NRI Secure SANS NewsBites 日本版

Vol.1 No.16:2006年11月28日発行

**********************************************************************
NRI Secure Security Information
(SANS NewsBites、@RISKサマリー版)
No.16 2006年11月28日発行
**********************************************************************

このニュースレターは、情報セキュリティの専門機関であるSANS Instituteが
配信するコンテンツ(SANS NewsBites、@RISK)をベースに、NRIセキュアテクノ
ロジーズが編集してお届けしています。世界中でこの1週間に起こったセキュ
リティのあらゆるトピックと専門家のコメントが掲載されています。
原版は、およそ20万人のセキュリティのコミュニティに配信され、資料価値の
あるニュースソースとして活用されています。組織のセキュリティ管理に関す
る参考情報としてお役立てください。

■■SANS NewsBites Vol.8 No.91-92(原版:2006年11月18日、11月22日発行)

■はじめに(Alan Paller: SANS director of research)

SANS 2007 (サンディエゴで3月29日から4月6日まで開催される、SANS最大の年
次カンファレンス)が、参加申し込み受付を開始した。SANSの年次カンファレ
ンスは、一箇所で開催されているものの中では、学習プログラムの数の多さが
抜きん出ている(51種類のコースと、多数の展示Fなどがある)。
http://www.sans.org/sans2007/

過去にSANSカンファレンスに参加された方々からのコメントを以下に紹介する。
これらを読めば、プログラムのイメージが沸くだろう。

"素晴らしい! 有益な情報がたくさん得られる。このプログラムに参加して、
私の頭はゼリーのような状態に柔軟化した。来年も必ず参加する。"
(米国骨髄提供者プログラム Kurt Danielson)

"今回で4度目のSANSカンファレンスになる。毎度のことながら講師陣はぴか一
だ。いつも驚嘆し、多くを習得して会場を後にすることができる。"
(ワシントン州 CTED Bill Wildprett)

"今まで私が参加した他のプログラムのどれよりも素晴らしく、中身の濃い、
価値の高いプログラムだ。大学の学士課程や修士課程と比べても然り。"
(RT Communications Mark Laughlin)

"このカンファレンスで、私の職場におけるプロセスを即座に改善できるスキ
ルを習得できた。"
(AT&T Karissa Truitt)

3月まで待ちきれない方は、以下の会場もご参照あれ。
ワシントンDC(12月9日~)
http://www.sans.org/cdieast06/
オーランド(1月13日~)
http://www.sans.org/bootcamp07/
また、サンノゼ、フェニックス、 プラハ、ブリスベンでも開催予定。
世界各都市で開催される、70種類以上のプログラムのリストをご覧になりたい
方は下のサイトへ。
http://www.sans.org/training_events/?ref=1433

★東京の次回開催は、2007年2月19日~24日を予定!★
渡航費や宿泊費なしで、SANSの技術・スキルを身につける絶好のチャンス。
今から計画を!
────────────────

◆SANS Top 20 Internet-Based Attack Targetsランキング
(2006.11.15-16)

SANSは、インターネットベースのアタック手法ランキング・トップ20を発表し
た。重要な傾向としては、zero-dayアタックやスピアフィッシングなどの的を
絞ったアタックがあげられる。また、政府機関が、サイバースパイ要員を雇用
した形跡もある。さらに、IP電話システムへのアタックや、Webアプリケーショ
ンにあるセキュリティホールの悪用が懸念される。
■日本語翻訳版もまもなく掲載予定■
報告書の全内容はこちら:
http://www.sans.org/top20/
http://www.eweek.com/print_article2/0,1217,a=194109,00.asp
http://www.techweb.com/article/printableArticle.jhtml;?articleID=194400284&site_section=700028
http://www.computerworld.com/action/article.do?command=viewArticleBasic&taxonomyName=security
&articleId=9005079&taxonomyId=17&intsrc=kc_top
http://www.zdnetasia.com/news/security/printfriendly.htm?AT=61967930-39000005c
────────────────

◆米国国税庁のノートパソコン478台 4年間にわたって紛失・盗難被害
(2006.11.15)

情報公開法 (FOIA: Freedom of Information Act)に準じて入手した文書によ
ると、2002年から2006年にかけて、米国国税庁(IRS)のノートパソコン478台
が紛失・盗難の被害に遭っているという。行方不明のコンピュータのうち112
台には、社会保険番号(SSN)などの納税者の個人情報が保存されていた。IRS
は、この1月からノートパソコンのハードドライブにある全情報を暗号化する
予定だ。また、IRS職員には、使用マシンを物理的に固定するケーブルが支給
される。
http://www.wtopnews.com/index.php?nid=428&sid=975026

【編集者メモ1】 (Schultz)
500台近くのコンピュータが紛失・盗難に遭うなど、断じて許されないことだ。
たった1つ、慰めになったのは、IRSがこの問題に対処すべく、正しい方向に歩
み始めたということだけだろう。
【ゲスト編集者メモ2】(Hightower-Pierce)
続々と報告されているデータ侵害事件記録をご覧になりたい方はこちらまで:
http://www.privacyrights.org/ar/ChronDataBreaches.htm
http://attrition.org/dataloss
情報公開を申請するための手引きはこちら:
http://www.usdoj.gov/oip/index.html
【編集者メモ3】(Grefer)
IRSと読者の皆様が、単なる丸型鍵ではなく、暗証番号付の鍵を選ぶように願っ
ている。なぜなら、丸型鍵は、プラスチック製のストローか、小型パイプ、も
しくはコイルに巻きつけたホースを使えば簡単に開いてしまうから。
────────────────

◆新詐欺防止法 法の抜け穴をふさぐ
(2006.11.14)

詐欺防止法2006年法が、来年英国イングランドとウェールズで発効する。この
新法によって、最新テクノロジーに対応できていない旧詐欺関連法に存在して
いた法の抜け穴がふさがる。例えば、旧法では、フィッシングアタックに利用
可能なファイルの保持者を、詐欺容疑で提訴することができなかったが、新法
では、一般詐欺罪で個人を訴えることができる。実際に有罪となった場合、最
高で10年の懲役刑が科せられる。
http://www.theregister.co.uk/2006/11/14/fraud_act_outlaws_phishing/print.html
────────────────

◆米国政府説明責任局の情報セキュリティ報告書: 各政府局にはテストに関する適切なポリシーが必要
(2006.10)

米国政府説明責任局(GAO)の報告書によると、「連邦政府局は、定期的なテス
トや情報セキュリティコントロール監査に関するポリシーの適切な設計、およ
び効果的な導入ができていない」という。GAOは、報告書作成のために、米国
政府局24局と各局の監査官(IG)に調査を行った。そのうち6局に対し、定期的
なテストや監査方法、業務慣行に関する綿密な検査を実施した。GAOは、「行
政予算管理局(OMB)が、連邦政府局に対し、定期的なテストや監査に関するポ
リシー作成・導入を指導し、FISMA報告に関する指導内容を改正して、今後は
各監査官が担当局における定期テストのプロセスの質に関して報告を行う」こ
とを推奨している。
http://www.gao.gov/cgi-bin/getrpt?GAO-07-65

【編集者メモ】 (Kreitner) GAOに万歳三唱したい。これによって、各政府局の改善への勢いに弾みがつく
ように願いたい。セキュリティコントロールを管理できる唯一の賢い方法は、
正しいコントロールを選択し、導入し、永久的にそれらを監査するに限る。つ
まり、毎日の業務をより徹底することである。定期的な監査やC&A業務だけで
は、これを成し遂げることはできない。検査尺度の中には、コントロールのモ
ニタリングやそれらの効果測定に大いに役立つものもいくつかある。
────────────────

◆英国のパスポートのセキュリティに弱点
(2006.11.17)

英国の新しいパスポートは、個人情報や生態認証データを搭載したRFIDチップ
が安全な形で組み込まれているはずだった。パスポートは、「高度な暗号化テ
クニック」で保護されているものの、若干技術に詳しいくらいの普通の人がチッ
プからデータを抽出し、それらをコンピュータで閲覧することが可能だった。
データにアクセスするには、パスポート番号、所有者の生年月日、使用期限な
どの情報が必要である。これらの情報はマシンで読み取れる形式で、パスポー
トのページに掲載されている。なんと、このパスポートの仕様詳細(アクセス
キーの構成情報など)が、Webサイトに公表されていたのだ。しかも、チップ
内の情報は暗号化されていない。チップと読み取り機の間の通信は暗号化され
ているが、その読み取り機自体は、250ポンド(475ドル相当)もしくはそれ以下
の価格で購入できる。
http://www.guardian.co.uk/idcards/story/0,,1950226,00.html

【編集者メモ】(Honan)
英国や他のEU諸国のパスポートも、リモートで読み取り可能なため、問題がこ
じれてきている。これらのパスポートには、米国パスポートにあるような遮へ
い機能はない。米国パスポートは、中を開かない限り、情報は読み取れないよ
うになっている。詳しくはこちらをご覧あれ;
http://www.theregister.co.uk/2006/10/23/smart_chips_for_smart_crooks/.
この電子パスポートの惨事は、「一部の組織(米国政府や他国の政府など)が
粗悪な必須要件を設定したことによって、真のセキュリティが損なわれた」こ
とを露呈した事例である。
【ゲスト編集者メモ】(Swa Frantzen)
ここにどのような大問題があるのか、私にはいまいちわからない。パスポート
番号や使用期限は、パスポートの中に掲載されている。そして、マシンによる
読み取り形式は、基本的にOCRであり、それ以上の機能は何もない。RFIDチッ
プも然り。中のデータが欲しいとしても、パスポート所持者が自身のパスポー
トを読み取る側の人間に渡さないとならない。だとしたら、誰がそれを読み取っ
ているのか、パスポート所持者にはわかるはず。あなたの写真も、読み取る人
が確認できるように、パスポートの中に掲載されている。私に言わせれば、こ
れは、大衆の恐怖を無駄に煽っているだけだ。
────────────────

◆EUのプロジェクト 相互依存的かつ重大なインフラシステムの情報セキュリティの懸念に対処
(2006.11.20)

700万ユーロ (898万ドル相当)が投じられた「EUの情報ベースのインフラシス
テムの総合リスク抑制(IRRIIS: Integrated Risk Reduction of
Information-based Infrastructure Systems)」プロジェクトは、大規模で重
要かつ複雑なインフラ(LCCI:large critical complex infrastructures)にお
ける情報セキュリティの脅威に対処することを目的としたプロジェクトだ。
IRRIISは、あらゆるLCCIにおける情報セキュリティの脅威を、相互依存性の観
点から検討していく。さまざまな分野の情報セキュリティ専門家らが協力して、
このプロジェクトを推進している。IRRIISでは、情報通信技術をもとに、EUの
重要な情報インフラの信頼性、存続性、復元力の強化を図るようだ。
http://www.engineerlive.com/power-engineer/operation-and-maintenance/16727/eu-project-to-protect-electricity-supplies-from.thtml
────────────────

**********************************************************************
■■@RISK:The Consensus Security Vulnerability Alert
(原版:2006年11月21日配信 Vol.5 No.46)

@RISKは、前週一週間に発見された重大な脆弱性およびエクスプロイトをリス
トアップした脆弱性のサマリー情報です。SANS Instituteと3Comの
TippingPointチーム主導の下に作成され、12社のセキュリティ管理者で構成さ
れる「セキュリティマネージャ委員会」の具体的アクションも掲載されていま
す。組織のシステムを保護するために有益で的確なガイダンスを提供します。
────────────────

■はじめに(Alan Paller: SANS director of research)

また、Windowsに重大な欠陥が多数確認された。しかし、Windowsの欠陥がばか
りに気をとられずに、Winzipの欠陥にも注目されたい。Winzipは、広範囲で使
用されているものだが、これに存在する脆弱性は、Windowsの脆弱性と同じく
らいたちが悪い。ほとんどの組織には、Winzipまでを網羅する自動パッチ適用
機能はない。そのため、Winzipの脆弱性を悪用するエクスプロイトの方が、よ
り有害であろう。

◆危険度【重大】: Microsoft Windowsワークステーションサービスにバッファオーバーフローの脆弱性(MS06-070)

<影響のある製品>
Microsoft Windows 2000 SP4
Microsoft Windows XP SP2

<詳細>
Microsoft Windowsのワークステーションサービスは、システム間の通信(ファ
イルやプリンタの共有)をサポートする際に用いられる。しかし、これにはバッ
ファオーバーフローの脆弱性がある。このサービスに細工したリクエストを送
信すれば、アタッカーは脆弱なシステムのコントロールを完全に奪うことがで
きるようになってしまう。この脆弱性の技術的詳細と概念実証コードがすでに
公表されている。ユーザーは、可能であれば、ネットワーク境界でTCPとUDP双
方の139番・445番ポートをブロックされたい。

<現状>
Microsoftはこれを認めており、更新もリリースしている。

<セキュリティマネージャ委員会所属企業の対応>
委員会所属企業のほとんどが、Microsoftの問題の大部分に対策を講じている。
企業は、次期定例システムメンテナンスに合わせてパッチを配信する見込みだ。
また、エクスプロイトがリリースされた場合は、対象となる脆弱性への対応を
優先する。

<参考>
Microsoftセキュリティ警告
http://www.microsoft.com/technet/security/bulletin/ms06-070.mspx
SecuriTeam のアドバイザリ(概念実証コードも含む)
http://www.securiteam.com/windowsntfocus/6V00D1PHFW.html
eEye のセキュリティアドバイザリ
http://www.securityfocus.com/archive/1/451588
概念実証コード
http://downloads.securityfocus.com/vulnerabilities/exploits/MS06-070_exploit.txt
http://milw0rm.com/exploits/2809
http://milw0rm.com/exploits/2800
http://milw0rm.com/exploits/2789
エクスプロイト・モジュール (Immunity Partners Program)
https://www.immunityinc.com/downloads/immpartners/ms06_070.tar
https://www.immunityinc.com/downloads/immpartners/ms06_070-2.tar
SecurityFocus BID
http://www.securityfocus.com/bid/20985
────────────────

◆危険度【重大】:Microsoft XMLコアサービスのXMLHTTP
ActiveXコントロールにリモートでコードを実行されかねない脆弱性(MS06-071)

<影響のある製品>
Microsoft XMLコアサービスのバージョン 4.0と 6.0

<詳細>
Microsoft XMLコアサービスは、さまざまなXML技術を用いたMicrosoftの実装
である。しかし、このXMLHTTP ActiveXコントロールには、リモートでコード
を実行されかねない脆弱性がある。悪意のあるWebページが、このコントロー
ルをインスタンス化すると、現在のユーザーの権限で任意のコードを実行され
るおそれがある。ユーザーは、CLSIDの"88d96a0a-f192-11d4-a65f-0040963251e5"
と"88d969c5-f192-11d4-a65f-0040963251e5"に対してMicrosoftの"kill bit"
機能を設定し、脆弱なActiveXコントロールを無効にすれば、この脆弱性の影
響を軽減できる。この脆弱性は、現在活発に悪用されており、以前@RISKでも
掲載した。

<現状>
Microsoftはこれを認めており、更新もリリースしている。

<セキュリティマネージャ委員会所属企業の対応>
委員会所属企業のほとんどが、Microsoftの問題の大部分に対策を講じている。
企業は、次期定例システムメンテナンスに合わせてパッチを配信する見込みだ。
また、エクスプロイトがリリースされた場合は、対象となる脆弱性への対応を
優先する。

<参考>
Microsoftのセキュリティ警告
http://www.microsoft.com/technet/security/Bulletin/MS06-071.mspx
Microsoft知識ベースの記事("kill bit"機能の解説)
http://support.microsoft.com/kb/240797
@RISKのバックナンバーに掲載された関連記事
http://www.sans.org/newsletters/risk/display.php?v=5&i=44#widely1
SecurityFocus BID
http://www.securityfocus.com/bid/20915
────────────────

◆危険度【重大】:Microsoft Internet Explorerに複数の脆弱性(MS06-067)

<影響のある製品>
Microsoft Windows 2000 SP4
Microsoft Windows XP SP2
Microsoft Windows 2003 SP0/SP1

<詳細>
Microsoft Internet Explorerには2つの脆弱性がある:

(1) DirectX DirectAnimation ActiveXコントロールには、メモリ崩壊脆弱性
がある。悪意のあるWebページがこのコントロールをインスタンス化する
と、この脆弱性の悪用が実現する。この脆弱性は、以前@RISKにも掲載し
た経緯がある。ユーザーは、CLSID"D7A7D7C3-D47F-11D0-89D3-00A0C90833E6"
にMicrosoftの"kill bit"機能を設定し、問題のActiveXコントロールを無
効にすれば、この脆弱性の影響を軽減できる。
(2) 細工されたHTMLコードを正しく処理できないために、メモリ崩壊の脆弱性
が生じる。細工されたWebページによって、この脆弱性が悪用されるおそ
れがある。

これらの脆弱性のうちどちらかが悪用されると、現在のユーザーの権限で任意
のコードが実行されるおそれがある。これらのエクスプロイトの技術的詳細と
概念実証コードが、すでに公表されている。

<現状>
Microsoftはこれを認めており、更新もリリースしている。

<セキュリティマネージャ委員会所属企業の対応>
委員会所属企業のほとんどが、Microsoftの問題の大部分に対策を講じている。
企業は、次期定例システムメンテナンスに合わせてパッチを配信する見込みだ。
また、エクスプロイトがリリースされた場合は、対象となる脆弱性への対応を
優先する。

<参考>
Microsoftのセキュリティ警告
http://www.microsoft.com/technet/security/bulletin/ms06-067.mspx
Microsoft知識ベースの記事("kill bit"機能)
http://support.microsoft.com/kb/240797
Zero-Dayイニシアチブのアドバイザリ
http://www.zerodayinitiative.com/advisories/ZDI-06-041.html
概念実証コード
http://downloads.securityfocus.com/vulnerabilities/exploits/19738.html
@RISKのバックナンバーに掲載された関連記事
http://www.sans.org/newsletters/risk/display.php?v=5&i=35#widely2
SecurityFocus BIDs
http://www.securityfocus.com/bid/21020
http://www.securityfocus.com/bid/19738
────────────────

◆危険度【重大】: Microsoft Agentにバッファオーバーフローの脆弱性(MS06-068)

<影響のある製品>
Microsoft Windows 2000 SP4
Microsoft Windows XP SP2
Microsoft Windows 2003 SP0/SP1

<詳細>
Microsoft Agentは、Microsoft Windowsのユーザーインタフェースを強化・操
作するときに用いる一連の技術である。しかし、これにはバッファオーバーフ
ローの脆弱性がある。細工されたWebページが、脆弱なActiveXコントロールを
インスタンス化すると、この脆弱性を悪用し、現在のユーザーの権限で任意の
コードが実行できるようになってしまう。この脆弱性は、細工された".ACF"ファ
イルを介して悪用されると考えられている。ユーザーは、以下のCLSIDに対し
てMicrosoftの"kill bit"機能を設定すれば、この脆弱性の影響を軽減するこ
とができる。対象CLSIDは以下のとおり:
"D45FD31B-5C6E-11D1-9EC1-00C04FD7081F"、
"F5BE8BD2-7DE6-11D0-91FE-00C04FD701A5"、
"4BAC124B-78C8-11D1-B9A8-00C04FD97575"、
"D45FD31D-5C6E-11D1-9EC1-00C04FD7081F"、
"D45FD31E-5C6E-11D1-9EC1-00C04FD7081F"。

<現状>
Microsoftはこれを認めており、更新もリリースしている。

<セキュリティマネージャ委員会所属企業の対応>
委員会所属企業のほとんどが、Microsoftの問題の大部分に対策を講じている。
企業は、次期定例システムメンテナンスに合わせてパッチを配信する見込みだ。
また、エクスプロイトがリリースされた場合は、対象となる脆弱性への対応を
優先する。

<参考>
Microsoft セキュリティ警告
http://www.microsoft.com/technet/security/bulletin/ms06-068.mspx
Microsoft知識ベースの記事("kill bit"機能の解説)
http://support.microsoft.com/kb/240797
SecurityFocus BID
http://www.securityfocus.com/bid/21034
────────────────

◆危険度【重大】: WinZip FileViewのActiveXコントロールにリモートでコードを実行される脆弱性

<影響のある製品>
WinZipのバージョン10.0で、7245型以前のもの

<詳細>
WinZipは、Microsoft Windowsのアーカイブユーティリティとして、広範囲で
使用されている。しかし、このFileView ActiveXコントロールには脆弱性があ
る。悪意のあるWebページがこのコントロールをインスタンス化すると、この
脆弱性が悪用され、現在のユーザーの権限で任意のコードが実行されるおそれ
がある。この脆弱性のエクスプロイトが、すでにいくつか公表されている。ユー
ザーは、Microsoftの"kill bit"機能をCLSID "A09AE68F-B14D-43ED-B713-BA413F034904"
に設定し、問題のActiveXコントロールを無効にすれば、この脆弱性の影響を
軽減できる。また、Microsoftセキュリティ警告MS06-067をインストールする
ことでも、この脆弱性の影響を軽減できるようだ。Sky SoftwareのFileView
ActiveXコントロールにも、類似した脆弱性が存在する。これらの2つのコント
ロールは同じだと考えられているが、2つの脆弱性の関連性については、まだ
明らかではない。

<現状>
WinZipはこれを認めており、更新もリリースしている。

<セキュリティマネージャ委員会所属企業の対応>
ほとんどの委員会所属企業が、この問題に何らかの対策を講じている。また、
この問題のパッチは、すでに発行されたMicrosoftパッチに含まれている。数
社においては、正式にこのアプリケーションをサポートしていない。そのため、
適切なkill-bitが設定されるか否かは、ユーザーの自動更新機能に委ねられて
いる。

<参考>
WinZipの変更ログ
http://www.winzip.com/wz7245.htm
Zero-Dayイニシアチブのアドバイザリ
http://www.zerodayinitiative.com/advisories/ZDI-06-040.html
Microsoft知識ベースの記事("kill bit"機能の解説)
http://support.microsoft.com/kb/240797
SANS Internet Storm CenterのHandler's Diary
http://isc.sans.org/diary.php?storyid=1861
エクスプロイト
http://downloads.securityfocus.com/vulnerabilities/exploits/21060.html
http://downloads.securityfocus.com/vulnerabilities/exploits/prdelka-vs-MS-winzip.c
http://downloads.securityfocus.com/vulnerabilities/exploits/21060-2.html
http://milw0rm.com/exploits/2785
SecurityFocus BIDs
http://www.securityfocus.com/bid/21060
http://www.securityfocus.com/bid/21108
────────────────

◆危険度【中】: NetWare用の Microsoftのクライアントサービスに複数の脆弱性(MS06-066)

<影響のある製品>
Microsoft Windows 2000 SP4
Microsoft Windows XP SP2
Microsoft Windows 2003 SP0/SP1

<詳細>
NetWare用のMicrosoft Windowsクライアントサービスは、Novell NetWareでア
クセス可能なリソースにアクセスするときに用いられる。しかし、これには複
数の脆弱性がある。細工されたメッセージをこのサービスに送信すれば、アタッカーは:
(1) サービス内のバッファオーバーフローを悪用し、SYSTEM権限で任意のコー
ドをシステムに実行できるようになってしまう。
(2) システムが応答できないように仕向けられる。

Windows 2003のシステムでは、アタッカーがこれらの脆弱性を悪用するために
は認証が必要。また、このサービスは、対象となるOSにおいてはデフォルトで
インストールされていない。

<現状>
Microsoftはこれを認識しており、更新もリリースしている。

<セキュリティマネージャ委員会所属企業の対応>
委員会所属企業のほとんどが、Microsoftの問題の大部分に対策を講じている。
企業は、次期定例システムメンテナンスに合わせてパッチを配信する見込みだ。
また、エクスプロイトがリリースされた場合は、対象となる脆弱性への対応を
優先する。

<参考>
Microsoftのセキュリティ警告
http://www.microsoft.com/technet/security/bulletin/ms06-066.mspx
エクスプロイト・モジュール(Immunity Partners Program)
https://www.immunityinc.com/downloads/immpartners/ms06_066-1.tar
https://www.immunityinc.com/downloads/immpartners/ms06_066-2.tar
https://www.immunityinc.com/downloads/immpartners/ms06_066-3.tar
https://www.immunityinc.com/downloads/immpartners/ms06_066-4.tar
SecurityFocus BIDs
http://www.securityfocus.com/bid/21023
http://www.securityfocus.com/bid/20984
────────────────

◆危険度【中】: Panda ActiveScanに複数の脆弱性

<影響のある製品>
Panda ActiveScan のバージョン5.53.00、もしくは、それ以前のバージョン

<詳細>
Panda ActiveScanは、アンチスパムおよびアンチマルウェアソリューションと
して広範囲で使用されている。しかし、これの付属ActiveXコンポーネントに
は、複数の脆弱性がある。悪意のあるWebページがこれらのActiveXコントロー
ルをインスタンス化すると、これらの脆弱性を悪用して、現在のユーザーの権
限で任意のコードが実行する、もしくは機密情報を開示、システムが再起動し
かねない。

<現状>
Pandaはこれを認識しており、更新もリリースしている。

<参考>
Secuniaのアドバイザリ
http://www.securityfocus.com/archive/1/451864
Panda ActiveScanのホームページ
http://www.pandasoftware.com/products/ActiveScan.htm
SecurityFocus BID
http://www.securityfocus.com/bid/21132
────────────────

◆危険度【中】:Adobe Macromedia Flash Playerに複数の脆弱性(MS06-069)

<影響のある製品>
Microsoft Windows XP SP2

<詳細>
Adobe Macromedia Flash Playerは、高度なWebコンテンツ用のプレーヤーとし
て広範囲で使用されている。しかし、これには、リモートでのコード実行、サー
ビス停止(DoS)、任意のJavaScript実行など複数の脆弱性がある。ほとんどの
ブラウザのデフォルト設定でフラッシュコンテンツが自動的に表示されるよう
になっているため、注意が必要だ。Flash Playerの修正バージョンは、2006年
9月にAdobeからリリースされた。この問題は、Microsoft Windows上にデフォ
ルトで入っているFlash Playerのバージョンにだけに関係するものである。

<現状>
Microsoftはこれを認識しており、更新をリリースしている。

<セキュリティマネージャ委員会所属企業の対応>
委員会所属企業のほとんどがこの問題に何らかの対策を講じている。企業は、
次期定例システムメンテナンススケジュールに合わせてパッチを配信する見込
みだ。数社は、このアプリケーションを正式にサポートしていないため、適切
な対策を模索中だ。

<参考>
Microsoftセキュリティ警告
http://www.microsoft.com/technet/security/bulletin/ms06-069.mspx
Adobeのセキュリティ警告
http://www.adobe.com/support/security/bulletins/apsb06-11.html
@RISKのバックナンバーに掲載された関連記事
http://www.sans.org/newsletters/risk/display.php?v=5&i=37#widely2
SecurityFocus BID
http://www.securityfocus.com/bid/19980
────────────────

◆危険度【高】: NetGearのワイヤレス・ドライバに複数の脆弱性

<影響のある製品>
NetGear MA521nd5.SYS driverのバージョン5.148.724.2003、もしくはそれ以前のバージョン
NetGear WG111v2.SYS driverのバージョン5.1213.6.316、もしくはそれ以前のバージョン

<詳細>
NetGear MA521nd5.SYSとWG111v2.SYSデバイスドライバは、NetGearワイヤレス
カードをコントロールする際に用いられる。しかし、これらにはバッファオー
バーフローの脆弱性がある。細工された802.11 (WiFi)フレームを脆弱なシス
テムに送信すれば、アタッカーは、これらのバッファオーバーフローを悪用し
て、脆弱なシステムのコントロールを完全に奪うことができるようになる。ア
タッカーがこれを実現する際に認証は必要ないため、ただ脆弱なシステムの無
線通信範囲にいればよいことになる。これらのドライバは、主にMicrosoft
Windows用に設計されているが、"NdisWrapper"クロスプラットフォームドライ
バ・フレームワークと互換性があるとも考えられている。そのため、これらの
ドライバを、IntelプラットフォームのLinux(もしくはその他のOS)で運用す
ることも可能なようだ。これらの脆弱性は、さまざまなOSのkernel内のバグを
特定するプロジェクトの一環で発見された。また、同脆弱性に作用するエクス
プロイトも公表されている。これらの脆弱性は、以前@RISKに掲載したBroadcom
ワイヤレスドライバの脆弱性に類似している。

<現状>
NetGearはこれを認めていないため、更新もリリースしていない。

<参考>
Month of Kernel Bugsのアドバイザリ
http://projects.info-pull.com/mokb/MOKB-18-11-2006.html
http://projects.info-pull.com/mokb/MOKB-16-11-2006.html
メトスプロイト・モジュール
http://metasploit.com/svn/framework3/trunk/modules/auxiliary/dos/wireless/netgear_ma521_rates.rb
http://metasploit.com/svn/framework3/trunk/modules/exploits/windows/driver/netgear_wg111_beacon.rb
NetGearのホームページ
http://www.netgear.com
「デバイスドライバ」に関するWikipediaの説明
http://en.wikipedia.org/wiki/Device_Driver
NdisWrapperのホームページ
http://ndiswrapper.sourceforge.net
@RISKのバックナンバーに掲載された関連記事
http://www.sans.org/newsletters/risk/display.php?v=5&i=45#widely1
SecurityFocus BIDs
http://www.securityfocus.com/bid/21175
http://www.securityfocus.com/bid/21126
────────────────

◆危険度【高】:D-Link A5AGU.SYSのワイヤレス・ドライバにバッファオーバーフローの脆弱性

<影響のある製品>
D-Link A5AGU.SYS driverのバージョン1.0.1.4、もしくはそれ以前のバージョン

<詳細>
D-Link A5AGU.SYSデバイスドライバは、D-Linkワイヤレスカードをコントロー
ルする際に用いられる。しかし、これにはバッファオーバーフローの脆弱性が
ある。細工された802.11 (WiFi)フレームを脆弱なシステムに送信すれば、ア
タッカーはこのバッファオーバーフローを悪用して、脆弱なシステムのコント
ロールを完全に奪うことができるようになる。アタッカーがこれを実現する際
に認証は必要ないため、ただ脆弱なシステムの無線通信範囲にいればよい。こ
れらのドライバは、主にMicrosoft Windows用に設計されているが、
"NdisWrapper"クロスプラットフォームドライバ・フレームワークとも互換性
があると考えられている。そのため、このドライバをIntelプラットフォーム
のLinux(もしくは、その他のOS)で、運用することも可能なようだ。この脆
弱性は、さまざまなOSのkernel内のバグを特定するプロジェクトの一環で発見
された。また、同脆弱性に作用するエクスプロイトも公表されている。この脆
弱性は、以前@RISKに掲載されたBroadcomワイヤレスドライバの脆弱性に類似
している。

<現状>
D-Linkはこれを認めていないため、更新もリリースしていない。カードが付い
たこのドライバの新バージョンであれば、この問題を解決できる。いくつかの
情報の中には、このドライバを"ASAGU.SYS"としてリストしたものもある。

<参考>
Month of Kernel Bugsのアドバイザリ
http://projects.info-pull.com/mokb/MOKB-13-11-2006.html
メトスプロイト・モジュール
http://metasploit.com/svn/framework3/trunk/modules/exploits/windows/driver/dlink_wifi_rates.rb
D-Linkのホームページ
http://www.dlink.com
「デバイスドライバ」に関するWikipediaの説明
http://en.wikipedia.org/wiki/Device_Driver
NdisWrapperのホームページ
http://ndiswrapper.sourceforge.net
@RISKのバックナンバーに掲載された関連記事
http://www.sans.org/newsletters/risk/display.php?v=5&i=45#widely1
SecurityFocus BID
http://www.securityfocus.com/bid/21032
────────────────

◆危険度【中】: Marshal MailMarshalにARJディレクトリトラバーサルの脆弱性

<影響のある製品>
MailMarshal SMTPのバージョン5.x、6.xおよび2006
Exchange 5.x用のMailMarshal

<詳細>
Marshal MailMarshalは、電子メールスパムやマルウェア、フィッシング、そ
の他の脅威などを防御する製品として、広範囲で使用されている。しかし、こ
れのARJ圧縮アーカイブ処理には、ディレクトリトラバーサルの脆弱性がある。
これらのアーカイブに細工されたファイル名があると、サーバに任意のファイ
ルが作成されてしまうおそれがある。そして、これらのファイルを削除したり、
差し替えたりすることはできない。ファイルが実行される場所だとあらかじめ
わかっている場所に、問題のファイルを置かれると、この脆弱性を悪用して、
システムに任意のコードが実行されるおそれが生じる。この脆弱性の技術的詳
細いくつかが、すでに公表されている。

<現状>
Marshalはこれを認識しているため、更新もリリースしている。

<セキュリティマネージャ委員会所属企業の対応>
影響のあるソフトウェアや設定は、現在稼働していないか、極めて限定的な使
用にとどまっているため、どの委員会所属企業でも正式にサポートされていな
い。そのため、何の対策も講じる必要はないと報告されている。

<参考>
Marshalの知識ベースの記事
http://www.marshal.com/kb/article.aspx?id=11450
Zero-Dayイニシアチブのアドバイザリ
http://www.zerodayinitiative.com/advisories/ZDI-06-039.html
「ARJ圧縮」に関するWikipediaの説明
http://en.wikipedia.org/wiki/ARJ
Marshalのホームページ
http://www.marshal.com
SecurityFocus BID
http://www.securityfocus.com/bid/20999
────────────────

◆危険度【中】: PowerDNS Recursorに複数の脆弱性

<影響のある製品>
PowerDNS 3.1.4までのバージョン

<詳細>
PowerDNSは、DNS (Domain Name System)サーバとして広範囲で使用されている。
しかし、このrecursorコンポーネントには、複数の脆弱性がある。:

(1) 細工されたリクエストをrecursorに送信すれば、アタッカーは、バッファ
オーバーフローを悪用して、PowerDNS recursorのプロセスの権限で任意
のコードを実行できるようになってしまう。
(2) 細工されたリクエストをrecursorに送信することによって、プロセスに、
割り当てられたスタックスペースを使い尽くさせてクラッシュする。そし
て、結果的にサービス停止(DoS)状態に陥りかねない。

この製品はオープンソースであるため、ソースコードを解析すれば、これらの
脆弱性の技術的詳細を入手できる。

<現状>
PowerDNSはこれを認識しているため、更新もリリースしている。

<セキュリティマネージャ委員会所属企業の対応>
影響のあるソフトウェアや設定は、現在稼働していないか、極めて限定的な使
用にとどまっているため、どの委員会所属企業でも正式にサポートされていな
い。そのため、何の対策も講じる必要はないと報告されている

<参考>
PowerDNSのセキュリティアドバイザリ
http://doc.powerdns.com/powerdns-advisory-2006-01.html
http://doc.powerdns.com/powerdns-advisory-2006-02.html
PowerDNSのホームページ
http://www.powerdns.com
SecurityFocus BID
http://www.securityfocus.com/bid/21037
────────────────

◆危険度【中】: Grisoft AVG Anti-Virusに複数の脆弱性

<影響のある製品>
AVG Anti-Virusの7.1.407までのバージョン

<詳細>
AVG Anti-Virusは、アンチウィルスシステムとして、広範囲で使用されている。
しかし、これには複数の脆弱性がある。このシステムを通す形で細工したファ
イルを送信すれば、アタッカーは、これらの脆弱性を悪用して、アンチウィル
スのプロセス権限で任意のコードを実行できるようになってしまう。これらの
脆弱性に関する技術的詳細は、今のところ一切公表されていない。

<現状>
Grisoftはこれを認めており、更新もリリースしている。

<セキュリティマネージャ委員会所属企業の対応>
影響のあるソフトウェアや設定は、現在稼働していないか、極めて限定的な使
用にとどまっているため、どの委員会所属企業でも正式にサポートされていな
い。そのため、何の対策も講じる必要はないと報告されている。

<参考>
Grisoftのリリースノート
http://www.grisoft.com/doc/36365/lng/us/tpl/tpl01
SecurityFocus BID
http://www.securityfocus.com/bid/21029
────────────────