Opera 10.53 RC1リリース

出たばかりのOpera 10.52には、JavaScriptまわりでけっこう手ひどいバグ (Opera Asynchronous Content Modification Uninitialised Memory Vulnerability) があったので、さっそく 10.53 RC1 が出ています。

Opera Desktop Team - Opera 10.53 RC1 for Windows and Mac
http://my.opera.com/desktopteam/blog/2010/04/28/opera-10-53-rc1-for-windows-and-mac

早いというか、なんというか…

CactiにSQL Injection

CactiにSQL Injectionが見つかっています。

Full Disclosure: Bonsai Information Security - SQL Injection in Cacti <= 0.8.7e
http://seclists.org/fulldisclosure/2010/Apr/272

Debian GNU/LinuxではDSAが出ています。
DSA-2039-1 cacti
http://www.debian.org/security/2010/dsa-2039

Google Chrome extension に偽装したトロイの木馬

Trojan poses as Google Chrome extension • The Register
http://www.theregister.co.uk/2010/04/19/google_chrome_trojan/

より:

Google Chrome の extension に偽装したトロイの木馬が発見されたそうです。

「メールで受け取った文書の管理をもっと便利に!」とかかれたSPAM経由で、Google Chrome extension のページそっくりに偽装されたサイトに誘導され、そこからマルウェアの実行イメージに導かれます。
ファイルの拡張子は、Google Chrome extension の .crx ではなく .exe なのですが、まあ気付かない人も多いでしょう…

phpmyadmin脆弱性

phpmyadminの脆弱性は、つぶしてもつぶしても、いくらでも出てくる印象がありますが、今回はDebian -- Security Information -- DSA-2034-1 phpmyadminから:

CVE - CVE-2008-7251 (under review)
phpMyAdmin may create a temporary directory, if the configured directory does not exist yet, with insecure filesystem permissions.

CVE - CVE-2008-7252 (under review)
phpMyAdmin uses predictable filenames for temporary files, which may lead to a local denial of service attack or privilege escalation.

CVE - CVE-2009-4605 (under review)
The setup.php script shipped with phpMyAdmin may unserialize untrusted data, allowing for cross site request forgery.

Google検索結果トップをクリックしてウイルスに感染する実例ビデオ

百聞は一見に如かず。
2010/4/14に(英語での)Google検索ホットにあがっていた "tax day freebies" を検索し、(ニュースとかTwitterフィード以外の) 普通の検索結果の一個めをクリックし、偽装されたアンチウイルスサイトに誘導されてしまうさまが映し出されています。

Zscaler Research: Video: first link on Google leads to a malware site

元フランス軍の暗号専門家、Microsoft Officeの暗号の脆弱性について語る

Microsoft Office文書の暗号メカニズムには実装上の問題があり、攻撃者はそこをついて暗号を回避できます。これは特に目新しい話ではなく、2005年にすでに表に出ている話ですが、この脆弱性をつくツールや攻撃例が(公式に認められている限り)はありません。マイクロソフトが昔のバージョンのOfficeに対して、この問題を修正してこなかった理由は、ここかもしれません。

フランスの暗号専門家である Eric Filiol は、Black Hat セキュリティ・カン
ファレンスにて、こんな状況はもはや変わってしまった、とプレゼンテーショ
ンにて強調しています。彼の開発したツールを使えば、数分でOffice文書の暗号は解読できると。彼は1994年以来Officeで使われているRC4アルゴリズムを統計的に解析しはじめているそうです。いわく「当時私はフランス軍に雇用されており、当時のことはすべて機密だった。やっとこの問題について自由に語れるときがきたのだ」

くわしくはこちらへ:
Tool for cracking Office encryption in minutes

http://www.h-online.com/security/news/item/Tool-for-cracking-Office-encryption-in-minutes-979786.html

一太郎に0-day脆弱性

かの国産ワープロソフト「一太郎」に、0-day脆弱性が発見されています。

セキュリティ通信｜セキュリティ関連ニュース　【ゼロデイ攻撃】一太郎に脆弱性、すでに悪用も～早急に更新モジュール適用を

いまさら一太郎? とも思いますが、公的機関に文書を提出するケースでは、いまだに一太郎フォーマットが要求されることもあるようです。思い当たるかたはぜひアップデートを。

Firefox, CSS経由での訪問履歴検出に対抗

CSS の :visited に行われるプライバシー対策 « Mozilla Developer Street (modest) にあるとおり、Mozilla Foundationは、CSSを用いたユーザのサイト訪問履歴の想定外な検出手法に対策を取るようです。

CSSの :visited セレクタを使うと、特定のURLリンクの色がわかります。つまり、この仕組みを仕込んだページを訪問しただけで、そのユーザが特定のサイトを過去に訪問したことがあるかどうかが判ります。その検出結果をJavaScriptで任意のところに送信することもできるでしょう。端的に言えば「あなたはこのアダルトサイトを訪問したことがありますね」ということが、おそらくあなたが全くそれを意図しないうちに、勝手に検出されてしまいます。

この手法を使うと、たとえばWebサイトに出す広告のターゲッティングをさらに絞り込むことができます。具体的には、Drecomで開発され、楽天でビジネス展開されている「ad4U：ドリコムの次世代行動ターゲティング広告技術サービス」がこの手法を用いています。この手法に対する考え方には、ユーザが意図しないうちに行動履歴を察知されてしまうことについて、批判的なものもありうるでしょう。さらにこの手法をもっと悪用することもできるでしょう。

この手法自体を無効化させる取り組みをMozillaがはじめたことは、ユーザが安心してWebを利用できるために、非常に興味深いものです。

JRE 6 Update 20

JRE 6 Update 20が出ています。前回 JRE 6 Update 19が出てから二週間ぐらいしか経っていません。

Java SE 6 Update 20 Release Notes

今回も重要な脆弱性への修正が含まれています。速やかにアップデートしましょう。Windowsの場合はコントロールパネルのJavaセクションからアップデートできますが、自動アップデートは月に一回の頻度に設定されていることが多いので、こちらもあわせてチェックの頻度を高めておきましょう。

WindowsマシンのDNS設定を改ざんし通信を乗っ取る「iPhoneアンロック・ユーティリティー」

WindowsマシンのDNS設定を改ざんし、通信を乗っ取ろうとする「iPhoneアンロック・ユーティリティー」が報告されています。

DNS Trojan poses as iPhone unlocking utility • The Register

iPhoneをunlockできます、とうたうスパムメール経由で、ユーザを iphone-iphone.info というサイトに誘導し、blackra1n.exe という Windows実行ファイルをダウンロードさせます。これは iPhone アンロック・ユーティリティーという見かけの裏で、DNS設定を改ざんし、インターネット接続をハイジャックしてしまいます。

2010/4/16 01:30 JST 現在、iphone-iphone.info には、Google Chrome や Firefox でもアクセスできてしまいます。まだphishing siteデータベースには登録されていないのでしょう。お気をつけください。

Mac OS X Security Update 2010-003

Mac OS X の Security Update 2010-003 が出ました。
このアップデートで、先日「「iPhone」「Safari」「IE8」「Firefox」がハッキングされる-Pwn2Ownコンテスト:ニュース - CNET Japan」で報道された、遠隔でSafariのloopholeを突いてOS Xホストをクラックできるセキュリティホールを塞ぐことができた、としています。

セキュリティアップデート 2010-003 のセキュリティコンテンツについて
http://support.apple.com/kb/HT4131?viewlocale=ja_JP

Apple patch closes Pwn2Own hole in Mac OS X - The H Security: News and Features

Apache's Atlassian JIRA system compromised

Apache Software Foundation (ASF) いわく、Atlassian 社製のバグ・トラッキングシステムである JIRA, エンタープライズ用のwiki である Confluence, そして Bugzilla のバスワードがクラックされたようです。
JIRAとConfluenceはランダムなsaltなしでSHA-512でパスワード・ハッシュを生成しており、この弱さを4/6〜4/9の間に突かれたようです。関係者はパスワードを(複雑なものに)変更すべし、とのことです。

Apache's Atlassian JIRA system compromised - The H Security: News and Features
http://www.h-online.com/security/news/item/Apache-s-Atlassian-JIRA-system-compromised-976465.html

CVE-2010-0806の実証コード

CVE-2010-0806の実証コードがZscaler Researchで公開されています。

Zscaler Research: CVE-2010-0806 Exploit in the Wild
http://research.zscaler.com/2010/04/cve-2010-0806-exploit-in-wild.html

難読化されたJavaScriptが興味深いです。

JRE 6 Update 19

JRE のアップデートはともかく、とうとう「オラクルは… 公開した」なんですね…

Firefox 3.6.3

このあいだ 3.6.2 が出たとおもったら、もう3.6.3です。

次世代ブラウザ Firefox – Firefox 3.6.3 リリースノート
http://mozilla.jp/firefox/3.6.3/releasenotes/

以下の脆弱性が修正されています。

MFSA 2010-25: スコープの混同による解放済みオブジェクトの再使用
http://www.mozilla-japan.org/security/announce/2010/mfsa2010-25.html