関与するセキュリティ脆弱性2つの影響を受けている （例：バッファオーバーフローなど）。これらは技術面では異なるものの、脆弱性の有効範囲と影響力は同じだ。 攻撃者は、特別に細工したイメージファイルを悪質なウエブサイトにホストするなどして、 被害者がそれを閲覧するように仕向ける。それがうまくいくと、 攻撃者は欠陥を悪用して被害者のコンピュータでアプリケーションをクラッシュさせたり、 攻撃コードを実行させたりすることができる。ただし、デフォルトにより攻撃者はユーザの特権でのみ、 コードを実行することができる。 この影響を受けているイメージ形式には JEPG2000やTIFFがある。
  
• ATS バッファオーバーフローの脆弱性
  Apple Type Service (ATS)は、OS X がフォントを処理しやすくする機能だが、これは埋め込みフォント TrueTypeフォントの処理に関与するバッファオーバーフローの脆弱性の影響を受けている。 細工したフォントを含む悪質なドキュメントをユーザがダウンロードし閲覧するように仕向けると、 攻撃者は欠陥を悪用し、ユーザのコンピュータでコードを実行できるようになる。ただし、デフォルトにより攻撃者はユーザの特権でのみ、 このコードを実行することができる。
• Quicktimeの脆弱性（5）
  Quicktime は、OS X (および iTunes)に搭載されているビデオやメディアを再生する人気のプレイヤーだが、 特定のイメージやオーディオ、ビデオ・ファイルの処理に関係する5件のセキュリティ問題の影響を受けている。どれも技術面では異なるが、 その基本的な有効範囲と影響力は同じだ。攻撃者は、悪質に細工されたメディアをユーザがQuickTimeで閲覧するよう罠を仕掛け、それに成功すると、 欠陥を悪用しユーザの特権を使ってそのコンピュータでコードを実行できる。

アップルのアラートは、この他にも多数のコード実行の脆弱性やサービス拒否（DoS)欠陥、特権昇格の脆弱性、情報開示の欠陥といった問題についても説明している。

このセキュリティアップデートでパッチされたコンポーネントには以下も含まれている。 詳細についてはアップルのOS X 10.5.x と 10.6.x のアラートを参照すること。

解決策：
アップルは、OS X Security Update 2011-004とOS X 10.6.8で、こうしたセキュリティ問題を修正しているので、OS Xの管理者は状況に適したアップデートを出来る限り早急にダウンロードし、テストしてから取り入れることをすすめる。

• Security Update 2011-004 (Leopard)
• Security Update 2011-004 (Leopard Server)
• OS X 10.6.8 Update
• OSX Server 10.6.8 Update
• OS X 10.6.8 Update Combo
• OSX Server 10.6.8 Update Combo

注意：使用しているOS Xバージョンに適したパッチがどれか定かでない場合は、OS Xのソフトウェア・アップデート・ユティリティを使い、必要なアップデートを自動的に選ぶこともできる。

全ユーザへ：
こうした欠陥は、様々な悪用方法を使うが、中にはローカルのものもある。その場合、ペリメター・ファイウォールが攻撃に気付かないため（部署間にファイアウォールを設置している場合は別）、アップデートをインストールすることが主な安全策となる。

ステータス：
アップルはこうした欠陥を修正するアップデートをリリースしている。

参考資料：
2011年６月のセキュリティアップデート：OS X 10.5x / 10.6.x


この記事はコーリー・ナクライナーCISSPにより調査され書かれたものです。
ツイッター：@SecAdept

続きを読む»

SMB / OLE /.NET の深刻な欠陥を修正
危険度：高　
2011年6月14日

概要：

• 対象：
  現バージョンのウィンドウズと搭載されているコンポーネント（.NET Frameworkなどのオプション・コンポーネントも含む）
• 悪用方法：
  細工したネットワーク・トラフィックを送信したり、悪質な画像をユーザが閲覧するように誘導したりするなど、攻撃方法はいくつもある
• 影響：
  攻撃結果は様々だが、最悪の場合、攻撃者がユーザのウィンドウズを完全操作する権利を獲得する
• 対策：
  適切なマイクロソフトパッチを至急インストールするか、ウィンドウズ自動アップデート機能に任せること

詳細：
マイクロソフトは、6月14日付けで11件のセキュリティアドバイザリをリリースし、 ウィンドウズと搭載されているコンポーネントで発見された12件の脆弱性について説明した。 どの脆弱性も異なるウィンドウズバージョンに影響を与えており、その度合いもそれぞれ異なるが、 リモート攻撃者は中でも悪質な欠陥を活用してユーザのウィンドウズの完全操作権利を自分のものにすることができる。

マイクロソフトの評価により、危険性の高いものから順に説明した概要：

• MS11-038: OLE オートメーションのコード実行問題

マイクロソフトによると、 OLE（オブジェクトのリンクと埋め込み）オートメーションはウィンドウズのプロトコルで、 アプリケーションがデータを共用できるようにしたり、 他のアプリケーションをコントロールしたりするために使うプロトコルだという。 しかし残念ながら、このOLEオートメーションは細工されたWMF （Windows MetaFile） 画像を解析する方法に関与する脆弱性の影響を受けている。 攻撃者は細工した画像をウェブサイトに載せ、ユーザがそれを閲覧するように誘導、 欠陥を利用してユーザの特権を使いコード実行ができるようになる。 また、ユーザに管理者の特権があった場合、攻撃者はその完全操作権利を自分のものにすることもできる。


マイクロソフトの評価：緊急

• MS11-039 & MS11-044 : .NET Framework のコード実行問題(２) 　

.NET Frameworkは、開発者がウィンドウズやウェブの新しいアプリケーションを制作する際に使うソフトウェアフレームワークだ。しかし、.NET Framework（SilverLightも同様）はネットワークファンクションを通り抜けるパラメータの認証方法に関与する脆弱性と、オブジェクト内でJITコンパイラが値を認証する方法に関係する問題といったように、2つの複雑な脆弱性の影響を受けている。 その作用範囲と影響は攻撃ベクトルにより異なる。可能性を持つベクトルとしては、1）攻撃者が悪質な.NETウェブサイトをホストする、2）ユーザの.NETウェブサイトを攻撃する、3）ユーザのカスタム.NETアプリケーションを利用し、自分の特権を昇格させる、といったように3つのベクトルがあるが、我々は1つめのベクトルによるリスクがもっとも大きなものであろうと見ている。攻撃者は細工したサイトにユーザを誘導すると（もしくは正当なサイトを何らかの方法で攻撃者の有害なサイトにリンクさせる）、欠陥を利用してユーザの特権を譲り受け、そのコンピュータでコードを実行できるようになる。ユーザがローカル管理者であった場合、攻撃者はユーザのコンピュータの完全操作権利を自分のものにすることができる。また、.NET Frameworkをインストールしている場合は、.NET アプリケーションやウェブサイトを実行していない場合でもパッチを取り入れることをすすめる。


マイクロソフトの評価：緊急

• MS11-041： カーネルモード・ドライバーのコード実行問題

カーネルはオペレーティングシステムのコア・コンポーネントだ。ウィンドウズにはカーネルモード・デバイスドライバー（win32k.sys）も搭載されており、様々なカーネルレベルのデバイスを処理している。しかし、このカーネルモード・ドライバーは、64ビットシステムにあるOpenTypeフォントの処理法に関係するコード実行問題の影響を受けている。攻撃者は細工したフォントをユーザが閲覧するように誘導し、欠陥を利用してユーザのコンピュータを完全に操作できるようになる（この場合ユーザの特権は関係ない）。ただし、前述したがこの欠陥は64ビット版のウィンドウズにのみ影響しているほか、 攻撃を成功させるには悪質なフォントがローカルコンピュータもしくはネットワークシェアになければならない。

マイクロソフトの評価：緊急

• MS11-042 DFS メモリ破損の問題

DFSはクライアントやサーバサービスの集合体で、シングルファイルに見せかけながら実は複数ホストのシェアから成るものでありながら、シングルファイルに見せかけたものを作成できるようにする機能だ。しかし、ウィンドウズDFSサービスはセキュリティ脆弱性２件の影響を受けており、 中でも悪質なのは、細工済みのDFSレスポンスをDFSクライアントが処理する方法に関与するメモリ破損問題だ。攻撃者は、ユーザのネットワークで悪質なサーバをホストし、細工したDFSレスポンスをリクエストしているクライアントに送信することでメモリ破損の欠陥を利用し、ウィンドウズを完全に操作できるようになる（あるいはユーザのコンピュータをクラッシュさせる場合もある）。とはいっても、大方の管理者はDFSトラフィックがファイアウォールを通過できないようにしているので、この脆弱性は主に内部脅威であるといっていいだろう。

マイクロソフトの評価：緊急

• MS11-043: SMB クライアントのコード実行問題

マイクロソフトのSMBは、ファイルとプリント共有のためにウィンドウズが使用するプロトコルだ。しかしマイクロソフトによると、このSMBクライアントは攻撃者が悪質なコードを実行するために利用できるセキュリティ脆弱性の影響を受けているという。有害なSMBサーバに接続するようにユーザを誘導したり、細工したSMBメッセージを正当なローカルリクエストへの応答として送信することで、攻撃者はこの欠陥を悪用して脆弱なウィンドウズを完全に操作できるようになる。とはいっても、ウォッチガードのXTMアプライアンスのようなファイアウォールであれば、インターネットからのSMBトラフィックを阻止できるはずなので、この脆弱性は主に内部脅威といえるだろう。とはいっても、様々なタイプのマルウェアがSMB脆弱性を利用しており、最初の被害者を出してしまえば、後はネットワーク内で自身を蔓延させることができる。

マイクロソフトの評価：緊急

• MS11-037: MHTML 情報開示の脆弱性

ライブセキュリティが2月に掲載した記事では、XSS（クロスサイト・スクリプティング）脆弱性に似たゼロデイMHTML脆弱性について説明した。この欠陥は、HTMLとMIME（写真やオーディオ、ビデオなどが一般的）の両方を1つのファイルに入れた特別なウェブページの処理に使われるウィンドウズのMHTML や MIME HTMLコンポーネントに関与している。攻撃者が細工したウェブページにユーザを誘導したり、有害なリンクをユーザがクリックするように仕向けることに成功すると、攻撃者はこの欠陥をXSS脆弱性を利用するのとほぼ同じ方法で利用できるようになる。つまり、ユーザのクッキーを盗んだり、ユーザのブラウザを有害なサイトにリダイレクトさせたりするなどして、そのウェブサイトで攻撃者が任意に動き回ることが可能になる。4月には、マイクロソフトがこの欠陥を修正したはずだったが、今回ほとんど同じ問題の新亜種を修正するアップデートが用意されたということは、4月のフィックスは完全なものではなかったのだろう。

マイクロソフトの評価：重要

• MS11-046 AFD 特権昇格の脆弱性

Ancillary Funtion Driver(AFD.sys)は、Winsock TCP/IPコミュニケーションを処理するドライバーだ。このカーネルモード・ドライバーは、特権昇格（EoP）脆弱性の影響を受けている。ローカル攻撃者は細工したプログラムを実行し、欠陥を悪用してウィンドウズを完全に操作できるようになる。とはいっても、攻撃者はまず有効なクレデンシャルを使ってユーザのウィンドウズへのローカルアクセス権を必要とするため、この欠陥のリスクを大きく緩和させている。

マイクロソフトの評価：重要

• MS11-047: Windows 2008 Hyper-V DoS 脆弱性

Hyper-VはWindows 2008 が仮想化に使うハイパーバイザ技術だ。Hyper-Vは、ゲストOSとホストOSの間の細工済みコミュニケーションを処理する方法に関与する、サービス拒否（DoS）脆弱性の影響を受けている。攻撃者はゲストOSで細工したプログラムを実行することで欠陥を悪用し、2008 Serverが再起動されるまで反応しなくなるようにすることができる。とはいっても、攻撃者がこの欠陥を悪用するには、ゲストOSへの管理者アクセスが必要であるほか、この欠陥が影響を及ぼしているのは2008 Serverのみである。

マイクロソフトの評価：重要

• MS11-048: SMB Server DoS 脆弱性

Windows SMB Serverは、細工したSMBリクエストの処理法に関与するサービス拒否（DoS）の脆弱性の影響を受けている。攻撃者は細工したSMBパケットを送信することで欠陥を悪用し、ウィンドウズが再起動されるまで反応しなくなるようにすることができる。ただし、先に説明したSMBクライアントの脆弱性のように、ファイアウォールはSMBをブロックすることができるため、この脆弱性は主に内部脅威であるといえるだろう。

マイクロソフトの評価：重要

• MS11-051 AD Certificate Services Web Enrollment EoP 脆弱性

アクティブディレクトリ（AD）認証サービス、ウェブエンロールメントサイトは、クロスサイト・スクリプティング(XSS)脆弱性の影響を受けている。攻撃者は、細工されたリ ンクをユーザがクリックするように誘導すると欠陥を悪用してユーザのクッキーを盗んだり、ユーザのブラウザを有害なサイトにリダイレクトしたりし、 実質的に攻撃者の任意でADウェブエンロールメントサイトを動き回れるようになる。この欠陥はNon-Itaniumサーバ版のウィンドウズにのみ影響している。

マイクロソフトの評価：重要
解決策： マイクロソフトはこうした脆弱性を修正できるウィンドウズ対象のパッチをリリースしているので、適切なパッチを至急ダウンロードし、 テストしてからネットワーク全体にあてがうことをすすめる。また、ウィンドウズ自動アップデート機能に任せてこの作業を行うことも可能だ。
注：日本語版をダウンロードするには「Choose Language」と表示されたドロップダウンから「Japanese」を選択すること。
MS11-038:

• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2003 Itanium (w/SP2)
• For Windows Vista (w/SP1 or SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 (w/SP2) *
• For Windows Server 2008 x64 (w/SP2) *
• For Windows Server 2008 Itanium (w/SP2)
• For Windows 7
• For Windows 7 x64
• For Windows Server 2008 R2 x64 *
• For Windows Server 2008 R2 Itanium

* 注：Server Coreインストールへの影響はない。
MS11-039 & MS11-044: .NET Frameworkアップデートは複雑かつバージョンに依存する性質があるため、パッチの詳細を説明する 「マイクロソフトの影響を受けているソフトウェアと受けていないソフトウェア」の欄を参照することをすすめる （もしくは、ウィンドウズの自動アップデート機能に任せて必要なパッチを取り入れる方法もある）。

• MS11-039 Affected & Non-Affected Software section
• MS11-044 Affected & Non-Affected Software section
  

MS11-041:

• For Windows XP x64 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2003 Itanium (w/SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 x64 (w/SP2)
• For Windows Server 2008 Itanium (w/SP2)
• For Windows 7 x64
• For Windows Server 2008 R2 x64
• For Windows Server 2008 R2 Itanium
  

MS11-042:

• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2003 Itanium (w/SP2)
• For Windows Vista (w/SP1 or SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 (w/SP2)
• For Windows Server 2008 x64 (w/SP2)
• For Windows Server 2008 Itanium (w/SP2)
• For Windows 7
• For Windows 7 x64
• For Windows Server 2008 R2 x64
• For Windows Server 2008 R2 Itanium
  

MS11-043:

• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2003 Itanium (w/SP2)
• For Windows Vista (w/SP1 or SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 (w/SP2)
• For Windows Server 2008 x64 (w/SP2)
• For Windows Server 2008 Itanium (w/SP2)
• For Windows 7
• For Windows 7 x64
• For Windows Server 2008 R2 x64
• For Windows Server 2008 R2 Itanium
  

MS11-037:

• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2003 Itanium (w/SP2)
• For Windows Vista (w/SP1 or SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 (w/SP2) *
• For Windows Server 2008 x64 (w/SP2) *
• For Windows Server 2008 Itanium (w/SP2)
• For Windows 7
• For Windows 7 x64
• For Windows Server 2008 R2 x64 *
• For Windows Server 2008 R2 Itanium

* 注：Server Coreインストールへの影響はない。 MS11-046:

• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2003 Itanium (w/SP2)
• For Windows Vista (w/SP1 or SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 (w/SP2)
• For Windows Server 2008 x64 (w/SP2)
• For Windows Server 2008 Itanium (w/SP2)
• For Windows 7
• For Windows 7 x64
• For Windows Server 2008 R2 x64
• For Windows Server 2008 R2 Itanium
  

MS11-047:

• For Windows Server 2008 (w/SP2)
• For Windows Server 2008 x64 (w/SP2)
• For Windows Server 2008 Itanium (w/SP2)
  

MS11-048:

• For Windows Vista (w/SP1 or SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 (w/SP2)
• For Windows Server 2008 x64 (w/SP2)
• For Windows Server 2008 Itanium (w/SP2)
• For Windows 7
• For Windows 7 x64
• For Windows Server 2008 R2 x64
• For Windows Server 2008 R2 Itanium
  

MS11-051:

• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2008 (w/SP2)
• For Windows Server 2008 x64 (w/SP2)
• For Windows Server 2008 R2 x64

ウォッチガード・ユーザ向け：
攻撃者は様々な悪用方法を使って、こうした欠陥を利用することができる。しっかりと設定されているファイアウォールは、 いくつかの問題のリスクを緩和させる手助けとなる。とはいっても、Fireboxはローカル攻撃からネットワークを守ることはできず、 通常のHTTPトラフィックを利用する攻撃を防ぐこともできないので、マイクロソフトによるアップデートをインストールすることがもっとも安全な対策といえるだろう。
ステータス：
マイクロソフトは問題を修正するパッチをリリースしている。
参考資料：

• マイクロソフトのセキュリティアドバイザリ一覧
  

この記事はコーリー・ナクライナーCISSPにより、調査され書かれたものです。

続きを読む»

危険度：高
2011年6月14日

概要：

• 対象：
  現バージョンのウィンドウズで使用している Internet Explorer (IE)
• 悪用方法：
  悪質なウェブページにユーザを誘導するのが典型的
• 影響：
  最悪の場合、攻撃者はユーザのコンピュータでコードを実行することができ、その完全操作権利も獲得できる
• 対策：
  状況に適したIEパッチを至急取り入れるか、ウィンドウズの自動アップデート機能に任せること

詳細：
月例でパッチを公開しているマイクロソフトは、米国時間の6月14日付けでセキュリティアドバイザリを2件リリースした。 [ MS11-050 / MS11-052 ] 非公式に報告された、現バージョンのウィンドウズで使用しているInternet Explorer (IE) 9.0とそれ以前のバージョンで発見された脆弱性12件についてマイクロソフトは説明しており、その危険性は深刻であると評価している。

• MS11-050: IE 累積アップデート

マイクロソフトは、IEに11件の脆弱性があることをアドバイザリで警告している。各脆弱性の技術面は異なるものの、その大方（11件中8件）の影響と作用範囲は同じだ。これは、IEがリンク・プロパティやレイアウト・メモリなどのHTMLエレメントを処理する方法に起因するメモリ破損問題に関係している。攻撃者は有害なウェブコードを含むウェブページにユーザを誘導し、それに成功するとメモリ破損の脆弱性を悪用してユーザのコンピュータでコードを実行、さらにはユーザの特権を自分のものにすることもできる。通常、ウィンドウズ・ユーザはローカル管理者の特権を持っているため、攻撃者は被害者のコンピュータの完全操作権利を獲得できるようになる。 このタイプのコード実行問題を利用して攻撃者がドライブバイ・ダウンロード攻撃を仕掛けるケースは頻繁に見られる。 その他の問題は情報開示の脆弱性で、その危険性はそれほどひどいものではない。

技術詳細を知りたい場合は、マイクロソフトのセキュリティアドバイザリにある「脆弱性の情報」の欄を参照することをすすめる。 しかし、技術面の違いを別にしても、IEに見られるメモリ破損問題は重要なリスクを提示しているので、 IEの累積パッチを至急ダウンロードしインストールすることをすすめる。

• MS11-052: IE (+ウィンドウズ) VML コード実行の欠陥

初期化されていないオブジェクトや、削除されたオブジェクトを参照するVML （ ベクトルマークアップ言語）が細工されていた場合、IEはそれを処理する方法においても メモリ破損の脆弱性の影響を受けている。細工されたウェブページにユーザを誘導することで攻撃者はこの欠陥を利用し、ユーザのコンピュータでコードを実行できるようになる。その場合、攻撃者はユーザの特権を自分のものにすることができる。こうしたケースではよくあることだが、被害者にローカル管理者の特権があると、攻撃者はその被害者の完全操作権利を獲得することができる。この欠陥はウォッチガードが制作した過去のWireビデオでデモンストレーションを行ったVML IE欠陥に似ている。

最近の攻撃者は正当なウェブページをハイジャックし、それに悪質なコードで罠を仕掛けるケースがよくあるので注意が必要だ。その場合、攻撃者達はサイトにあるウェブ広告を利用したり、SQLインジェクションやXSS攻撃を利用したりするのが典型的だ。よく目にするサイトや信頼できるサイトでも、そのようにハイジャックされてしまえばユーザに対するリスクになる。
解決策：
このパッチは深刻な問題を修正している。適切なIEパッチを至急ダウンロードし、テストしてから取り入れるか、ウィンドウズの自動アップデート機能に任せること。

注：「Change Language:」ドロップダウンから「Japanese」を選択 MS11-050:

• Internet Explorer 6.0
• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2003 Itanium (w/SP2)
• Internet Explorer 7.0
• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2003 Itanium (w/SP2)
• For Windows Vista (w/SP1 or SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 (w/SP2) *
• For Windows Server 2008 x64 (w/SP2) *
• For Windows Server 2008 Itanium (w/SP2)
• Internet Explorer 8.0
• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Vista (w/SP1 or SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 (w/SP2) *
• For Windows Server 2008 x64 (w/SP2) *
• For Windows 7
• For Windows 7 x64
• For Windows Server R2 2008 x64
• For Windows Server R2 2008 Itanium
• Internet Explorer 9.0
• For Windows Vista (w/SP1 or SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 (w/SP2) *
• For Windows Server 2008 x64 (w/SP2) *
• For Windows 7
• For Windows 7 x64
• For Windows Server R2 2008 x64 *

* 注：Server Core インストールオプションを使ってインストールしたWindows Server 2008 administratorsにおいては、この欠陥による影響はない。 MS11-052:

• Internet Explorer 6.0
• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2003 Itanium (w/SP2)
• Internet Explorer 7.0
• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Server 2003 Itanium (w/SP2)
• For Windows Vista (w/SP1 or SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 (w/SP2) *
• For Windows Server 2008 x64 (w/SP2) *
• For Windows Server 2008 Itanium (w/SP2)
• Internet Explorer 8.0
• For Windows XP (w/SP3)
• For Windows XP x64 (w/SP2)
• For Windows Server 2003 (w/SP2)
• For Windows Server 2003 x64 (w/SP2)
• For Windows Vista (w/SP1 or SP2)
• For Windows Vista x64 (w/SP1 or SP2)
• For Windows Server 2008 (w/SP2) *
• For Windows Server 2008 x64 (w/SP2) *
• For Windows 7
• For Windows 7 x64
• For Windows Server R2 2008 x64 *
• For Windows Server R2 2008 Itanium

* 注：Server Core インストールオプションを使ってインストールしたWindows Server 2008 administratorsにおいては、この欠陥による影響はない。

ウォッチガード・ユーザ向け：
通常、このタイプの攻撃は普通のHTTPトラフィックに見せかけた状態でやってくるが、ネットワーク上のユーザがワールドワイドウェブ（www）にアクセスできるようにするにはHTTPトラフィックを許可しなければならないため、パッチを取り入れることが主な対策となる。
ステータス：
マイクロソフトは脆弱性を修正するパッチをリリースしている。
参考資料：

• マイクロソフトのセキュリティアドバイザリ MS11-050
• マイクロソフトのセキュリティアドバイザリ MS11-052
  

この記事はコーリー・ナクライナーCISSPにより、調査され書かれたものです。

続きを読む»

危険度：高 2011年6月14日

概要：

• 対象：
  マイクロソフトオフィスに搭載されているエクセルの最新バージョン
• 悪用方法：
  有害なエクセルをユーザが開くように誘導する
• 影響：
  最悪の場合、攻撃者はユーザのコンピュータでコードを実行し、それを完全に操作できるようになる
• 対策：
  できる限り早急にマイクロソフトオフィスのアップデートをインストールするか、 マイクロソフトの自動アップデート機能に任せること

詳細：
パッチリリース日の今日、マイクロソフトはエクセルで発見された8つの脆弱性について説明した セキュリティアドバイザリをリリースした。エクセルは、ウィンドウズ版およびMac版を対象とした マイクロソフトオフィスの一部だ。また、この欠陥はオフィス・ドキュメント・ビューアーや変換用アプリケーションにも 影響を及ぼしている。 8つの脆弱性はどれも技術面では異なるが、その影響範囲は同じだ。 悪質なエクセルドキュメントをユーザがダウンロードし、それを開くように誘導することに成功すると、 攻撃者は任意の脆弱性を悪用し、被害者のコンピュータでコードを実行できるようになる。 大方の場合、攻撃者はユーザが所持するレベルの特権や許可権を譲り受けることにもなるので、 ユーザにローカル管理者の特権があった場合、攻撃者はそのユーザのコンピュータを完全操作できるようになる。
解決策：
マイクロソフトは、こうした脆弱性を修正するオフィス用のパッチをリリースしているので 状況に適したパッチを至急ダウンロードし、テストしてからネットワーク全体にあてがうことをすすめる。 また、その他の方法としてはマイクロソフトの自動アップデート機能に任せてもいいだろう。

エクセル・アップデート：

• Office XP w/SP3
• Office 2003 w/SP3
• Office 2007 w/SP2
• Office 2010 32-bit
• Office 2010 64-bit
• Office 2004 for Mac
• Office 2008 for Mac
• Office for Mac 2011
• Open XML File Format Converter for Mac
• Excel Viewer
• Office Compatibility Pack for Word, Excel, and PowerPoint 2007 File Formats

ウォッチガード・ユーザ向け：
ウォッチガードのFirebox製品シリーズには、マイクロソフトのエクセルドキュメントをブロックするように設定できるものもあるが、仕事上この種のドキュメントを許可しておかなければならない企業もあるだろう。このため、パッチを導入することが主な対策となる。

エクセルドキュメントをブロックしたい場合は、Fireboxプロキシのコンテンツ・ブロッキング機能でファイル拡張子別（.xls/.xlsx）に設定するための手順をビデオで説明しているので、下記のリンクを参照することをすすめる。ただし、拡張子別にファイルをブロックするようになると、悪質なものだけでなく問題のないものも受信できなくなる点に注意しよう。

• 10.xFirebox X Edge
• FTP プロキシでファイルをブロックするには？
• HTTP でファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
  
• Fireware 10.xを使用しているFirebox X Core と X Peak
• FTP プロキシでファイルをブロックするには？
• HTTP プロキシでファイルをブロックするには？
• POP3 プロキシでファイルをブロックするには？
• SMTP プロキシでファイルをブロックするには？
  
  

ステータス：
マイクロソフトは脆弱性を修正するオフィス用のアップデートを提供している。
参考資料：

• マイクロソフトのセキュリティアドバイザリ
  
  

この記事はコーリー・ナクライナーCISSPにより、調査され書かれたものです。

続きを読む»

厄介なWINSメッセージがWindowsサーバをハイジャック

危険度：高

2011年5月10日

概要：

• 対象：
  Windows Server 2003と2008
  
• 悪用方法：
  細工したWINSパケットを送信
  
• 影響：
  ユーザのWindowsを攻撃者が完全に操作できるようになる
  
• 対策：
  状況に適したマイクロソフトのパッチを至急インストールするか、Windowsの自動アップデート機能に任せること

詳細：
マイクロソフトは、月例「パッチデー」にセキュリティアドバイザリを公開しWindows Server 2003と2008を対象にした深刻な脆弱性について説明した。 この欠陥は、マイクロソフト版の NBNS（NetBIOSネーム・サービス）ともいえるサービス、 WINS（ウィンズ・インターネット・ネーム・サービス）に起因している。 WINSは人間が読み取りやすい名称をコンピュータに与えることができるサービスだが （ローカル・ネットワーク・コンピュータにおけるDNSのようなもの）、マイクロソフトによると、 WINSサービスは細工されたメッセージを処理することができず、メモリ破損問題の影響を受けているという。 攻撃者は細工したWINSパケットを送信することでこの欠陥を利用し、ユーザのWINSサーバがSYSTEM特権を使って コードを実行するように強制した上で、サーバの完全操作権利を手に入れる。

とはいっても、この欠陥の作用範囲を軽減させる2つの要因がある。

1. Windows Serverは、デフォルトでWINSサービスをインストールしないようになっている。 つまり、自己インストールした場合に限り、この欠陥に対して脆弱となるわけだ。 しかし大方のネットワーク管理者は少なくても1台のサーバにWINSをインストールしている傾向があり、 そのサーバは組織のネットワークにとって重要なものであるケースが多い。
   
2. ウォッチガードのXTMアプライアンスなどのファイアウォールは、デフォルトでWINSサービスをブロックする ようになっている。WINSはTCPとUDPポート42を使用するので、管理者はそのポートが決してファイアウォールを 通過しないようにすること。こうした理由から、WINS攻撃は主に内部脅威であるといえる。 しかし、ワームやボット・クライアントなど、特定のマルウェアはローカルWindowsネットワーキング欠陥を利用して、 ユーザのローカル・ネットワーク全体でそれを蔓延させることもできる。

問題を緩和させる要因があるにしても、このWINSの脆弱性はWindowsサーバにとって深刻なリスクを掲げているため、 状況に適したアップデートをできる限り早急に取り入れることをすすめる。
対策：
マイクロソフトは問題を修正するパッチをリリースしているので、状況に適したパッチを至急ダウンロードし、 テストしてからネットワーク全体に取り入れることをすすめる。また、Windowsアップデート機能を使い、 自動的にその作業を行う方法もある。 MS11-035

日本語版をダウンロードする場合は「Change Language」のドロップダウン・メニューで「Japanese」を選択すること。

• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Server 2008 (w/SP2)
• Windows Server 2008 x64 (w/SP2)
• Windows Server 2008 Itanium (w/SP2)

ウォッチガードユーザ：
ウォッチガード・アプライアンスは、デフォルトでWINSサービス（TCP/UDP 42）をブロックするようになっており、インターネットベースの攻撃が、この欠陥を利用して ユーザのサーバに攻撃を仕掛けることも阻止できる。ファイアウォールで意図的にWINSを許可するように設定していなければ、 外部攻撃からネットワークを守ることができる。とはいっても、 何らかの方法でネットワークにマルウェアが侵入してしまった場合は、Windowsネットワーキング欠陥を利用して ネットワーク全体を蔓延させようとするため、できる限り早急にパッチを取り入れることをすすめる。
ステータス：
マイクロソフトは欠陥を修正するパッチをリリースしている。
参考資料：

• マイクロソフトのセキュリティアドバイザリ MS11-034
• マイクロソフト・セキュリティアドバイザリ一覧

この記事はコーリー・ナクライナーCISSPにより調査され書かれたものです。

続きを読む»

Officeアップデート：　悪質なPowerPointファイルに要注意

危険度：高

2011年5月10日

概要：

• 対象：
  2010を除く最新版のMicrosoft PowerPoint
  Windows 版とMac（Officeに搭載）版
  
• 悪用方法：
  有害なPowerPoint ファイルをユーザが開くように仕掛ける
  
• 影響：
  最悪の場合、攻撃者はユーザのコンピュータでコードを実行し、そのコンピュータを完全に操作できるようになる
  
• 対策：
  マイクロソフトが用意したPowerPointアップデートをできる限り早急にダウンロードするか、マイクロソフトの 自動アップデート機能に任せること（Macのアップデートはまだ用意されていない）。

詳細：
マイクロソフトは月例「パッチデー」の日に、セキュリティアドバイザリを公開し、Microsoft Officeに搭載されている最新版のPowerPointに見られるコード実行脆弱性（2）について説明した。 この欠陥はWindows版とMac版のどちらにも影響しているが、2010を対象とした最新版のOfficeは対象外となっている。 こうした2つの欠陥は技術的には異なるが、その対象範囲と影響は同じである。 攻撃者はユーザに有害なPowerPointファイルをダウンロードさせ、それを開くように仕向けて脆弱性を悪用し、 被害者のコンピュータでコードを実行することができる。大方の場合、攻撃者はそのユーザの特権と許可権を引き継いだ上で、 それを行うが、ユーザにローカル管理者の特権があった場合はユーザのコンピュータを完全に操作することも可能になる。

最近、攻撃者達が標的にしたメール攻撃（スピア型攻撃）で、悪質なOfficeファイルを利用する傾向がある。 一般的に、ユーザはOfficeドキュメントが安全だと思っているケースが多いが、犯罪者達はこの種の脆弱性を簡単に利用し、 悪質なOfficeドキュメントにマルウェアをインストールすることができる。このため、有害なドキュメントを ユーザが開いてしまう以前に、できる限り早急にアップデートをダウンロードしテストしてからアップデート を取り入れることをすすめる。
対策：
マイクロソフトはWindows版のPowerPoint脆弱性を修正するパッチをリリースしているので、状況に適したパッチを至急 ダウンロードし、テストしてからネットワーク全体に取り入れることをすすめる。また、マイクロソフトのアップデート機能を 使って自動的にその作業を行う方法もある。 残念ながら、マイクロソフトはMac版のアップデートをまだリリースしておらず、 それがいつリリースされるのか定かではないが 、テストが済み次第連絡されることだろう。
MS11-036 PowerPointアップデート
日本語版をダウンロードする場合は「Change Language」のドロップダウン・メニューで「Japanese」を選択すること。

• Office XP w/SP3
• Office 2003 w/SP3
• Office 2007 w/SP2
• Office Compatibility Pack：Word, Excel, and PowerPoint 2007 ファイル形式

ウォッチガードユーザ：
PowerPointのようなMicrosoft Officeファイルをネットワークから遮断するように設定できるウォッチガード製品もあるが、ビジネス上そうしたファイルを 許可しておかなければならない場合もあるだろう。そうした理由から、パッチを取り入れることが主な対策となる。 しかし、それでもOfficeドキュメントをネットワークから遮断したいという場合は、下記のビデオを参照にして ウォッチガードのプロキシ・ポリシーをファイル拡張子別に（PPTやPPTX）阻止する方法もある。 但し、ファイルを拡張子別に阻止すると悪質なファイルだけではなく、問題のないドキュメントも受信できなくなるので 注意が必要だ。

• 10.xを使用しているFirebox X Edge
• FTP プロキシでファイルを遮断するには？
• HTTP プロキシでファイルを遮断するには？
• POP3 プロキシでファイルを遮断するには？
• SMTP プロキシでファイルを遮断するには？
• Fireware 10.xを使用しているFirebox X Core やX Peak
• FTP プロキシでファイルを遮断するには？
• HTTP プロキシでファイルを遮断するには？
• POP3 プロキシでファイルを遮断するには？
• SMTP プロキシでファイルを遮断するには？

ステータス：
マイクロソフトは、こうした脆弱性を修正するPowerPointアップデートをリリースしている。
参考資料：

• マイクソフト・セキュリティアドバイザリ：MS10-036

この記事はコーリー・ナクライナーCISSPにより調査され書かれたものです。

続きを読む»

アドビ がReaderやAcrobatのFlashゼロデイを部分的に修正

危険度：高

2011年4月22日

概要：

• 対象：
  最近のバージョンのAdobe ReaderとAcrobat
  
• 悪用方法：
  様々な方法があるが、WordやExcelファイルに埋め込まれた悪質なFlashをユーザが開くように誘導する方法が一般的
  
• 影響：
  最悪の場合、攻撃者はユーザのコンピュータでコードを実行し、それを完全に操作できるようになる可能性がある
  
• 対策：
  影響を受けているアドビの人気製品を使用している場合は、いくつもあるアップデートをできる限り早急にダウンロードし、インストールすることを勧める

詳細：
マイクロソフトのパッチデーとリリース日が重なっているアドビのパッチデーは、年に4回と決まっているが、ゼロデイFlashの 一般環境下における悪用が最近でまわっているため、アドビは予定前にパッチをリリースするようになってきた。 そして米国時間の4月21日、アドビはReaderとAcrobatを対象としたアップデートを リリースし、パッチが用意されていなかったFlashの脆弱性問題を修正した。この欠陥は多くのアドビ製品に搭載されているFlashコンポーネントに内在するため、 ReaderとAcrobatにも影響している。ちなみに、この欠陥については先週の ポストで連絡済みではある。 いつも通り、アドビはゼロデイ欠陥の詳細については説明していないが、この欠陥がauthplay.dll Flashコンポーネントにあるとは述べている。それは 過去に報告されたよく似ている脆弱性においても影響していたコンポーネントだ。細工したWordやExcelもしくはPDFファイルをユーザが開くように誘導する方法を使い、 攻撃者はこの未特定欠陥を利用してユーザのリソースを使って、そのユーザのコンピュータでコードを実行できるようになる。 ご存知の通り、ユーザが管理者であった場合はゲームオーバーだ。 アップデート詳細については、アドビのセキュリティアドバイザリ を参照にすることを勧める。

アドビ（日本版）のセキュリティ・アップデート（抄訳）
アドビ（英文）のセキュリティ・アップデート
対策：
アドビはReaderやAcrobatのアップデートをリリースし、いくつかの製品において見られるこの欠陥を修正している。このパッチはAcrobatには完全対応しているが、 Windows版のReader Xに対応するものはまだリリースされていない。Reader Xのデフォルト・セキュリティ設定でこの攻撃に対抗できるため、次回のパッチデーである6月までReader Xのアップデートをリリースする予定はないとアドビは説明している。 使用しているソフトウェアが次のリストにある場合は、できる限り早急に状況に適したアップデートをダウンロードしデプロイするか、 アドビの自動アップデート機能に任せることを勧める。

• APSB11-08:
• Adobe Reader 10.x
• Windows（6月にリリース予定）
• Mac
• Adobe Reader 9.x
• Windows
• Mac
• Adobe Acrobat
• Standard /Pro （Windows）
• Pro Extended （Windows）
• Pro （Mac）

ウォッチガードユーザ：
WatchGuardのFirebox製品の中には、ウェブ（HTTP)やメール（SMTP、POP3 ）を介して特定の種類のファイルをユーザがダウンロードできないように設定できるものもある。望むのであれば、Fireboxのプロキシ・サービスを使って一時的に .DOC/ .XLS/.PDF/.SWF/.DIR/.DCR/.FLVといったアドビやMS Office関連の様々なファイルを遮断し、リスクを軽減させることも可能だ。　とはいっても、インタラクティブなコンテンツを表示するため、こうしたファイルに依存するウェブサイトも多く、それらを阻止してしまうとサイトが正常に機能しなくなる可能性がある。また、このような種類のファイルに依存しているビジネスも多く、それらを遮断してしまうと正当なファイルまでもその対象になってしまうため、上記のアップデートを取り入れることを勧める。 それでも、問題のアドビやOffice関連ファイルをネットワークから遮断したいというのであれば、次のリンクを参照してFireboxプロキシのコンテンツ・ブロッキング機能を使い、拡張子別にファイルを阻止することができる。

• 10.xを使用しているFirebox X Edge
• FTP プロキシでファイルを遮断するには？
• HTTP プロキシでファイルを遮断するには？
• POP3 プロキシでファイルを遮断するには？
• SMTP プロキシでファイルを遮断するには？
• Fireware 10.xを使用しているFirebox X Core やX Peak
• FTP プロキシでファイルを遮断するには？
• HTTP プロキシでファイルを遮断するには？
• POP3 プロキシでファイルを遮断するには？
• SMTP プロキシでファイルを遮断するには？

ステータス：
アドビのアップデートはこうした脆弱性を修正している。
参考資料：

• Adobe Readerのセキュリティアドバイザリ
• アドビ（日本版）のセキュリティ・アップデート（抄訳）

この記事はコーリー・ナクライナーCISSPにより調査され書かれたものです。(ツイッター：@SecAdept)

続きを読む»

コード実行と情報開示欠陥を修正するIEアップデート

危険度：高

2011年4月12日

概要：

• 対象：
  現バージョンのWindowsで使用している最新版のInternet Explorerバージョンすべて
  
• 悪用方法：
  有害なウェブページにユーザを誘導する方法が典型的
  
• 影響：
  最悪の場合、攻撃者はユーザのコンピュータでコードを実行し、そのコンピュータを完全に操作できるようになる
  
• 対策：
  状況に適したインターネット・エクスプローラ（IE）のパッチを至急インストールするか、マイクロソフトのWindows自動アップデート機能に任せること

詳細：
米国時間の4月12日、マイクロソフトは月例「パッチデー」で公開したセキュリティアドバイザリにて、現バージョンのWindowsで使用しているIEバージョン8とそれ以前のバージョンで発見された5つの新しい脆弱性について説明している。研究者達は、その内の4件をマイクロソフトに内密に報告したが、残りの1件については一般公開した。マイクロソフトは、この欠陥の危険性を深刻と評価している。 5つの欠陥はどれも技術的には異なるが、そのうち3つの悪質な欠陥の対象と影響を及ぼす範囲は同じである。それらはどれもメモリ破損問題に関与しており、様々なHTMLエレメントやMSHTMLオブジェクト、ページレイアウトなどをIEが処理する方法に起因している。攻撃者は有害なウェブコードを含むウェブページにユーザを誘導すると、いずれかの脆弱性を悪用し、ユーザのコンピュータでそのユーザの特権を持った状態でコードを実行できるようになる。大抵の場合、Windowsユーザにはローカル管理者の特権が備わっているが、その場合は攻撃者が被害者であるユーザのコンピュータを完全に操作できるようになる。また、こうしたタイプのコード実行問題を利用し、攻撃者がドライブバイ・ダウンロード攻撃を仕掛けるケースは頻繁に見られる。その他2件の情報開示とクリック・ジャッキング問題の危険性は、それほどに深刻なものではない。 最近の攻撃者は、正当なウェブページをハイジャックしてサイトに悪質なコードを仕掛けているケースがよくある点に注意しよう。その場合、攻撃者はホストしているウェブ広告や、SQLインジェクション、XSS攻撃などを使うのが典型的な例である。つまり、すぐ分るようなサイトや本物のサイトであっても、そのようにハイジャックされてしまえばユーザにとってはリスクとなる可能性がある。 こうした欠陥の技術面の違いを知りたければ、マイクロソフトのセキュリティアドバイザリにある
「Vulnerability Information」を参照することをすすめる。しかし技術面を別にしても、このメモリ破損の欠陥はIEに対して深刻なリスクとなっているため、IEのパッチを至急ダウンロードし、インストールすることをすすめる。

対策：
このパッチは深刻な問題を修正しているので、状況に適したIEのパッチをできる限り早急にダウンロードしテストしてからインストールするか、Windowsの自動アップデート機能に任せて必要なものをインストールすることをすすめる。

*日本語版をダウンロードする場合はドロップダウンメニューで「Japanese」を選択すること。 Internet Explorer 6.0

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)

Internet Explorer 7.0

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Vista (w/SP1 ・ SP2)
• Windows Vista x64 (w/SP1 ・SP2)
• Windows Server 2008 (w/SP2) *
• Windows Server 2008 x64 (w/SP2) *
• Windows Server 2008 Itanium (w/SP2)

Internet Explorer 8.0

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Vista (w/SP1 ・ SP2)
• Windows Vista x64 (w/SP1 ・SP2)
• Windows Server 2008 (w/SP2) *
• Windows Server 2008 x64 (w/SP2) *
• Windows 7
• Windows 7 x64
• Windows Server R2 2008 x64
• Windows Server R2 2008 Itanium

注意*　Server Coreインストール・オプションを使ってインストールしたWindows Server 2008への影響はない。

ウォッチガードユーザ：
この種の攻撃は、ネットワークのユーザがワールドワイドウェブにアクセスできるようにしておくには許可しなければならない通常のHTTPトラフィック状態で移動するため、パッチを利用することが最善策だろう。
ステータス： マイクロソフトは脆弱性を修正するアップデートをリリースしている。


参考資料：

• マイクロソフトによるセキュリティアドバイザリ一覧
  
  
  

この記事はコーリー・ナクライナーCISSPにより調査され書かれたものです。

続きを読む»

ネットワークへのドアを開放してしまう 有害なOfficeファイル

危険度：高

2011年4月12日

概要：

• 対象：
  現バージョンのMicrosoft Officeと、それに搭載されているコンポーネント
• 悪用方法：
  有害なOfficeファイルをユーザが開くように誘導する方法が典型的
• 影響：
  最悪の場合、攻撃者はユーザのコンピュータでコードを実行し、そのコンピュータを完全に操作できるようになる
• 対策：
  マイクロソフトが出しているOfficeアップデートをできる限り早急にダウンロードするか、マイクロソフトの自動アップデート機能に任せて必要なものをインストールすること

詳細：
マイクロソフトは月例の「パッチデー」において、セキュリティアドバイザリを2件公開した。アドバイザリは、WindowsとMac版を対象とした現バージョンのOfficeに搭載されているExcelや、その他のコンポーネントで発見された11件の脆弱性について説明している。 全11件の脆弱性は技術的に異なり、影響を及ぼすOfficeコンポーネントも同じものではないが、その結果は同じである。例えば、ユーザの1人に有害なOfficeドキュメントをダウンロードさせ、それを開くように仕向けると、攻撃者はいずれかの脆弱性を悪用して被害者となるユーザのコンピュータでコードを実行できるようになる。この場合、攻撃者はそのユーザの特権と許可権を引き継いだ上で実行するケースが大方だ。また、ユーザにローカル管理者の特権があった場合は攻撃者がユーザのコンピュータを完全に操作できるようにもなる。 マイクロソフトが公開したセキュリティアドバイザリによると、攻撃者は様々な種類のOfficeファイルを利用して、こうした欠陥を悪用できるという。マイクロソフトは特にExcelファイルが脆弱であると述べているが、同時に他のアドバイザリでは「Officeファイル」とも説明しているので、受信する予定がなかったOffice関連ファイルには注意するのが賢明だろう。 各欠陥の詳細について知りたい場合は、セキュリティアドバイザリにある「脆弱性の詳細」を参照することをすすめる。
MS11-021
Excelのコード実行問題９件（評価：重要）
MS11-023
Officeコード実行問題2件（評価：重要）

対策：
マイクロソフトは、こうした脆弱性を修正するOfficeのパッチをリリースしているので、状況に適したパッチを至急ダウンロードし、テストしてからネットワーク全体に取り入れること。また、マイクロソフトの自動アップデート機能を使って自動的にその作業を行うこともできる。

*日本語版をダウンロードする場合はドロップダウンメニューで「Japanese」を選択すること。
MS11-021 Excelアップデート: Office XP w/SP3
Office 2003 w/SP3
Office 2007 w/SP2
Office 2010 32-bit
Office 2010 64-bit
Office 2004 for Mac
Office 2008 for Mac
Office for Mac 2011
Open XML File Format Converter for Mac
Excel Viewer
Office Compatibility Pack for Word, Excel, and PowerPoint 2007 File Formats
MS11-023 Office XP w/SP3
Office 2003 w/SP3
Office 2007 w/SP2
Office 2004 for Mac
Office 2008 for Mac
Open XML File Format Converter for Mac

ウォッチガードユーザ：
マイクロソフトのOffceドキュメントを遮断するように設定できるWatchGuard Firebox製品もあるが、ビジネス上、そうしたファイルを許可しておかなければならない場合もあるだろう。そうした理由から、先述のパッチを取り入れることが主な対策となる。

Officeドキュメントをネットワークから遮断したいならば、Fireboxプロキシのコンテンツ・ブロッキング機能を使って、ファイル拡張子別にファイルを阻止することができる。その手順を説明したビデオについては、下記のリンクを参照することをすすめる。除外したいファイル拡張子は.doc/.xls/ .pptなどだが、その他にもいくつもある（「x」で終わる新しいOfficeの拡張子も含む）。但し、ファイルを拡張子別に阻止すると、悪質なファイルだけではなく正当なファイルも受信できなくなる点に注意しよう。

10.xを使用しているFirebox X Edge

• FTP プロキシでファイルを遮断するには？
• HTTP プロキシでファイルを遮断するには？
• POP3 プロキシでファイルを遮断するには？
• SMTP プロキシでファイルを遮断するには？

Fireware 10.xを使用しているFirebox X Core やX Peak

• FTP プロキシでファイルを遮断するには？
• HTTP プロキシでファイルを遮断するには？
• POP3 プロキシでファイルを遮断するには？
• SMTP プロキシでファイルを遮断するには？

ステータス：
マイクロソフトは、Officeの脆弱性問題を修正するアップデートをリリースしている。

参考資料：

• マイクロソフトによるセキュリティアドバイザリ一覧

この記事はコーリー・ナクライナーCISSPにより調査され書かれたものです。

続きを読む»

18のセキュリティ問題を修正するWindowsアドバイザリ 深刻な問題を抱えていたSMB/DNS/ActiveX の欠陥を修正

危険度：高

2011年4月12日

概要：

• 対象：
  現バージョンのWindowsと、それに搭載されているコンポーネント
  
• 悪用方法：
  細工したネットワーク・トラフィックを送信したり、有害なイメージをユーザが開くように誘導するなど、様々な攻撃方法がある
  
• 影響：
  結果は様々だが、最悪の場合には攻撃者が被害者のWindowsを完全に操作できるようになる
  
• 対策：
  状況に適したマイクロソフトのパッチを至急インストールするか、マイクロソフトの自動アップデート機能に任せて必要なパッチをインストールすること

詳細：
米国時間の4月12日、マイクロソフトはWindowsと搭載されているコンポーネントに影響を与えている脆弱性（18）について説明したセキュリティアドバイザリを13件公開した。各脆弱性による影響はWindowsバージョンにより異なり、その度合いも違うが、リモート攻撃者は中でも悪質な欠陥を利用してユーザのWindows PCを完全に操作できるようになる。

脆弱性の危険度が高いものから順に説明した概要は次の通り：
MS11-019
SMB Client のリモート・コード実行問題 マイクロソフトのサーバメッセージブロック(SMB)は、Windowsがファイルシェアやプリントシェアに使うプロトコルだが、マイクロソフトによると、このWindows SMBクライアントは2つのセキュリティ脆弱性の影響を受けているという。攻撃者は、そうした脆弱性を利用して悪質なコードを実行する。攻撃者は、有害なSMBサーバにユーザの1人が接続するように仕向けたり、細工したSMBメッセージを送信することで、いずれかの欠陥を悪用して脆弱なWindowsを完全に操作できるようになる。但し、WatchGuardのXTMアプライアンスのようなファイアウォールは、インターネットからのSMBトラフィックをネットワークから遮断することが普通であるため、この脆弱性は主に内部脅威であるといえるだろう。とはいっても、様々な種類のマルウェアは最初の被害者を感染させることに成功すると、SMB関連の脆弱性を利用してネットワーク内で自身を蔓延させることができる。

マイクロソフトの評価： 深刻
MS11-020
SMB サーバリモート・コード実行問題 先の脆弱性と同様に、Windows SMB Serverもコード実行問題の影響を受けている。攻撃者は細工したSMBパケットを送信することで欠陥を悪用し、脆弱なWindowsを完全に操作できるようになる。このケースにおいても、ファイアウォールがSMBをネットワークから遮断することができるため、これは主に内部脅威であるといえる。

マイクロソフトの評価： 深刻
MS11-027
ActiveX Kill Bit累積アップデート マイクロソフトと外部の研究家達は、セキュリティ脆弱性の影響をいくつも受けているマイクロソフトと第三者によるActiveXコントロールを複数発見した。攻撃者は、有害なウェブサイトにユーザの1人を誘導すると、いずれかのActiveXコントロールを悪用し、ユーザの特権を獲得した状態で、そのコンピュータでコードを実行できるようになる。大方のWindowsで見られる脆弱性と同様に、ユーザにローカル管理者の特権があった場合は攻撃者がユーザのPCを完全に操作できるようになる。このアップデートは脆弱なActiveXすべてにKill Bitを設定することでWindowsで無効にすることができる。無効にしたActiveXコントロールの詳細について知りたい場合は、マイクロソフトのセキュリティアドバイザリにある「脆弱性の詳細」を参照することをすすめる。

マイクロソフトの評価： 深刻
MS11-028
.NET Framework スタック破損の問題 .NET Frameworkは、ソフトウェア・フレームワークで、開発者達が新しいWindowsやウェブアプリケーションを製作する場合に使われるのだが、残念なことに.NET Framework 内にあるx86 JITコンパイラは、特定の種類のファンクションコールを不適切にコンパイルしてしまう複雑な脆弱性の影響を受けている。この脆弱性による影響とその影響範囲は本人がデザインしたウェブ、またはWindows .NETアプリケーションによって大きく異なる。最悪の場合、攻撃者はこの欠陥を悪用してWindowsを完全に操作できるようになる。しかし、この脆弱性の被害を受けやすいのはカスタム.NETアプリケーションを他者がアップロードできるように許可したり、特別の.NET Windowsアプリケーションを作成したといったような特定の方法で作成したカスタム・ウェブアプリケーションをホストしている場合に限る。.NETアプリケーションを作成するのであれば、マイクロソフトによるセキュリティアドバイザリの「脆弱性の詳細」を参照し、この問題を詳しく調べるのがいいだろう。どちらにせよ、 .NET Frameworkをインストールしている場合は、独自の.NETアプリケーションを作成していなくてもアップデートをインストールすることをすすめる。

マイクロソフトの評価： 深刻
MS11-029
GDI+整数のオーバーフロー問題 GDI+（グラフィックス・デバイス・インターフェイス）は、特に２Dベクトルグラフィックを処理するWindowsコンポーネントである。しかし、そのGDI+は不正形式にされたEMFイメージを適切に処理する機能に関与する整数オーバーフロー問題の影響を受けている。有害なイメージをユーザの1人に閲覧させるように誘導し（場合によってはウェブサイトにそれをホスト）、攻撃者はこの欠陥を利用、ユーザの特権を使ってそのユーザのコンピュータでコードを実行できるようになる。ユーザにローカル管理者の特権があった場合は、攻撃者がそのコンピュータを完全に操作できるようになる。

マイクロソフトの評価： 深刻
MS11-030
Windows DNS Clientのコード実行問題 Windows DNSクライアントは、細工済みのLLMNR（リンクローカル・マルチキャスト・ネーム・レゾリューション） DNS クエリを処理する機能に関与する未特定脆弱性の影響を受けている。攻撃者が標的にするWindowsのバージョンにより、欠陥の悪用方法は2通りある。例えば、Windows XPとServer 2003のコンピュータを攻撃する場合、攻撃者はまず、ローカルからユーザのコンピュータに有効なクレデンシャルでログインし、そうしてから欠陥を悪用して特権を昇格させる特別なプログラムを実行させなければならない。攻撃者はユーザのコンピュータへのローカル・アクセス権、そして有効なクレデンシャルも必要とするため、このリスクは高いものではない。とはいっても、この欠陥はWindows Vista 7、Server 2008のコンピュータにおいて、より大きなリスクを掲げている。その場合に攻撃者が必要とするのは細工したLLMNRブロードキャスト・メッセージを送信することで、欠陥を利用してNetworkServiceアカウント特権でコードを実行できるようになるため、攻撃者はユーザのコンピュータを大幅に操作できるようになる。

マイクロソフトの評価： 深刻
MS11-031 & MS11-022
複数のスクリプティング・エンジンのコード実行問題 VBScriptと JScript は、どちらもマイクロソフトが作成したスクリプト言語で、Windowsやそのアプリケーションが使用しているものだ。マイクロソフトによる2件のセキュリティアドバイザリによると、スクリプティング・エンジンは2つのコード実行問題の影響を受けているという。リスクが低いのはMS10-022を要約したもので、それについては以前のアラートでも説明したと思うが、これはコード実行問題で非常に特定の状況においてF1を押した場合にのみ出てくるものである。しかし、もう１つの脆弱性は整数オーバーフローの欠陥で、攻撃者は細工したスクリプトで簡単に誘発させることができる。攻撃者が細工したウェブページにユーザを誘導すると、欠陥を利用してユーザの特権で、そのユーザのコンピュータでコードを実行できるようになる。ユーザに管理者の特権があった場合は、ゲームオーバーだ。

マイクロソフトの評価： 深刻・重要
MS11-032
OpenTypeフォントCFFドライバー・コード実行の脆弱性 WindowsにはOpenType　Compact Font Format (CFF)など、数多くのフォントが搭載されている。しかし残念なことに、Windowsが OpenType CFFフォントを表示できるようにするドライバーが特定のパラメータバリューを適切に検証していないことが分った。標的のWindowsバージョンが新しいか旧いものかにより、攻撃者がこの欠陥を悪用するには2通りの方法がある。旧いバージョンのWindows（XP/2003）に対して攻撃を仕掛ける場合は、攻撃者のオリジナル・ユーザの特権にかかわらず、そのシステムを完全に操作できるようにするには、細工したプログラムをユーザのコンピュータで実行しなければならない。攻撃者が有害なプログラムを実行するには、ユーザのコンピュータへのローカルアクセス権が必要となる。しかし、新しいバージョンのWindows（Vista/2008/7）においては、自動的にディレクトリでフォントをプレビューできる自動プレビュー機能がある。攻撃者は悪性のOpenTypeフォントを含むファイル共有をユーザが開くように誘導し、この欠陥を悪用してWindowsを完全に操作できるようになる。ちなみに、この欠陥の性質はMS11-007とほぼ同じである。

マイクロソフトの評価： 深刻
MS11-024
Fax Cover Page Editor のメモリ破損問題 Windows Fax Cover Page Editor (fxscover.exe) は、文字通りファックスのカバーページを作成するためのプログラムだ。ところが、このプログラムは細工されたファックスのカバーページ (.cov)を処理できない面で未特定のメモリ破損問題の影響を受けている。細工した「.cov」をユーザの1人が開くように誘導すると、攻撃者はこの欠陥を悪用してユーザの特権で、そのユーザのコンピュータでコードを実行することができる。いつものように、ユーザにローカル管理者の特権があった場合、攻撃者はその特権を受け継ぐようになる。

マイクロソフトの評価： 重要
MS11-026
MHTML情報開示の脆弱性 2月のポストで、ゼロデイMHTMLの脆弱性がクロスサイト・スクリプティング（XSS）問題と似ていると説明したが、この欠陥は Windows MHTMLまたはMIME HTMLコンポーネントに関与している。これは、HTMLとMIME（主に画像やオーディオ、ビデオなど）のコンテンツを1つのファイルに収めた特別なウェブページを処理するために使われるものだ。細工したウェブページにユーザを誘導したり、有害なリンクをユーザがクリックするように仕向けることに成功すると、攻撃者はクロスサイト・スクリプティング（XSS) 問題を悪用するのとほぼ同じ方法でこの欠陥を悪用することができる。つまり、クッキーを盗んだり、ユーザのブラウザを有害なサイトにリダイレクトさせたり、ウェブサイトで好き勝手に行動したりすることができる。ちなみに、このアップデートで2月のゼロデイ欠陥をついに修正することができる。

マイクロソフトの評価： 重要
MS11-033
WordPadのコード実行問題 WordPadはWindowsに搭載されている無料のテキスト編集だ。しかし、このWordPadは細工されたWord文書ファイルに含まれた特定のフィールドを解析できないテキスト変換に関与する未特定の脆弱性の影響を受けている。文書ファイルをユーザの1人が開くように誘導すると、攻撃者は欠陥を悪用してユーザのコンピュータでコードを実行できるようになる。また、ユーザにローカル管理者の特権があった場合、攻撃者はユーザのコンピュータを完全に操作することができるようになる。この欠陥が影響しているのはWindows XPとServer 2003 のみである。

マイクロソフトの評価： 重要
MS11-034
Windowsカーネルモード・ドライバの特権昇格問題 カーネルはコンピュータOSの中心的コンポーネントである。Windowsは多くのカーネルレベル・デバイスを処理するカーネルモード・デバイス・ドライバー(win32k.sys)を搭載している。このカーネルモード・ドライバは、2つの特権昇格 による脆弱性の影響を受けている。欠陥は技術的には異なるが、その大方の対象範囲と影響は同じである。細工したプログラムを実行することで、ローカル攻撃者は欠陥を利用してユーザのWindowsを完全に操作できるようになる。しかし、攻撃者はまず被害者となる人物のWindowsにおいて有効なクレデンシャルでローカルアクセス権を獲得しなければならない。そうした点から、この欠陥のリスクは大幅に減少する。

マイクロソフトの評価： 重要
対策： マイクロソフトはこうした脆弱性をすべて修正するWindows用のパッチをリリースしている。状況に適したパッチを至急ダウンロードし、テストしてからネットワーク全体に取り入れること。また、別の方法としてマイクロソフトの自動アップデート機能を使い、自動的にその作業を行うという方法もある。

日本語版をダウンロードするには、ドロップダウン・メニューで「Japanese」を選択すること。 MS11-019:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Vista (w/SP1 ・ SP2)
• Windows Vista x64 (w/SP1 ・SP2)
• Windows Server 2008 (w/SP2)
• Windows Server 2008 x64 (w/SP2)
• Windows Server 2008 Itanium (w/SP2)
• Windows 7
• Windows 7 x64
• Windows Server 2008 R2 x64
• Windows Server 2008 R2 Itanium

MS11-020:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Vista (w/SP1 ・ SP2)
• Windows Vista x64 (w/SP1 ・SP2)
• Windows Server 2008 (w/SP2)
• Windows Server 2008 x64 (w/SP2)
• Windows Server 2008 Itanium (w/SP2)
• Windows 7
• Windows 7 x64
• Windows Server 2008 R2 x64
• Windows Server 2008 R2 Itanium

MS11-027:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Vista (w/SP1 ・ SP2)
• Windows Vista x64 (w/SP1 ・SP2)
• Windows Server 2008 (w/SP2) *
• Windows Server 2008 x64 (w/SP2) *
• Windows Server 2008 Itanium (w/SP2)
• Windows 7
• Windows 7 x64
• Windows Server 2008 R2 x64 *
• Windows Server 2008 R2 Itanium

注意*Server Core インストールへの影響はない MS11-028: 複雑でバージョン次第の性質を持つ.NET Framework のアップデートを見つけるには、マイクロソフトによるセキュリティアドバイザリの「Affected & Non-Affected Software」を参照し、パッチの詳細情報を入手することをすすめる。 MS11-029:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Vista (w/SP1 ・ SP2)
• Windows Vista x64 (w/SP1 ・SP2)
• Windows Server 2008 (w/SP2) *
• Windows Server 2008 x64 (w/SP2) *
• Windows Server 2008 Itanium (w/SP2)

注意*Server Core インストールへの影響はない MS11-030:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Vista (w/SP1 ・ SP2)
• Windows Vista x64 (w/SP1 ・SP2)
• Windows Server 2008 (w/SP2)
• Windows Server 2008 x64 (w/SP2)
• Windows Server 2008 Itanium (w/SP2)
• Windows 7
• Windows 7 x64
• Windows Server 2008 R2 x64
• Windows Server 2008 R2 Itanium

MS11-031 & MS11-022 複雑でバージョン次第の性質を持つ VBScript とJScriptのアップデートを見つけるには、マイクロソフトによるセキュリティアドバイザリの「Affected & Non-Affected Software」を参照し、パッチの詳細情報を入手することをすすめる。

• Affected Software section of MS11-031
• Affected Software Section of MS11-022

MS11-032:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Vista (w/SP1 ・ SP2)
• Windows Vista x64 (w/SP1 ・SP2)
• Windows Server 2008 (w/SP2)
• Windows Server 2008 x64 (w/SP2)
• Windows Server 2008 Itanium (w/SP2)
• Windows 7
• Windows 7 x64
• Windows Server 2008 R2 x64
• Windows Server 2008 R2 Itanium

MS11-024: Fax Cover Editorのアップデートには複数のパッチが必要。マイクロソフト・セキュリティアドバイザリの「Affected & Non-Affected Software」を参照し、パッチの詳細情報を入手することをすすめる。 MS11-026:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Vista (w/SP1 ・ SP2)
• Windows Vista x64 (w/SP1 ・SP2)
• Windows Server 2008 (w/SP2)
• Windows Server 2008 x64 (w/SP2)
• Windows Server 2008 Itanium (w/SP2)
• Windows 7
• Windows 7 x64
• Windows Server 2008 R2 x64
• Windows Server 2008 R2 Itanium

MS11-033:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)

MS11-034:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Vista (w/SP1 ・ SP2)
• Windows Vista x64 (w/SP1 ・SP2)
• Windows Server 2008 (w/SP2)
• Windows Server 2008 x64 (w/SP2)
• Windows Server 2008 Itanium (w/SP2)
• Windows 7
• Windows 7 x64
• Windows Server 2008 R2 x64
• Windows Server 2008 R2 Itanium

ウォッチガードユーザ：
攻撃者は様々な悪用方法を使って、こうした欠陥を悪用することができる。ファイアウォールが正しく設定されていれば、いくつかの問題のリスクを緩和させることができる。とはいっても、Fireboxはローカル攻撃からネットワークを保護したり、普通のHTTPトラフィックを利用した攻撃を阻止することはできないので、マイクロソフトが提供しているアップデートをインストールすることがもっとも安全な対策方法だろう。
ステータス：
マイクロソフトは問題を修正するパッチをリリースしている。
参考資料：

• マイクロソフトによるセキュリティアドバイザリ一覧

この記事はコーリー・ナクライナーCISSPにより調査され書かれたものです。

続きを読む»

アドビのパッチ ３つのソフトウェアのゼロデイを修正

危険度：高
2011年3月21日

概要：

• 対象：
  最近のバージョンのAdobe Reader/Arobat/Flash Player
  


• 悪用方法：
  様々な方法があるが、悪質なFlashやReaderのコンテンツを載せたウェブサイトにユーザを誘導する方法が一般的
  


• 影響：
  最悪の場合、攻撃者はユーザのコンピュータでコードを実行し、そのコンピュータを完全に操作できるようになる可能性がある
  


• 対策：
  影響を受けているアドビの人気製品を使用している場合は、多々あるアップデートをできる限り早急にダウンロードし、インストールすることを勧める

詳細：
マイクロソフトのパッチデーとリリース日が重なっているアドビのパッチデーは年に4回と決まっているが、ゼロデイFlashの一般環境下における悪用が最近出回っているため、アドビは予定前にパッチをリリースするようになってきた。そして今日、アドビはAndroidを含むすべてのプラットフォーム対象のReader、Acrobat、Flash PlayerのゼロデイFlash脆弱性を修正するセキュリティ・アドバイザリを2件公開した。 2つのアドバイザリは、それぞれ別のソフトウェアを取り上げているが、修正したのは同じコアFlash関連の脆弱性だ。この詳細については過去に説明したので記憶に新しい読者もいるだろう。アドビはいつものごとく、ゼロデイ欠陥の詳細については説明していないが、この欠陥がauthplay.dll に起因しているとは述べている。authplay.dll は、今回焦点が当てられている3つの脆弱な製品が使用している機能である。

攻撃者は、ユーザをウェブサイトに誘導したり、有害なFlashコンテンツが入ったPDFをユーザがダウンロードするように仕向けると、欠陥を悪用しユーザの特権でコードを実行できるようになる。また、被害者のプラットフォームでユーザに管理者やルート特権があった場合、攻撃者はそのコンピュータを完全に操作できるようになる。 最初の記事と同様に、アドビがこの欠陥の存在を知る以前に、攻撃者達は一般の環境下でその悪用を始めていた。おそらく大方のユーザがそうだろうとは思うが、影響を受けているソフトウェアを使用している場合はアドビのアップデートを至急インストールすることを勧める。 アップデート詳細については、アドビのセキュリティ・アドバイザリを参照にすることを勧める。

• アドビ（日本版）のセキュリティ・アップデート（抄訳）
• APSB11-05:2001年3月のFlash Playerアップデート
• APSB11-06 :2001年3月のReaderとAcrobatのアップデート

対策：
アドビによるReader/Acrobat/Flash Playerを対象としたアップデートをインストールすれば、この欠陥を修正することができる。使用しているソフトウェアが次のリストにある場合は、できる限り早急に状況に適したアップデートをダウンロードしデプロイするか、アドビの自動アップデート機能に任せることを勧める。

注記：　
アドビはこの脆弱性に対応するReader Xのアップデートをまだリリースしていないが、Reader Xのdefault sand-boxing 技術はデフォルトでこの欠陥からユーザを保護できるはずだ。とはいっても、Reader Xのアップデートは後日、用意されることだろう。

• APSB11-05:
• Flash Player 10.2.153.1
• Flash Player 10.1.53.64 （Android ） <= （このリンクはAndroidのみアクセス可能）
• Google Chrome (w/Flash 10.2.154.25)
• AIR 2.6
• APSB11-06 :
• Adobe Reader
• Windows
• Mac
• Adobe Acrobat
• Standard /Pro （Windows）
• Pro Extended （Windows）
• Pro （Mac）

ウォッチガードユーザ：
WatchGuardのFirebox製品の中には、ウェブ（HTTP)やメール（SMTP、POP3 ）を介して特定の種類のファイルをユーザがダウンロードできないように設定できるものもある。望むのであれば、Fireboxのプロキシ・サービスを使って一時的にアドビ関連の様々なファイル（PDF/.SWF/.DIR/.DCR/.FLV）を遮断し、リスクを軽減させることも可能だ。　とはいっても、インタラクティブなコンテンツをウェブサイトで表示するため、その種のファイルに依存しているサイトは多い。また、ファイル共有の際にPDFファイルに依存しているビジネスも多く、そうしたファイルを遮断してしまうと、サイトが適切に機能しなくなったり、正当なファイルまでも遮断してしまうことになるため、上記のアップデートを取り入れることを勧める。 それでも問題のアドビ関連ファイルをネットワークから遮断したいというのであれば、次のリンクを参照してFireboxプロキシのコンテンツ・ブロッキング機能を使い、拡張子別にファイルを阻止することができる。

• 10.xを使用しているFirebox X Edge
• FTP プロキシでファイルを遮断するには？
• HTTP プロキシでファイルを遮断するには？
• POP3 プロキシでファイルを遮断するには？
• SMTP プロキシでファイルを遮断するには？
• Fireware 10.xを使用しているFirebox X Core やX Peak
• FTP プロキシでファイルを遮断するには？
• HTTP プロキシでファイルを遮断するには？
• POP3 プロキシでファイルを遮断するには？
• SMTP プロキシでファイルを遮断するには？

ステータス：
アドビのアップデートはこうした脆弱性を修正している。

参考資料：

• アドビ（日本版）のセキュリティ・アップデート（抄訳）
• Adobe Flash Player のセキュリティアドバイザリ
• Adobe Readerのセキュリティアドバイザリ

この記事はコーリー・ナクライナーCISSPにより調査され書かれたものです。(ツイッター：@SecAdept)

続きを読む»

アップル 2011年最初のOS Xパッチで57の脆弱性を修正

2011年3月21日

概要：

• 対象：
  OS X 10.5.x (Leopard)　/　OS X 10.6.x (Snow Leopard)
  


• 悪用方法：
  攻撃者が有害なウェブサイトにユーザを誘導したり、様々なドキュメントや画像をユーザがダウンロードするように仕向けるなど、様々な攻撃方法がある
  


• 影響：
  結果は様々だが、最悪の場合には攻撃者がユーザのコンピュータでコードを実行できる
  


• 対策：
  OS Xの管理者は、OS X 10.6.7 またはセキュリティアップデート2011-001をできる限り早急にダウンロードし、テストしてからインストールするか、アップルのソフトウェア・アップデートで必要なアップデートを自動的にダウンロードすることを勧める

詳細：
米国時間の3月21日、アップルは現バージョンのOS Xで発見された脆弱性を修正するセキュリティアップデート をリリースした。このアップデートでは、OS XやOS X Serverの一部として出荷されている26のコンポーネント（Apache/Quicktime/ClamAVなど）で発見された、およそ57件のセキュリティ問題を修正している（数字はCVE-IDによる情報）。

今回修正された脆弱性はいくつもあるが、その中のいくつかの概要は次の通り：

• Multiple ImageIO バッファ・オーバーフローの脆弱性
  ImageIOは、OS Xが様々な種類の画像ファイルを処理するためのコンポーネントの1つだが、特定の種類の画像ファイル処理に関与するセキュリティ脆弱性の影響を受けている（バッファ・オーバーフロー問題など）。どの欠陥も技術的には異なるが、その大方の対象と影響は同じだ。
  
  攻撃者は細工した画像ファイルを被害者に閲覧させ（例えば有害なサイトにそれらをホストするなど）、欠陥のいずれかを悪用してアプリケーションをクラッシュさせたり、被害者のコンピュータで攻撃用コードを実行したりする。とはいっても、攻撃者はデフォルトにより、そのユーザの特権でのみコードを実行することができる。
  
  影響を受けている画像の種類：　JEPG/TIFF/XBM
  


• ATSの脆弱性（多数）
  ATS（アップル・タイプ・サービス）は、OS Xでフォント処理を実行するために使う機能だが、ある特定の埋め込みフォント処理に関与するメモリ関連の脆弱性の影響をいくつも受けている。
  
  攻撃者は細工したフォントを入れた悪質な文書ファイルをユーザにダウンロードさせ、それをユーザが閲覧するように仕掛けると、欠陥を悪用してユーザのコンピュータでコードを実行できるようになる。但し、攻撃者はデフォルトにより、そのユーザの特権でのみコードを実行することができる。
  


• Quicktimeの脆弱性（5）
  Quicktimeは、OS X（およびiTunes）に搭載されている人気のメディア再生機能だが、特定の画像やビデオファイル処理に関与する5つのセキュリティ問題を抱えている（数字はCVE-IDによる情報）。それらはどれも技術的に異なるが、大方の対象と影響は同様である。
  
  攻撃者は、悪質に細工した画像やQuicktimeで見せるビデオをユーザに閲覧させ、いずれかの欠陥を悪用しユーザの特権でコードを実行できるようになる。
  

アップルのアラートは、この他にも多々あるコード実行の脆弱性や、サービス拒否 (DoS)、情報開示問題、クロスサイトスクリプティング（XSS）についても説明している。

今回のセキュリティアップデートで修正されたコンポーネント： 詳細についてはアップルの OS X 10.5.x と10.6.x アラートを参照することを勧める。 また、アップルは過去数週間においてセキュリティ・アップデートをいくつもリリースしている。例えば、今月上旬にここで報告したJavaアップデートの他にも、下記製品を対象としたセキュリティ関連のアップデートも公開している。

• Apple TV 4.2
• Safari 5.0.4（OS X/Windows）
• iOS 4.3（iPhone/iPad/iPod）

上記製品を使用している場合はアップデートを取り入れるか、アップルの自動ソフトウェア・アップデート機能に任せることを勧める。

対策：
アップルはOS X セキュリティアップデート2011-001 とOS X 10.6.7をリリースし、こうしたセキュリティ問題を修正している。OS X管理者は、状況に適したアップデートをできる限り早急にダウンロードし、テストしてからインストールすることを勧める。

• セキュリティ・アップデート2011-001 (Leopard)
• セキュリティ・アップデート 2011-001 (Leopard Server)
• OS X 10.6.7 アップデート
• OS X 10.6.7 アップデート（初期の2011 Macbook Pro）
• OSX Server 10.6.7 アップデート
• OS X 10.6.7 アップデート・コンボ
• OSX Server 10.6.7 アップデート・コンボ

注意：
使用しているOS Xに、どのパッチをあてがうべきか定かでない場合は、OS Xのソフトウェア・アップデート機能を使って自動的に必要なアップデートをインストールする方法を勧める。

全ユーザへ：
こうした欠陥は、様々な悪用方法を可能にすることができる。中には、ぺリメータファイアウォールが攻撃に関わることのないローカルのものもある（部署間にファイアウォールを設置している場合は別）。このため、アップデートをインストールすることがもっとも安全な対策といえるだろう。

ステータス：
アップルがリリースしたアップデートで欠陥を修正することができる。

参考資料：

• 2011年3月のOS X 10.5x /10.6.x セキュリティ・アップデート
  

この記事はコーリー・ナクライナーCISSPにより調査され書かれたものです　(ツイッター：@SecAdept)。

続きを読む»

Microsoft Groove2007のコード実行問題
危険度：中

2011年3月8日

概要：

• 対象：
  Microsoft Groove 2007サービス（Office 2007のバージョン・シリーズに搭載されている場合もある）


• 悪用方法：
  細工済みのGrooveファイルをユーザが開くように誘導する


• 影響：
  最悪の場合、攻撃者はユーザのコンピュータを完全に操作できるようになる


• 対策：
  状況に適したGrooveのアップデートを至急インストールするか、マイクロソフトの自動アップデート機能に任せること

詳細：
Microsoft Groove（現在はMicrosoft SharePoint Workspaceと呼ばれている）は、ドキュメント・コラボレーションのプログラムで、オンライン・チームやオフラインのメンバーと、ワークスペースを共有できるようにするものだ。文書ファイルを編集すると、自動的に共有しているワークスペースとその変更したデータの同期が行われる。GrooveはMicrosoft Office 2007のEnterprise版とUltimate版に搭載されている。 マイクロソフトはパッチの日にリリースしたセキュリティアドバイザリで、Microsoft Groove 2007サービスに影響している深刻な脆弱性について説明した。不安定なDLL（ダイナミックリンクライブラリ）のローディング技術に関係するこの欠陥は、過去のセキュリティアドバイザリでも説明されていた。細工済みのDLLと同じネットワーク・ディレクトリにある不正細工済みのGroove関連ファイル（.vcg/.gta）をユーザが開くように誘導すると、攻撃者はこの脆弱性を利用し、ユーザの特権を自分のものにした状態で、そのコンピュータでコードを実行できるようになる。ユーザにローカル管理者の特権がある場合、攻撃者はこれを利用することでユーザのコンピュータを完全に操作できるようになる。

対策：
Microsoft Groove 2007 Service のアップデートをダウンロードし、テストしてからネットワークに取り入れるか、Windowsの自動アップデート機能に任せることを勧める。

ウォッチガードユーザ：
自分の仕事環境に合うならば、HTTPやSMTPおよび（もしくは）POP3プロキシを使って、こうした脆弱性を誘発するために使われるGrooveに関連のファイル(.vcg /.gta) をネットワークから遮断することも可能だ。とはいっても、そうすることで問題のないGrooveファイルもユーザがダウンロードできなくなってしまうので、上記のアップデートをインストールすることを勧める。 それでもウォッチガードのプロキシ機能を使って、こうした種類のファイルを阻止したいというのであれば、次の手順を参照にすることを勧める。

• 10.xを使用しているFirebox X Edge

FTP プロキシでファイルを遮断するには？
HTTP プロキシでファイルを遮断するには？
POP3 プロキシでファイルを遮断するには？
SMTP プロキシでファイルを遮断するには？

• Fireware 10.xを使用しているFirebox X Core やX Peak

FTP プロキシでファイルを遮断するには？
HTTP プロキシでファイルを遮断するには？
POP3 プロキシでファイルを遮断するには？
SMTP プロキシでファイルを遮断するには？

ステータス：
マイクロソフトは、この脆弱性を修正するアップデートをリリースしている。

参考資料：
マイクソフト・セキュリティアドバイザリ：MS11-016
マイクロソフトセキュリティアドバイザリ（一覧）
この記事はコーリー・ナクライナーCISSPにより調査され書かれたものです。

続きを読む»

Media PlayerとRDPの脆弱性を修正するWindowsアップデート
危険度：高


2011年3月8日

概要：

• 対象：
  現バージョンのWindowsと、それに搭載されているコンポーネント
  
• 悪用方法：
  細工したファイルをユーザが開くように誘導する（メディアファイルもしくはRDP設定ファイル）
  
• 影響：
  最悪の場合は、攻撃者が被害者のWindowsコンピュータを完全に操作できるようになる
  
• 対策：
  状況に適したマイクロソフトのパッチを至急インストールするか、マイクロソフトの自動アップデート機能に任せること

詳細：
3月8日、マイクロソフトはWindowsとそれに搭載されているコンポーネントに影響する3つの脆弱性について説明した2件のセキュリティアドバイザリを公開した。各脆弱性による影響はWindowsバージョンにより異なり、その度合いも違うが、リモート攻撃者は中でも悪質な欠陥を利用してユーザのWindows PCを完全に操作できるようになる。

脆弱性の危険度が高いものから順に説明した概要は次の通り：

• MS11-015
  Windows Media関連のコード実行問題（2）

Windowsには、メディアファイルの再生に使う様々なコンポーネントが搭載されている。特に、DirectShowやWindows Media Player、Windows Media Centerなどは2つのセキュリティ脆弱性の影響を受けており、攻撃者はそれを悪用して、ユーザのWindowsコンピュータでコードを実行できるようになる。攻撃者は、細工済みのWindows Media Playerファイルを（.wtv/.drv-ms/.mpgなど）ユーザが開くように誘導すると、いずれかの欠陥を利用し、ユーザの特権を自分のものにした状態で、そのコンピュータでコードを実行できる。さらに、ユーザにローカル管理者の特権があると、攻撃者はこの問題を利用してユーザのコンピュータを完全に操作できるようになる。欠陥の1つは、細工したMedia Playerファイルが有害なDLLファイルと同じ場所にある必要があるため、その悪用は幾分困難であるといえるだろう。そうはいっても、こうした欠陥はWindowsを入れているコンピュータに対して深刻なリスクを掲げているため、パッチをできる限り早急に取り入れることを勧める

マイクロソフトの評価：深刻

• MS11-017
  リモートデスクトップの不安定なライブラリ・ローディング問題

RDP （リモートデスクトッププロトコル）は、マイクロソフトのネットワーキング・プロトコルで、別のネットワーク内のコンピュータから、他のWindowsコンピュータのデスクトップを閲覧し、操作できるようにする。Windowsには、この機能をサポートするリモートデスクトップ・クライアントが搭載されているのだが、マイクロソフトによると、リモートデスクトップ・クライアントはDLL（ダイナミックリンクライブラリ）をロードする方法に関係するセキュリティ脆弱性の影響を受けているという。攻撃者は、細工済みのDLLと同じネットワーク・ディレクトリにある有害なリモートデスクトップの設定ファイル(.rdp)をユーザが開くように誘導すると、この脆弱性を利用し、ユーザの特権を自分のものにした状態で、そのコンピュータでコードを実行できるようになる。ユーザにローカル管理者の特権がある場合、攻撃者はこの問題を利用してユーザのコンピュータを完全に操作できるようになる。

マイクロソフトの評価：重要

対策：
マイクロソフトはこうした脆弱性をすべて修正するWindows用のパッチをリリースしている。状況に適したパッチを至急ダウンロードし、テストしてからネットワーク全体に取り入れること。また、別の方法としてはマイクロソフトの自動アップデート機能を使い、自動的にその作業を行うという方法もある。
MS11-015

• Windows XP Media Center Edition (w/SP3)
• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Vista (w/SP1 /SP2)
• Windows Vista x64 (w/SP1 /SP2)
• Windows 7 (w/SP1)
• Windows 7 x64 (w/SP1)
• Windows Server 2008 R2 x64 (w/SP1) *

注意*Server Core インストールへの影響はなし

注記：日本語版をダウンロードする場合は「Change Language」のドロップダウンメニューから「Japanese」を選択 MS11-017

• リモートデスクトップ・クライアント5.2
• Windows XP (w/SP3)
• リモートデスクトップ・クライアント6.x
• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• RDP クライアント（普通版）
• 多言語ユーザ・インターフェイス（MUI)
• Windows Server 2003 x64 (w/SP2)
• Windows Vista (w/SP1 /SP2)
• Windows Vista x64 (w/SP1 /SP2)
• Windows Server 2008 (w/SP2) *
• Windows Server 2008 x64 (w/SP2) *
• Windows Server 2008 Itanium (w/SP2)
• リモートデスクトップ・クライアント7.0
• Windows XP (w/SP3)
• Windows Vista (w/SP1 /SP2)
• Windows Vista x64 (w/SP1 /SP2)
• Windows 7
• Windows 7 x64
• Windows Server 2008 R2 x64 *
• Windows Server 2008 R2 Itanium

注意*Server Core インストールへの影響はなし

ウォッチガードユーザ：
自分の仕事環境に合うならば、HTTPやSMTPおよび（もしくは）POP3プロキシを使って、脆弱性を誘発するために使われるWindows Media PlayerやRDP関連のファイルを(.rdp/.wtv/ .drv-ms/.mpgなど) ネットワークから遮断することも可能だ。とはいっても、そうしたファイルは正当な目的で使われることが多いので、ネットワークから遮断してしまうと、ユーザがインターネットで特定のメディアにアクセスできなくなるだろう。そのため、上記のアップデートをインストールする方法を勧める。 それでもウォッチガードのプロキシ機能を使って、このような種類のファイルを阻止したいというのであれば、次の手順を参照にすることを勧める。

• 10.xを使用しているFirebox X Edge

FTP プロキシでファイルを遮断するには？
HTTP プロキシでファイルを遮断するには？
POP3 プロキシでファイルを遮断するには？
SMTP プロキシでファイルを遮断するには？

• Fireware 10.xを使用しているFirebox X Core やX Peak

FTP プロキシでファイルを遮断するには？
HTTP プロキシでファイルを遮断するには？
POP3 プロキシでファイルを遮断するには？
SMTP プロキシでファイルを遮断するには？

ステータス：
マイクロソフトは、こうした問題を修正するためのパッチをリリースしている。
参考資料：
マイクロソフトのセキュリティアドバイザリ（一覧）
この記事はコーリー・ナクライナーCISSPにより調査され書かれたものです。

続きを読む»

コード実行を阻むOS X Javaのアップデート
2011年3月8日

概要：

• 対象：
  OS X 10.5.x (Leopard)とOS X 10.6.x (Snow Leopard)


• 悪用方法：
  細工済みのJavaアプレットを載せた有害なウェブサイトにユーザを誘導する


• 影響：
  最悪の場合、攻撃者はユーザの特権を自分のものにしてから、そのコンピュータでコードを実行する


• 対策：
  Java for OS X 10.5 Update 9 またはJava for OS X 10.6 Update 4をできる限り早急にインストールするか、アップルの自動アップデート機能を使うこと

詳細：
3月8日、アップルはOS X 10.5.x とOS X 10.6.xを対象としたJavaのセキュリティ・アップデートについて、
2件のアドバイザリをリリースした[1/2] 。このアドバイザリは、OS XのJavaコンポーネントで発見された16の脆弱性について警告している（数字はCVE-IDより）。 しかし、アップルは欠陥の詳細については説明しておらず、中でも悪質な欠陥による潜在的影響についてのみ情報を提供している。攻撃者は、細工済みのJavaアプレットを含む有害なウェブサイトにユーザを誘導するといずれかのJava欠陥を悪用し、ユーザのOS Xコンピュータでコードを実行したり、特権昇格を行うことができる。ただし大方のケースにおいて、攻撃者はその時点でログインしているユーザの特権しか獲得することができず、OS Xユーザにはルートや管理者アクセス権がない。 とはいっても、できる限り早急にアップルが提供しているOS X Javaのアップデートをインストールすることが賢明だろう。


対策：
アップルはこうした欠陥を修正するためにJava for OS X 10.5 Update 9 [dmg file] と Java for OS X 10.6 Update 4 [dmg file] をリリースしている。OS X 10.5.xや10.6.xを入れているコンピュータを管理している場合は、このアップデートをできる限り早急にダウンロードしてネットワークに取り入れるか、OSXの自動ソフトウェア・アップデート機能に任せてアップデートをインストールすることを勧める。

ウォッチガードユーザ：
中には、有害なJavaバイトコードを含むウェブページに行くことに依存する脆弱性もあるが、ほとんどのFirebox製品シリーズに搭載されているHTTPプロキシポリシーは、自動的にJavaバイトコードをネットワークから遮断するようになっているので、こうした脆弱性によるリスクをいくらか緩和させている。

ステータス：
アップルは、こうした問題を修正するためのJavaアップデートをリリースしている。

参考資料：
アップルのOS X 10.5 Java アップデート9 のアドバイザリ
アップルのOS X 10.6 Java アップデート4 のアドバイザリ
アップルのソフトウェア・ダウンロード
セキュリティ・アップデート2010-004 (Leopard)
この記事はコーリー・ナクライナーCISSPにより調査され書かれたものです。

続きを読む»

セキュリティ脆弱性（11）を修正
リリースが遅れたMozillaのFirefox 3.6.14アップデート

2011年3月2日

概要：

• 対象：
  Windows/Linux/ Macintosh対応のFirefox 3.6.xとFirefox 3.5.x
  
• 悪用方法：
  典型的なのは有害なウェブページにユーザを誘導する方法
  
• 影響：
  結果は様々だが、最悪の場合、攻撃者はユーザのコンピュータで攻撃用コードを実行し、そのコンピュータを完全に操作できるようになる
  
• 対策：
  Firefox 3.6.14 (または3.5.17)バージョンにアップグレードするか、Firefoxの自動アップデート機能に任せること

詳細：
米国時間の3月1日、Mozillaは同社の人気のマルチプラットフォーム・ウェブ・ブラウザ「Firefox」で発見された11件のセキュリティ脆弱性を修正するアップデートをリリースした（数字はCVEから）。Mozillaは大方の脆弱性を深刻レベルの問題と見なしている。つまり、ユーザがいつも通りにウェブをブラウズしている間に、攻撃者は脆弱性を利用してコードを実行、ソフトウェアをインストールできるようになる。Firefox 3.6.13バージョンの中でも、もっとも深刻な問題である3つの概要は次の通り。

• JPEG関連のコード実行問題（2011-009）
  
  Firefoxは、JPEG画像のデコードに関係するコード実行欠陥の影響を受けている。攻撃者は有害なJPEG画像を載せたウェブページにユーザを誘導し、バッファ・オーバーフローを利用してFirefoxをクラッシュさせたり、ユーザの特権を自分のものにしてから、そのユーザのコンピュータで悪質なコードを実行したりする。また、ユーザがローカル管理者であった場合やルート特権を持っていた場合は、攻撃者が被害者のコンピュータを完全に操作することも可能になる。
  
  Mozillaによる評価：深刻
  
• JavaScript Engineのバッファ・オーバーフロー問題（2）(2011-04/2011-05)
  
  Mozillaによると、FirefoxのJavaScript Engine はバッファ・オーバーフロー問題（2件）の影響を受けているという。攻撃者は有害なjavascriptを含むウェブページにユーザを誘導し、2つあるバッファ・オーバーフローのいずれかを利用してFirefoxをクラッシュさせたり、ユーザの特権を得た状態で、そのユーザのコンピュータで悪質なコードを実行できるようになる。また、例によってユーザに管理者特権があった場合、攻撃者はそのコンピュータを完全に操作できるようになる。
  
  Mozillaによる評価：深刻
  
• メモリ破損問題（2） (2011-01)
  
  Mozillaのアップデートが修正した脆弱性の中には、最低でもFirefoxをクラッシュさせることができる「セーフティ」関連のメモリ破損問題もある。Mozillaのアラートでは、Firefoxのブラウザ・エンジンに関与する問題、という以外に詳細は語られていない。しかし、攻撃者が充分な努力を費やせば、メモリ破損欠陥のいくつかを悪用して被害者のコンピュータで任意コードを実行できるようになるだろう、とMozillaは推測している。しかし、それにはまず攻撃者がユーザを有害なウェブページに誘導しなければならない。ユーザがその罠に掛かれば、攻撃者はそのユーザの特権を獲得した状態で有害なコードをユーザのコンピュータで実行できるようになる。また、ユーザがローカル管理者だったり、ルート特権を持っていた場合、攻撃者はその被害者のコンピュータを完全に操作することもできる。
  
  Mozillaによる評価：深刻

Mozillaのアラートは、この他にも深刻な脆弱性について説明している。その多くは、攻撃者がユーザを有害なウェブページに誘導するだけで、コード実行を可能にできるものである。Firefox 3.6.14が修正した脆弱性リストについては、Mozillaの「Known Vulnerabilities 」のページを参照することを勧める。また、こうした脆弱性の中にはFirefox 3.5.x.に影響しているものもあるので、3.5.xシリーズを使用している場合は3.6.14に移行することを勧める。とはいっても、どうしても3.5.xでなければならないというユーザのために、Mozillaはレガシー・バージョン用のアップデート（3.5.17）も用意している。 ところで、Mozillaはこのアップデートを2月初旬にリリースする予定でいたが、修正が困難な問題があったためリリースが遅れた。このアップデートは未解決問題の修正も入っているので、できる限り早急にこれをダウンロードし、インストールすることを勧める。

対策：
Mozillaはこうしたセキュリティ脆弱性を修正する Firefox 3.6.14と3.5.17をリリースしているので、ネットワークでFirefoxを使用している場合は、できる限り早急にバージョン3.6.14をダウンロードし取り入れることを勧める。何らかの理由でFirefox 3.5.xでなければならないという場合は、3.5.17にアップグレードすること。 注記：
Firefoxの最新バージョンである3.6.xは、Firefoxのアップデートが入手可能になると自動的にユーザに知らせるようになっている。この機能はMozillaのリリースをいち早く知ることができるため、オンにしておくことを強くすすめる。Firefoxがアップデートを自動チェックするように設定してあるか確認するには、Tools（ツール） => Options （オプション）=> Advanced（アドバンス）タブ=> Update（アップデート）タブでできる。その際、「Automatically check for updates（アップデートを自動チェック）」でFirefoxのボックスがチェックされていることを確認すること。このメニューでは、あらゆるアップ デートをFirefoxが常にダウンロードするように設定したり、アップデートが入手可能になっていることを知らせるだけに設定することもできる。 ちなみに、攻撃者はJavaScriptなしにはこうした脆弱性の多くを利用することができないので、JavaScriptをデフォルトで無効にしておくのもウェブベースの脆弱性からネットワークを守る手段になる。Firefoxを使用している場合は、JavaScriptやその他のアクティブ・スクリプトをデフォルトで無効にすることができるNoScriptエクステンションをインストールしておくといいだろう。
全ユーザへ：
この攻撃は通常のHTTPトラフィックに見せかけた状態で移動するが、ユーザがウェブにアクセスできるようにするにはHTTPトラフィックがファイアウォールを通過できるように許可しておかなければならないため、パッチを利用することが最善策となるだろう。
ステータス：
Mozillaはこうした脆弱性を修正するFirefox 3.6.14 をリリースしている。
参考資料：

• Firefox 3.6.14 リリースノート
• Fixed in Firefox 3.6.14で修正された脆弱性

この記事はコーリー・ナクライナーCISSPにより調査され書かれたものです。

続きを読む»

Oracle (Sun) のアップデート 深刻な21件のセキュリティホールを修正


危険度：高

2011年2月16日

概要：

• 対象：
  2月14日までにリリースされたSun Java実行環境（JRE）とJava開発キット（JDK）の全バージョン（Windows/Solaris/Linuxプラットフォーム用）
• 悪用方法：
  細工済みのJavaを含む悪質なウェブページにユーザを誘導するなど、様々な攻撃方法がある
• 影響：
  結果は様々だが、最悪の場合ユーザのコンピュータを攻撃者が完全に操作できるようになる
• 対策：
  できる限り早急に状況に適したJRE（またはJDK)をインストールすること

詳細：
サン・マイクロシステムズが最初に施行したプログラミング言語のJavaは、ウェブページを向上させるためによく使われているものだ。近頃のオペレーティングシステムは、大方Javaインタープリタを実行することでウェブサイトや他からのJavaコードを認識しプロセスしているのだが、OracleのSun JRE は現在使われているJavaインタープリタの中でも最も人気がある。 ところが、Oracleは2月15日にセキュリティアラートをリリースし、WindowsやSolaris、Linux用のSun JREとSun Java SDKの前バージョンに影響する脆弱性21件について警告した。各脆弱性の技術面は大きく異なるものの、攻撃者は細工済みのJavaを含む悪質なウェブページにユーザを誘導することで、その多くを似たような方法で悪用できるという。そして最悪の場合、ユーザがそうしたサイトに行ってしまうと、攻撃者はJava欠陥をいくつか利用し、ユーザのコンピュータで攻撃用コードを実行できるようになる。また、ユーザにローカル管理者の特権があった場合、攻撃者は欠陥を利用し、ユーザのコンピュータを完全に操作できるようになる可能性もある。さらに、脆弱性の中には攻撃者がサービス拒否攻撃を仕掛けられるようにしたり、ユーザのコンピュータにある機密情報を暴露してしまうものもある。 ドライブバイ・ダウンロード攻撃において攻撃者達が新しいJavaの脆弱性を利用しているケースが増えているため、このJavaアップデートはかなり深刻なものといえる。Javaは大方のユーザが使っているものだが、それをインストールしている場合はできる限り早急にOracleのアップデートをダウンロードし、インストールすることを勧める。
対策：
Sunはこうした問題を修正するJREやSDKのアップデートをいくつもリリースしているので、Sun JREをネットワークで使用している場合は、できる限り早急に状況に適したアップデートをダウンロードし、導入することをすすめる。

JRE /JDK 6.0
Update24 のダウンロード先
Oracleの日本版サイト 前リリースのJavaはサポート終了日または製造中止日をすでに迎えている。詳細はこちらを参照。

注記：　
Sun JREクライアントは、アップデートがあることを自動的に知らせるようになっている場合もあるので、その場合は自動機能に任せること。
ウォッチガードユーザ：
WatchGuardのFirebox製品の中には、ユーザがウェブサイトからJavaアプレットをダウンロードできないようにするものもあるが、その方法を取ると正当なウェブサイトまでJavaアプレットを使えないようになってしまう点に注意しよう。Javaアプレットを遮断したくない場合は、状況に適したSun JREアップデートをできる限り早急にダウンロードすることを勧める。また、Javaアプレットを遮断しても、そのリスクを緩和できる脆弱性は限られているためSunのアップデートを導入することが主な対策となる。 FireboxのHTTPプロキシを使ってJavaアプレットをネットワークから遮断するには、HTTP ProxyアドバンスFAQの「Deny Java Applets」を参照にすることを勧める。
ステータス：
Sunは問題を修正するアップデートをリリースしている。
参考資料：
Oracleの2011年2月Javaセキュリティアドバイザリ
SecuniaによるJavaアドバイザリ
この記事はコーリー・ナクライナーCISSP（Corey Nachreiner, CISSP）により調査され執筆されました。

続きを読む»

Adobeのパッチデーに公開されたReader/Shockwave/Flashのアップデート

危険度：高

2011年2月10日
概要：

• 対象：
  最近のバージョンのAdobe Reader/Acrobat/Shockwave/Flash/ColdFusion
• 悪用方法：
  様々な方法があるが、一般的なのは悪質なFlashやReader、Shockwaveなどを含むウェブサイトにユーザを誘導する方法
• 影響：
  最悪の場合、攻撃者はユーザのコンピュータで攻撃用コードを実行し、そのコンピュータを完全に操作できるようになる可能性がある
• 対策：
  Adobeの人気製品を使用している場合は、いくつもあるアップデートをできる限り早急にダウンロードし、インストールすることを勧める

詳細：
Adobeが年に4回リリースするパッチデーは、マイクロソフトの「Black Tuesday」（毎月第2火曜日）と同じ日であるためマイクロソフト・アップデートの波に押されがちだ。しかし、攻撃者達が第三者のプログラムを使い、こうした欠陥を標的にしているケースが上昇しており、Adobeの数あるパッチを重要なものにしている。

2月8日にAdobeは人気のアプリケーションに見られるセキュリティ欠陥をいくつも修正するアップデートを含んだ4件のセキュリティアドバイザリを公開した。影響を受けているソフトウェアはReader/Acrobat/Shockwave/Player/Flash Player/Coldfusionだ。


各セキュリティアドバイザリの概要：
APSB11-01:
21件の脆弱性を修正するShockwave のアップデート Adobe Shockwave Playerは、Shockwaveというインタラクティブな動画ウェブコンテンツやムービーを表示することができる。Adobeによると、Shockwave Playerは4億5000万台ものPCにインストールされているという。 しかし、AdobeはWindowsやMacintoshに入れているShockwave Player 11.5.9.615（それ以前のバージョンも含む）が、21件の深刻な脆弱性の影響を受けていると警告。Adobeがリリースしたアドバイザリには欠陥の技術詳細の説明はないが、各欠陥の性質とその基本的な影響については解説している。大方、こうした欠陥は未特定のメモリ破損の脆弱性から成り立っていて、どれも技術的には異なるが、その大体の対象と影響を及ぼす範囲は同じである。悪質なShockwaveコンテンツを含むウェブサイトにユーザを誘導すると、攻撃者は脆弱性を悪用し、ユーザの特権を獲得した上で、そのユーザのコンピュータでコードを実行できるようになる。また、ユーザにローカル管理者の特権がある場合、攻撃者は欠陥を利用して被害者のPCを完全に操作できるようにもなる。

危険度： 深刻
APSB11-02 :
13件のセキュリティ欠陥を修正するFlashのアップデート Adobe Flash Playerは、Flashというウェブコンテンツになるインタラクティブな動画を表示することができる。Secuniaによる最近の統計によると、Adobe Flash PlayerをインストールしているWindowsコンピュータは全体の99％もあるそうなので、おそらく君のユーザ達のコンピュータにもFlashは入っていることだろう。 AdobeのアップデートはFlash Playerに見られる13件のセキュリティ脆弱性を修正しているが（Windows/Mac/Linux/Solaris対象）、その技術詳細については触れていない。とはいっても、欠陥が影響を及ぼす範囲については説明している。最悪の場合、攻撃者は悪質なウェブサイトにユーザを誘導し、いずれかの欠陥を利用してユーザのコンピュータを操作できるようになるが、おそらく攻撃者はログインしているユーザの特権しか獲得することはできないだろう。しかし、大方のWindowsユーザはローカル管理者の特権を持っているため、攻撃者がWindowsを完全に操作できるようになる可能性も十分にある。

危険度： 深刻
APSB11-03:
29件のセキュリティ欠陥を修正するReaderのアップデート AdobeはWindowsやMac、UNIXで使用している Adobe Reader X やAcrobat X、およびそれ以前のバージョンに影響している29件のセキュリティ脆弱性についてセキュリティアドバイザリで説明している（数字はCVE-IDによる）。欠陥はそれぞれ技術面では異なるが、様々なコード実行の欠陥から成り立つものが大半で、その影響と範囲は同様だ。最悪の場合、攻撃者は細工済みの悪質なPDFドキュメント(.pdf)をユーザがダウンロードして開くように誘導し、こうした脆弱性をいくつも悪用してユーザのコンピュータでユーザの特権を使い、コードを実行できるようになる。また、ユーザにローカル管理者の特権が備わっていた場合、攻撃者はユーザのマシーンを完全に操作することも可能になる。

去年、ライブセキュリティは攻撃者が Adobe Readerのような第三者のアプリケーションを標的にするケースが増えるだろうと予想した。攻撃者によりもっとも悪用されているアプリケーションはAdobe Readerであることがいくつも確認されており、この予想が当たったことを証明している。こうした理由から、Readerのアップデートを至急ダウンロードし、インストールすることを勧める。

危険度： 深刻
APSB11-04
5件の脆弱性を修正するColdFusion のHotfix AdobeのColdFusionは、ウェブアプリケーションを開発しデプロイできるようにするアプリケーション・サーバだ。 しかしAdobeによると、(Win/Mac/UNIX) で使用しているColdFusion 9.0.1は、5つのセキュリティ脆弱性の影響を受けているという。中でも悪質なのはクロスサイト・スクリプティング（XSS） の脆弱性で、被害者のサイト訪れるユーザのクッキーやセッションをハイジャックすることができる。ColdFusionは一番人気のサーバではないので、この欠陥の影響を受けるウォッチガード・ユーザはそれほど多くはないだろう。

危険度：重要
対策： Adobeは脆弱性の影響を受けているソフトウェアすべてに対してアップデートをリリースしているので、使用しているソフトウェアが次のリストにある場合は、できる限り早急に状況に適したアップデートをダウンロードしデプロイするか、Adobeの自動アップデート機能に任せることを勧める。 APSB11-01:Shockwave 11.5.9.620にアップグレード
APSB11-02:Flash 10.2.152.26にアップグレード

APSB11-03 Adobe Reader Windows
Mac Unixのアップデートは2月28日にリリース予定。 Adobe Acrobat Standard /Pro （Windows）
Pro Extended （Windows）
3D（Windows）
Pro （Mac）

APSB11-04
ColdFusion Hotfixをダウンロード し、インストールすることを勧める。

ウォッチガードユーザ：
WatchGuardのFirebox製品の中には、ウェブ（HTTP)やメール（SMTP、POP3 ）を介して特定の種類のファイルをユーザがダウンロードできないようにするものもある。また、Fireboxのプロキシ・サービスを使って一時的に Adobe関連の様々なファイル（.PDF/.SWF/.DIR/.DCR/.FLV）を遮断し、リスクを軽減させることも可能だ。

とはいっても、インタラクティブなコンテンツをウェブサイトで表示できるようにするため、こうしたファイルに依存しているサイトは多い。つまり、この種のファイルを遮断してしまうと、サイトが適切に機能しなくなるほか、ファイル共有にPDFファイルを使うビジネスも多いため、正当なファイルまでも遮断してしまうことになる。このため、上記のアップデートを取り入れることが対策としては賢明だろう。 それでも問題のAdobeファイルをネットワークから遮断したいという場合は、次のリンクを参照してFireboxプロキシのコンテンツ・ブロッキング機能を使い、ファイル拡張子別にファイルを阻止できる。 10.xを使用しているFirebox X Edge FTP プロキシでファイルを遮断するには？
HTTP プロキシでファイルを遮断するには？
POP3 プロキシでファイルを遮断するには？
SMTP プロキシでファイルを遮断するには？
Fireware 10.xを使用しているFirebox X Core やX Peak FTP プロキシでファイルを遮断するには？
HTTP プロキシでファイルを遮断するには？
POP3 プロキシでファイルを遮断するには？
SMTP プロキシでファイルを遮断するには？

ステータス：
Adobe は脆弱性を修正するアップデートをリリースしている。

参考資料：
Adobe Shockwave Playerのセキュリティアドバイザリ
Adobe Flash Player のセキュリティアドバイザリ
Adobe Readerのセキュリティアドバイザリ
Adobe ColdFusionのセキュリティアドバイザリ
Adobeの日本版サイト
この記事はコーリー・ナクライナーCISSP（Corey Nachreiner, CISSP）により調査され書かれたものです。
ご感想はこちらまでお寄せ下さい：your.opinion.matters@watchguard.com LiveSecurity アーカイブまたは弊社日本版サイトをご覧ください。

続きを読む»

2件のVisioコード実行問題

2011年2月8日

危険度：中

概要：

• 対象：
  Visio 2002/2003/2007
• 悪用方法：
  悪性のVisio ドキュメントをユーザが開くように仕掛ける
• 影響：
  攻撃者が攻撃用コードを実行した場合、ユーザのコンピュータを完全に操作できるようになる可能性がある
• 対策：
  状況に適したVisioのパッチをできる限り早急に取り入れるか、Windowsの自動アップデート機能に任せること

詳細：
マイクロソフトのVisioは、ネットワーク図などダイアグラムの作図において、多くの管理者が好んで使用しているアプリケーションだ。しかし、米国時間の2月8日に公開したセキュリティアドバイザリで、マイクロソフトはVisioの現バージョンに影響しているセキュリティ脆弱性2件について説明した。技術面は異なるが、どちらの脆弱性においても影響範囲は同じである。

攻撃者はユーザに細工済みのVisioドキュメントをダウンロードさせてそれを開くように仕向けると、どちらかの脆弱性を悪用してユーザの特権と許可権を引き継ぎ、そのコンピュータでコードを実行できるようになる。また、ユーザにローカル管理者の特権が備わっていた場合、攻撃者はユーザのコンピュータを完全に操作できるようになる。
対策： マイクロソフトは問題を修正するアップデートをリリースしているので、状況に適したVisioのパッチをできる限り早急にダウンロードし、テストしてから取り入れるか、Windowsの自動アップデート機能に任せることを勧める。 Visio 2002 Visio 2003 Visio 2007

ウォッチガードユーザ：
自分の仕事環境に合うならば、HTTPやSMTPおよび（もしくは）POP3プロキシを使って、拡張子が「 .VSD」のファイルをネットワークから遮断することもできる。しかし、この方法を使った場合その種のファイルであればそれが正当であろうと、悪質なものであろうと、どちらも受信できなくなる点に注意しよう。

プロキシ機能を使ってVisioファイルを阻止する方法を取る場合は、次の手順を参照にすることを勧める： 10.xを使用しているFirebox X Edge

• FTP プロキシでファイルを遮断するには？
• HTTP プロキシでファイルを遮断するには？
• POP3 プロキシでファイルを遮断するには？
• SMTP プロキシでファイルを遮断するには？

Fireware 10.xを使用しているFirebox X Core やX Peak

• FTP プロキシでファイルを遮断するには？
• HTTP プロキシでファイルを遮断するには？
• POP3 プロキシでファイルを遮断するには？
• SMTP プロキシでファイルを遮断するには？

ステータス：
マイクロソフトは問題を修正するアップデートをリリースしている。

参考資料：

• マイクソフト・セキュリティアドバイザリ：MS11-008
• マイクロソフト・セキュリティアドバイザリ：日本語一覧

この記事はコーリー・ナクライナーCISSP（Corey Nachreiner, CISSP）により調査され書かれたものです。
ご感想はこちらまでお寄せ下さい：your.opinion.matters@watchguard.com その他のアラートなど：LiveSecurity アーカイブまたは弊社日本版サイトをご覧ください。

続きを読む»

IIS FTPサービスのバッファ・オーバーフロー問題

2011年2月8日

危険度：高

概要：

• 対象：
  Windows Vista /2008 /7 /2008 R2 で使用しているIIS FTPサービス
  
• 悪用方法：
  細工したFTPリクエストを送信
  
• 影響：
  最悪の場合、攻撃者が被害者のIISサーバを完全に操作できるようになる
  
• 対策：
  状況に適したIISのアップデートを至急インストールするか、マイクロソフトの自動アップデート機能に任せること

詳細：
IIS（インターネット・インフォメーション・サービス）は、すべてのバージョンのWindowsに搭載されている人気のウェブ兼FTPサーバだ。 マイクロソフトがパッチの日にリリースしたセキュリティアドバイザリには、IISの最新版に搭載されているオプションのFTPサーバに影響している深刻な脆弱性について説明がされている。具体的に説明すると、こういうことだ。まず、IIS FTPサービスは、細工されたFTPコマンド（もっと詳しく言えば、FTPレスポンスの特別にエンコードされた文字列）の処理法に関与するバッファ・オーバーフローの脆弱性の影響を受けている。そして、不正形式のFTPコマンドを送信することにより、攻撃者はこの脆弱性を悪用してユーザのFTPサーバをサービス拒否（DoS) の状態に追い込んだり、それを完全に操作できるようになったりする。攻撃者がこの攻撃を始めるにあたり、FTPサーバに認証する必要はない。 しかし、IISはデフォルトでIIS FTPサービスをインストールしたり、それをスタートさせたりすることはないため、このサービスを意図的にインストールしたりスタートさせたのではない限り、この攻撃において脆弱にはならない。とはいっても、ウェブ管理者が簡単にウェブサイトをアップデートできるようにするため、IISのFTPサービスを有効にしている管理者は多い。もしそのケースにあてはまるならば、この欠陥のリスクは深刻なものと捉えることが賢明だ。 すでに研究者達は、この欠陥のDoSバージョンを立証するPoC（コンセプトの証明） 悪用コードを一般公開しているので、IIS FTPサービス使用の有無にかかわらず、できる限り早急にアップデートをダウンロードし、テストしてからインストールすることを勧める。このアップデートは重要なサーバー・アップデートであるため、実際のウェブサイトにプッシュする以前に、テスト用のサーバで先に試しておくことを強く勧める。 対策： 状況に適したIISパッチを至急ダウンロードし、テストしてからインストールするか、Windowsの自動アップデートに任せることを勧める。

注意：
日本語版をダウンロードする場合は「Choose Language」ドロップダウン・メニューから「Japanese」を選択すること。

• Windows Vista (w/SP1 またはSP2)
• Microsoft FTP Service 7.0 for IIS 7.0
• Microsoft FTP Service 7.5 for IIS 7.0
• Windows Vista x64 (w/SP1 またはSP2)
• Microsoft FTP Service 7.0 for IIS 7.0
• Microsoft FTP Service 7.5 for IIS 7.0
• Windows Server 2008 (w/SP2)
• Microsoft FTP Service 7.0 for IIS 7.0
• Microsoft FTP Service 7.5 for IIS 7.0
• Windows Server 2008 x64 (w/SP2)
• Microsoft FTP Service 7.0 for IIS 7.0
• Microsoft FTP Service 7.5 for IIS 7.0
• Windows 7
• Microsoft FTP Service 7.5 for IIS 7.5
• Windows 7 x64
• Microsoft FTP Service 7.5 for IIS 7.5
• Windows Server R2 2008 x64
• Microsoft FTP Service 7.5 for IIS 7.5
• Windows Server R2 2008 Itanium
• Microsoft FTP Service 7.5 for IIS 7.5

ウォッチガードユーザ：
この攻撃は一見何の問題もないFTPレスポンストラフィックを利用するので、対策としては先述のアップデートの使用を勧める。

ステータス：
マイクロソフトは問題を修正するアップデートをリリースしている。

参考資料：

• マイクソフト・セキュリティアドバイザリ：MS11-004
• IIS FTP の脆弱性に関するISS X-Forceによるアドバイザリ
• マイクロソフト・セキュリティアドバイザリ：日本語一覧

この記事はコーリー・ナクライナーCISSP（Corey Nachreiner, CISSP）により調査され書かれたものです。
ご感想はこちらまでお寄せ下さい：your.opinion.matters@watchguard.com その他のアラートなど：LiveSecurity アーカイブまたは弊社日本版サイトをご覧ください。

続きを読む»

IEの累積アップデート、コード実行の欠陥4つを修正

2011年2月8

危険度：高

概要：
対象：　
現バージョンのWindowsで使用している、最新版のInternet Explorer
悪用方法：
悪質なウェブページにユーザを誘導する方法が一般的
影響：
最悪の場合、攻撃者はユーザのコンピュータで攻撃用コードを実行し、そのコンピュータを完全に操作できるようになる
対策：
状況に適したインターネットエクスプローラのパッチを至急インストールするか、マイクロソフトの自動アップデート機能に任せること
詳細：
米国時間の2月8日、パッチの日にマイクロソフトは新たな4つの脆弱性について説明したセキュリティアドバイザリをリリースした。この問題は、現バージョンのWindows（Windows 7やWindows Server 2008 も対象）で使用しているInternet Explorer(IE) 8.0、およびそれ以前のバージョンに影響している。研究者達はその内の2件はマイクロソフトに内密に報告したが、他2件については一般公開した。マイクロソフトは、この欠陥による危険性を深刻な問題と評価している。 4つの欠陥は技術的には異なるが、その対象と影響を及ぼす範囲は同じである。その大半はIEがCSS（カスケーディング・スタイルシート）など、様々なHTMLやオブジェクトを処理する方法に関係するメモリ破損問題に影響している。悪質なウェブコードを含んだウェブページにユーザを誘導することに成功すると、攻撃者はいずれかの脆弱性を悪用し、ユーザのコンピュータでその特権を得た状態でコードを実行できるようになる。Windowsユーザにはローカル管理者の特権が備わっていることが多いが、その場合、攻撃者は被害者であるユーザのコンピュータを完全に操作できるようになる。また、攻撃者がこの種のコード実行問題を利用し、ドライブバイ・ダウンロード攻撃を仕掛けるケースも頻繁にある。 さらに、最近の攻撃者は正当なウェブページをハイジャックし、悪質なコードで罠を仕掛けたりすることもよくある点に注意しよう。その場合、攻撃者はホストしているウェブ広告、SQLインジェクション、XSS 攻撃などを使うのが典型的な例だ。つまり、すぐ分るようなサイトや本物のサイトであっても、そのようにハイジャックされてしまえばユーザにとってはリスクと成りえるわけだ。 欠陥の技術面の相違点について知りたければ、マイクロソフトのセキュリティアドバイザリにある「Vulnerability Information」を参照することを勧める。しかし技術面を別にしても、このメモリ破損の欠陥はIEにおいて深刻なリスクとなっているので、至急IEの累積パッチをダウンロードしインストールすることを勧める。
対策：
このパッチは深刻な問題を修正しているので、状況に適したIEパッチをできる限り早急にダウンロードし、テストしてからインストールするか、Windowsの自動アップデート機能を使うことを勧める。 注意：
日本語版をダウンロードする場合は「Choose Language」ドロップダウン・メニューから「Japanese」を選択すること。

Internet Explorer 6.0 Windows XP (w/SP3) Windows XP x64 (w/SP2) Windows Server 2003 (w/SP2) Windows Server 2003 x64 (w/SP2) Windows Server 2003 Itanium (w/SP2)
Internet Explorer 7.0 Windows XP (w/SP3) Windows XP x64 (w/SP2) Windows Server 2003 (w/SP2) Windows Server 2003 x64 (w/SP2) Windows Server 2003 Itanium (w/SP2) Windows Vista (w/SP1 or SP2) Windows Vista x64 (w/SP1 or SP2) Windows Server 2008 (w/SP2) Windows Server 2008 x64 (w/SP2) Windows Server 2008 Itanium (w/SP2)
Internet Explorer 8.0 Windows XP (w/SP3) Windows XP x64 (w/SP2) Windows Server 2003 (w/SP2) Windows Server 2003 x64 (w/SP2) Windows Vista (w/SP1 or SP2) Windows Vista x64 (w/SP1 or SP2) Windows Server 2008 (w/SP2) Windows Server 2008 x64 (w/SP2) Windows 7 Windows 7 x64 Windows Server R2 2008 x64

Windows Server R2 2008 Itanium

注意*　
この欠陥はServer Coreインストール・オプションを使ってインストールしたWindows Server 2008管理者達への影響はない。


ウォッチガードユーザ：
この種の攻撃は、ネットワークのユーザがワールドワイドウェブにアクセスできるようにしておくには許可しておく必要がある通常のHTTPトラフィックの状態で移動する。このため、先述したパッチを取り入れることが主な対策となる。
ステータス：
マイクロソフトは脆弱性問題を修正するアップデートをリリースしている。
参考資料：

• マイクソフト・セキュリティアドバイザリ：MS11-003
• マイクロソフト・セキュリティアドバイザリ：日本語一覧

この記事はコーリー・ナクライナーCISSP（Corey Nachreiner, CISSP）により調査され書かれたものです。
ご感想はこちらまでお寄せ下さい：your.opinion.matters@watchguard.com その他のアラートなど：LiveSecurity アーカイブまたは弊社日本版サイトをご覧ください。

続きを読む»

15のセキュリティ脆弱性を修正するWindowsセキュリティアドバイザリ（9）
Windowsハッキングに使われる悪性のサムネイルやフォント

危険度：高

2011年2月8日

概要：

• 対象：
  現バージョンのWindows及びそれに搭載されているコンポーネント
  
• 悪用方法：
  細工済みのファイルをユーザが開くように仕向けたり、悪性のウェブサイトやファイル共有にユーザを誘導するなど、様々な攻撃方法がある
  
• 影響：
  結果は様々だが、最悪の場合は攻撃者が被害者のWindowsコンピュータを完全に操作できるようになる
  
• 対策：
  状況に適したマイクロソフトのパッチを至急インストールするか、マイクロソフトの自動アップデート機能を使って必要なパッチをインストールすること

詳細：
米国時間の2月8日、マイクロソフトはWindowsとそれに搭載されているコンポーネントに影響する脆弱性15件についてセキュリティアドバイザリを9件公開した。各脆弱性による影響はWindowsのバージョンにより異なり、その度合いも違うが、リモート攻撃者は中でも悪質な欠陥を利用してユーザのWindows PCを完全に操作できるようになる。

脆弱性の危険度が高いものから順に説明した概要は次の通り：

• MS11-006
  Windowsシェルのグラフィック処理脆弱性によるバッファ・オーバーフロー

Windowsシェルのグラフィック処理は、Windowsのユーザインターフェイス（UI)を表示・編成するためのWindowsコンポーネントの1つだが、これは細工されたサムネイル画像を処理する方法に関与するバッファ・オーバーフロー 脆弱性の影響を受けている。攻撃者は細工済みのサムネイルを含んだファイル共有、UNCパス、またはWebDAV のロケーションにユーザを誘導すると、欠陥を利用してユーザのコンピュータを完全に操作できるようになる（注：Windows7と 2008 R2への影響はない）。

マイクロソフトの評価：深刻

• MS11-007
  OpenTypeフォントCFFドライバー・コード実行の脆弱性
  
  WindowsにはOpenTypeCompact Font Format (CFF)など、数多くのフォントが搭載されているが、残念ながら、WindowsがOpenType CFFフォントを表示できるようにするドライバーは特定のパラメータ値を適切に検証しないことが分った。標的のWindowsのバージョンが新しいか旧いかにより、攻撃者が欠陥を悪用する方法は2つある。例えば、旧いバージョンのWindows（XP/2003）に対して攻撃を仕掛ける場合は、攻撃者のオリジナル・ユーザの特権にかかわらず、そのシステムを完全に操作できるようにするには、ユーザのコンピュータで細工したプログラムを実行しなければならない。また、攻撃者が悪質なプログラムを実行するには、ユーザのコンピュータへのローカルアクセス権が必要となる。しかし、新しいバージョンのWindows（Vista/2008/7）においては、自動的にディレクトリでフォントをプレビューできる自動プレビュー機能があるため、攻撃者は悪性のOpenTypeフォントを含むファイル共有をユーザが開くように誘導し、この欠陥を悪用してWindowsコンピュータを完全に操作できるようになる。
  
  マイクロソフトの評価：深刻
  
• MS11-005
  Windows 2003 のAD　DoS脆弱性

AD（アクティブディレクトリ）は、Windowsコンピュータの集中認証および認証サービスで、サーバ版のWindowsに搭載されている。しかし、この機能はSPN（サービスプリンシパル名）をアップデートするために特別に作成されたリクエストに関与するサービス拒否（DoS) 脆弱性の影響を受けている。攻撃者は、悪質なリクエストを送信することで欠陥を利用し、ユーザのドメイン・コントローラをNTLM認証にダウングレードさせるか、場合によっては完全に応答しなくなるようにすることができる。とはいっても、攻撃者がこの脆弱性を利用するには、有効なユーザ・クレデンシャルと、ユーザのネットワークへのアクセス権が必要となるため、この脆弱性は主に内部脅威であると言える。その上、この欠陥が影響しているのは2003サーバ版のWindowsのみである。

マイクロソフトの評価：重要

• MS11-010
  CSRSS ローカル特権の昇格の脆弱性

CSRSS（クライアント/サーバ・ランタイム・サブシステム）は、コンソール・ウィンドウズとスレッドの作成・削除の役割を担っており、Windowsにとって不可欠なコンポーネントだが、ユーザがシステムからログオフしても適切にユーザ・プロセスを終了していないことが分った。認証済みの攻撃者は細工したプログラムを実行して欠陥を利用し、攻撃者がシステムからログオフしても続行する悪質な監視プログラムを実行する。このプログラムは特権を持つユーザのクレデンシャルを獲得することができるため、攻撃者はそれで自分の特権を昇格させることができるようになる。しかし、攻撃者がこの欠陥を悪用するには、まず有効なクレデンシャルでWindowsコンピュータへのローカルアクセス権（またはゲスト。・アクセス権でも可）が必要となる。この欠陥の影響を受けているのはWindows XPとServer 2003 のみである。

マイクロソフトの評価：重要

• MS11-011 & MS11-012
  カーネル関連の特権昇格の問題（複数）

カーネルはコンピュータOSの中心的コンポーネントである。Windowsには、多くのカーネルレベル・デバイスを処理するカーネルモード・デバイス・ドライバー(win32k.sys)が搭載されている。Windowsカーネルと、このカーネルモード・ドライバは、複数の特権の昇格による脆弱性の影響を受けている。これら欠陥は技術的には異なるが、その大方の対象と影響は同じである。攻撃者は細工したプログラムを実行して欠陥を利用し、ユーザのWindowsコンピュータを完全に操作できるようになる。しかし、攻撃者はまず被害者となる人物のWindowsコンピュータにおいて、有効なクレデンシャルでローカルアクセス権を獲得しなければならないため、この欠陥のリスクは大幅に減少する。

マイクロソフトの評価：重要

• MS11-013
  ケルベロスの特権昇格の問題（複数）

ケルベロスはWindowsサーバ版が使用する認証プロトコルだが、この機能はCRC32のようなハッキングメカニズムをサポートすることに起因する特権昇格の影響を受けている。攻撃者は細工したプログラムをインストールすることで欠陥を利用し、ユーザのWindowsコンピュータを完全に操作できるようになる。しかし、攻撃者はまず被害者となる人物のWindowsコンピュータで有効なクレデンシャルを持った上でローカルアクセス権を獲得しなければならない。そうした点から、この欠陥によるリスクは大幅に減少する。また、Windowsケルベロス・コンポーネントは、攻撃者が別のユーザになりすまして介入者攻撃を利用できるようにするスプーフィング欠陥の影響も受けている。

マイクロソフトの評価：重要

• MS11-014
  LSASS の特権昇格の問題

LSASS（ローカル・セキュリティ・オーソリティ・サブシステム・サービス）は、Windowsのセキュリティ・ポリシーや認証タスクを処理するWindowsのコンポーネントだ。しかし、LSASSは特別に作成された認証リクエストを処理できないことに起因する特権昇格問題の影響を受けている。認証済みの攻撃者は、悪質なアプリケーションを実行することで欠陥を悪用し、自分の特権を昇格させてユーザのコンピュータを完全に操作できるようになる。もちろん、攻撃者がこの脆弱性を悪用するには有効なクレデンシャルと、ユーザのアクティブディレクトリ・サーバへのアクセス権が必要となるため、この脆弱性は主に内部脅威であると言える。この欠陥の影響を受けているのはWindows XPとServer 2003 のみである。

マイクロソフトの評価：重要

• MS11-009
  スクリプトエンジンの情報開示の脆弱性

VBScriptと JScript は、どちらもマイクロソフトが作成したスクリプト言語で、Windowsやそのアプリケーションが使用しているものだ。しかし、この種のスクリプトを処理するスクリプトエンジンは、特別に作成されたスクリプトを解読する方法に関係するメモリ破損の脆弱性の影響を受けている。このメモリ破損の欠陥は、不規則に情報を流してしまう原因になっている。攻撃者は悪質なウェブページにユーザを誘導すると、この欠陥を利用してプライベートなデータを読み取れるようになる。しかし、その不規則な性質は、この欠陥によるリスクを幾分緩和させている。この欠陥の影響を受けているのはWindows 7 と Server 2008 R2 のみである。

マイクロソフトの評価：重要
対策： マイクロソフトはこうした脆弱性をすべて修正するWindowsパッチをリリースしているので、状況に適したパッチを至急ダウンロードし、テストしてからネットワーク全体に取り入れること。また、マイクロソフトの自動アップデート機能を使って自動的にその作業を行う方法もある。

注：日本語版をダウンロードする場合は「Change Language」のドロップダウンメニューから「Japanese」を選択。 MS11-006:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Vista (w/SP1 or SP2)
• Windows Vista x64 (w/SP1 or SP2)
• Windows Server 2008 (w/SP2) *
• Windows Server 2008 x64 (w/SP2) *
• Windows Server 2008 Itanium (w/SP2)

注意*Server Core インストールへの影響はない MS11-007:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Vista (w/SP1 or SP2)
• Windows Vista x64 (w/SP1 or SP2)
• Windows Server 2008 (w/SP2) *
• Windows Server 2008 x64 (w/SP2) *
• Windows Server 2008 Itanium (w/SP2)
• Windows 7
• Windows 7 x64
• Windows Server 2008 R2 x64 *
• Windows Server 2008 R2 Itanium

注意*Server Core インストールへの影響はない MS11-005:

• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)

MS11-010:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)

MS11-011:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Vista (w/SP1 or SP2)
• Windows Vista x64 (w/SP1 or SP2)
• Windows Server 2008 (w/SP2)
• Windows Server 2008 x64 (w/SP2)
• Windows Server 2008 Itanium (w/SP2)
• Windows 7
• Windows 7 x64
• Windows Server 2008 R2 x64
• Windows Server 2008 R2 Itanium

MS11-012:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows Vista (w/SP1 or SP2)
• Windows Vista x64 (w/SP1 or SP2)
• Windows Server 2008 (w/SP2)
• Windows Server 2008 x64 (w/SP2)
• Windows Server 2008 Itanium (w/SP2)
• Windows 7
• Windows 7 x64
• Windows Server 2008 R2 x64
• Windows Server 2008 R2 Itanium

MS11-013:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)
• Windows 7
• Windows 7 x64
• Windows Server 2008 R2 x64
• Windows Server 2008 R2 Itanium

MS11-014:

• Windows XP (w/SP3)
• Windows XP x64 (w/SP2)
• Windows Server 2003 (w/SP2)
• Windows Server 2003 x64 (w/SP2)
• Windows Server 2003 Itanium (w/SP2)

MS11-009:

• Windows 7
• JScript 5.8
• VBScript 5.8
• Windows 7 x64
• JScript 5.8
• VBScript 5.8
• Windows Server 2008 R2 x64
• JScript 5.8
• VBScript 5.8
• Windows Server 2008 R2 Itanium
• JScript 5.8
• VBScript 5.8

ウォッチガードユーザ：
攻撃者は様々な悪用方法を使って、こうした欠陥を悪用することができるが、正しく設定されているファイアウォールでは、こうしたいくつかの問題のリスクを緩和させることができる。とはいっても、Fireboxはローカル攻撃からネットワークを保護したり、普通のHTTPトラフィックを利用した攻撃を阻止することはできないため、マイクロソフトが提供しているアップデートをインストールすることがもっとも安全な対策方法だ。
ステータス：
マイクロソフトは問題を修正するパッチをリリースしている。
参考資料：

• マイクロソフトのセキュリティアドバイザリ一覧

この記事はコーリー・ナクライナーCISSP（Corey Nachreiner, CISSP）により調査され書かれたものです。
ご感想はこちらまでお寄せ下さい：your.opinion.matters@watchguard.com
その他のアラートなど：LiveSecurity アーカイブまたは弊社日本版サイトをご覧ください。

続きを読む»