このページは、HotFix Reportで配信されたセキュリティ情報のバックナンバーです。「更新日」に明記された時点での情報ですのでご注意ください。ご購読の申し込みは「HotFix Report購読の申し込み」 をご参照ください。

トップページ サービスの詳細 セキュリティ情報 購読の申し込み
　

更新日：2006/09/20
不具合ならびに追加情報
情報の種類 セキュリティ番号 タイトル
脆弱性 −／− Internet ExplorerのActiveXコントロール「daxctle.ocx」に修正プログラム未提供の脆弱性
脆弱性解消 −／− Flash Playerに複数の脆弱性
不具合解消 MS06-040／924054 MS06-040の修正プログラム適用で、大量の連続メモリを要求するプログラムでエラーが発生する不具合
脆弱性解消 −／− 複数の脆弱性を解消したFirefox／Thunderbird 1.5.0.7の提供を開始
脆弱性 −／− セキュリティ・アドバイザリ
不具合 −／− そのほかの不具合情報
　
［脆弱性］
　
HotFix Alert：
−
　
セキュリティ番号：
−
　
サポート技術情報：
−
Internet ExplorerのActiveXコントロール「daxctle.ocx」に修正プログラム未提供の脆弱性
情報ソース nop氏（XSec）、Bugtraq、マイクロソフトなど
情報の内容 Internet Explorerの修正プログラム未提供の脆弱性
条件 Internet Explorerの利用
報告日 2006年9月13日

　nop氏は、daxctle.ocxに含まれるDirectAnimationパスのActiveXコントロールにヒープ・オーバーフローの脆弱性が存在し、任意のコードが実行できる危険性のあることを報告した。細工したWebページをInternet Explorer（IE）で開くだけで、コードが実行されてしまう。

・Bugtraq（[0day] daxctle2.c - Internet Explorer COM Object Heap Overflow Download Exec Exploit）：
http://www.securityfocus.com/archive/1/445898/30/30/threaded

　実行ファイルをダウンロード（実行）するように細工されたWebページを作成するための実証コードが公開されており、悪用される危険性が高まっている。この脆弱性は、スパイウェアやアドウェアのインストールに悪用されることが懸念されるものである。

　なおDA Labで、公開されている実証コードを試したところ、Windows 2000＋IE 6 SP1、Windows XP SP1a＋IE 6 SP1、Windows XP SP2においてIEが異常終了することを確認した。ただし仕込まれた実行ファイルの実行やダウンロードは行われなかった。

　この脆弱性について、すでにマイクロソフトは、セキュリティ・アドバイザリを公開し、警告を発している。ただし現在のところ、マイクロソフトからこの脆弱性に対する修正プログラムは提供されていない。

・セキュリティ・アドバイザリ 925444（Microsoft DirectAnimation パスの ActiveX コントロールの脆弱性により、リモートでコードが実行される）：
http://www.microsoft.com/japan/technet/security/advisory/925444.mspx

　脆弱性を回避するには、以下のCLSIDにkillbitを個別に設定すればよい。killbitを設定する方法は、「セキュリティTIPS：Internet ExplorerでActiveXコントロールの実行を個別に禁止する方法」を参照してほしい。ただし、daxctle.ocxに対してkillbitを設定すると、DirectAnimation パスなどdaxctle.ocxの機能を利用しているWebサイトではページが表示されなくなるので注意が必要だ。

COMオブジェクト CLSID
daxctle.ocx {D7A7D7C3-D47F-11D0-89D3-00A0C90833E6}

・セキュリティTIPS（Internet ExplorerでActiveXコントロールの実行を個別に禁止する方法）：
http://www.hotfix.jp/archives/tips/2005/tips05-04.html
情報の対象：
 　Internet Explorer

脆弱性識別番号：
・CVE-2006-4777
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4777

HotFix Report BBS関連スレッド：
・Internet Explorerにコード実行の脆弱性、パッチ未提供
http://bbs.hotfix.jp/ShowPost.aspx?PostID=5859
　 　
［脆弱性解消］
　
HotFix Alert：
−
　
セキュリティ番号：
−
　
サポート技術情報：
−
Flash Playerに複数の脆弱性
情報ソース アドビ システムズ、マイクロソフト
情報の内容 Flash Playerの脆弱性の解消
条件 Flash Playerの利用
報告日 2006年9月12日

　アドビ システムズは、Flash Player 8.0.24.0とそれ以前のバージョンに複数の脆弱性が存在することを明らかにし、Flash Player 9.0.16.0へのバージョンアップを推奨するアドバイザリを公開した。またWindows XPにFlash Playerを同梱する形で再配布していることから、マイクロソフトもセキュリティ・アドバイザリを公開し、Flash Playerのバージョンアップを推奨している。

・Adobe Systems（Multiple Vulnerabilities in Adobe Flash Player 8.0.24.0 and Earlier Versions）：
http://www.adobe.com/support/security/bulletins/apsb06-11.html

・セキュリティ・アドバイザリ 925143（Adobe セキュリティ速報: APSB06-11: Flash Player の脆弱性を解決するアップデート）：
http://www.microsoft.com/japan/technet/security/advisory/925143.mspx

　Flash Player 8.0.24.0とそれ以前のバージョンには、2006/07/12日付け配信のHotFix Weeklyで報告済みの2種類（CVE-2006-3587とCVE-2006-3588）の脆弱性のほか、合計5種類の脆弱性が存在する。細工されたSWFファイル（Flashのデータ・ファイル）を再生すると、任意のコードが実行される危険性のある脆弱性が含まれているため、非常に危険な状態にある。

・HotFix Weekly 2006/07/12日付け配信（Flash Playerに2種類の脆弱性）：
http://www.hotfix.jp/archives/alert/2006/news06-0712.html#04

　Flash Playerは、Windows XPにデフォルトでインストールされているほか、多くのWebサイトがFlashのコンテンツを採用していることから、ほとんどのコンピュータでインストールされているものと思われる。脆弱性が公開されてから2カ月以上が経過していることから、悪用される危険性は高まっている。

　アドビ システムズのアドバイザリによれば、脆弱性を解消するには、最新のFlash Player 9.0.16.0へのバージョンアップが必要であるということだ。Flash Playerの最新版は、以下のアドビシステムズのページからインストールできる。至急、バージョンアップした方がよい。

・アドビ システムズ（Adobe Flash Player）：
http://www.adobe.com/jp/products/flashplayer/
情報の対象：
　Windows 2000
　Windows XP
　Windows Server 2003

脆弱性識別番号：
・CVE-2006-3014
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3014

・CVE-2006-3311
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3311

・CVE-2006-3587
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3587

・CVE-2006-3588
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3588

・CVE-2006-4640
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4640

HotFix Report BBS関連スレッド：
・Flash Playerに複数の脆弱性、9.0.16.0で解消
http://bbs.hotfix.jp/ShowPost.aspx?PostID=5850
　 　
［不具合解消］
　
HotFix Alert：
MS06-040
　
セキュリティ番号：
MS06-040
　
サポート技術情報：
924054
MS06-040の修正プログラム適用で、大量の連続メモリを要求するプログラムでエラーが発生する不具合
情報ソース マイクロソフト
情報の内容 MS06-040の修正プログラム適用による不具合発生
条件 MS06-040の修正プログラム適用
報告日 2006年9月13日

　マイクロソフトは、Windows Server 2003 SP1において、MS06-040の修正プログラムを適用すると、大量の連続メモリを要求するプログラムでエラーが発生する不具合が発生することを明らかにした。プログラムが1Gbytes以上のメモリを要求すると予期しないエラーが発生し、コンピュータが異常終了することがあるという。

・サポート技術情報 924054（Windows Server 2003 Service Pack 1 または Windows XP Professional x64 Edition ベースのコンピュータにセキュリティ更新プログラム 921883 (MS06-040) をインストールすると、大量の連続メモリを要求するプログラムでエラーが発生することがある）：
http://support.microsoft.com/default.aspx?scid=kb;ja;924054

　すでにこの不具合を解消した更新版（バージョン2）の修正プログラムが提供されている。すでにMS06-040の旧版の修正プログラムが適用済みの場合でも、アンインストールせずに更新版の修正プログラムが適用可能である。また更新版には、Windows Server 2003 SP未適用向けも含まれているが、今回の不具合が発生するのはSP1／R2のみで、SP未適用向けの修正は旧版と同じものである。

■ダウンロード先
プラットフォーム ダウンロード・センター WU／MU／SUS／WSUSの表示
Windows Server 2003 SP未適用／SP1／R2 Windows Server 2003 用セキュリティ更新プログラム (KB921883)

■適用されるファイル情報
　以下のファイルが置き換わる。背景がサクラ色のファイルが、旧版から更新版で変更となったものである。

Windows Server 2003 SP未適用／SP1／R2：
ファイル名 日付 バージョン サイズ
WindowsServer2003-KB921883-v2-x86-JPN.exe 2006/08/31 2.0.0.0
727,352
　
ファイル名 日付 バージョン サイズ 機能
展開フォルダ
（RTMGDR／
RTMQFE）
%SystemRoot%\system32\
netapi32.dll 2006/07/17 5.2.3790.559
324,608
 Net Win32 API DLL
展開フォルダ
（SP1GDR／
SP1QFE）
%SystemRoot%\system32\
netapi32.dll 2006/08/11 5.2.3790.2769
349,696
 Net Win32 API DLL
情報の対象：
　Windows Server 2003 SP1／R2
HotFix Report BBS関連スレッド：
・MS06-040の更新版がリリース
http://bbs.hotfix.jp/ShowPost.aspx?PostID=5843#5843
　 　
［脆弱性解消］
　
HotFix Alert：
−
　
セキュリティ番号：
−
　
サポート技術情報：
−
複数の脆弱性を解消したFirefox／Thunderbird 1.5.0.7の提供を開始
情報ソース Mozilla Foundationなど
情報の内容 Firefox／Thunderbird 1.5.0.7の提供開始
条件 Firefox／Thunderbird 1.5の利用
報告日 2006年9月15日

　Mozilla Foundationは、従来のFirefox／Thunderbirdで発見された合計8件の脆弱性を解消したFirefox／Thunderbird 1.5.0.7の提供を開始した。脆弱性の内容は下表のとおり（○が脆弱性の対象となっているもの）。

・Mozilla Foundation（Mozilla 製品における既知の脆弱性）：
http://www.mozilla-japan.org/projects/security/known-vulnerabilities.html

MFSA番号 重要度 脆弱性の内容 Firefox Thunderbird
MFSA 2006-64 最高 メモリ破壊の形跡があるクラッシュ（rv:1.8.0.7）
○
○
MFSA 2006-63 高 XBLを通じたメール内でのJavaScript実行
−
○
MFSA 2006-62 中 ポップアップ・ブロック機能を通じたクロスサイト・スクリプティング
○
−
MFSA 2006-61 低 document.open()を使ったフレームのなりすまし
○
−
MFSA 2006-60 最高 RSA署名の偽造
○
○
MFSA 2006-59 最高 並列処理に関する脆弱性
○
○
MFSA 2006-58 中 DNSとSSLのなりすましを通じた自動更新の乗っ取り
○
○
MFSA 2006-57 最高 JavaScript正規表現によるヒープ破壊
○
○

　Firefox／Thunderbird 1.5.0.7では4件の緊急性の高い（重要度が「最高」）の脆弱性の解消がそれぞれ含まれている。任意のコードが実行される脆弱性が含まれているので、危険性が高い。至急、バージョンアップした方がよい。

　Firefox／Thunderbird 1.5を利用している場合は、Firefox／Thunderbirdを起動していると自動的に［ソフトウェア更新］ダイアログが表示され、更新が促されるようになっている（デフォルト設定の場合）。指示に従ってFirefox／Thunderbird 1.5.0.7をインストール後、Firefox／Thunderbirdを再起動することでバージョンアップが行われる。また Firefox／Thunderbirdの［ヘルプ］−［ソフトウェアの更新を確認］を選択することでも、最新バージョンの有無のチェックとインストールが実行可能だ。
情報の対象：
　Firefox 1.5
　Thunderbird 1.5

・CVE-2006-4339
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4339

・CVE-2006-4340
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4340

・CVE-2006-4565
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4565

・CVE-2006-4566
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4566

・CVE-2006-4567
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4567

・CVE-2006-4568
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4568

・CVE-2006-4569
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4569

・CVE-2006-4570
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4570

・CVE-2006-4571
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4571

HotFix Report BBS関連スレッド：
・Firefox／Thunderbirdに複数の脆弱性。1.5.0.7で解消
http://bbs.hotfix.jp/ShowPost.aspx?PostID=5860
　 　

■セキュリティ・アドバイザリ

・セキュリティ・アドバイザリ 925143（Adobe セキュリティ速報: APSB06-11: Flash Player の脆弱性を解決するアップデート）：［Windows 2000 SP4］［Windows XP SP1］
http://www.microsoft.com/japan/technet/security/advisory/925143.mspx

・セキュリティ・アドバイザリ 922437（Windows 用の更新プログラム）：［Windows 2000 SP4］［Windows XP SP1］
http://www.microsoft.com/japan/technet/security/advisory/922582.mspx
＃Windows Updateから修正プログラムをインストールできなくなるというフィルタ・マネージャの不具合を解消する修正プログラムが提供されたという情報

・セキュリティ・アドバイザリ 925444（Microsoft DirectAnimation パスの ActiveX コントロールの脆弱性により、リモートでコードが実行される）：［Windows 2000 SP4］［Windows XP SP1］
http://www.microsoft.com/japan/technet/security/advisory/925444.mspx
＃リモートでコードが実行される危険性があるDaxctle.ocx（ActiveXコントロール）の脆弱性が公開されたという警告
　

■そのほかの不具合／追加情報

・サポート技術情報 924186（条件付き書式は、 Excel での文字列での最初の形式に付属する文字にのみ適用されます）：［Excel 2000］［Excel 2002］［Excel 2003］
http://support.microsoft.com/default.aspx?scid=kb;ja;924186（機械翻訳）

・サポート技術情報 924788（Outlook 2003 でメッセージを送信するとき、送信トレイ フォルダにメッセージは、未送信なままになります）：［Outlook 2003］
http://support.microsoft.com/default.aspx?scid=kb;ja;924788（機械翻訳）

・サポート技術情報 924439（大きな L3 キャッシュを持つ非常に速い Windows 2000 ベースのコンピュータでのエラー メッセージ:「 STOP」 0x0000001E）：［Windows 2000］
http://support.microsoft.com/default.aspx?scid=kb;ja;924439（機械翻訳）

・サポート技術情報 904946（Windows XP または Windows Server 2003 を実行しているコンピュータの断続的な通信障害が発生します）：［Windows XP］［Windows Server 2003］
http://support.microsoft.com/default.aspx?scid=kb;ja;904946（機械翻訳）

・サポート技術情報 921619（MPEG ムービーを表示するために、 Internet Explorer を使用するプログラムは、 Windows XP を実行しているコンピュータで応答を停止することがあります）：［Windows XP］
http://support.microsoft.com/default.aspx?scid=kb;ja;921619（機械翻訳）

・サポート技術情報 923996（カスタム ポップアップ オブジェクトを使用する Web ページにアクセスすると、Internet Explorer 6 が突然終了する）：［Windows XP SP2］［Windows Server 2003 SP1］
http://support.microsoft.com/default.aspx?scid=kb;ja;923996
http://www.microsoft.com/downloads/details.aspx?
FamilyID=ff9bc431-01f3-48e8-9a58-d701d2e60c1d&DisplayLang=ja（Windows XP SP2）
http://www.microsoft.com/downloads/details.aspx?
FamilyID=4ae4aa58-97fb-4ccf-aba4-f9271a9282e2&DisplayLang=ja（Windows 2003 SP1）
＃MS06-042の修正プログラムを適用すると、カスタム・ポップアップ・オブジェクトを利用したWebサイトでIE6が突然終了する、という不具合を解消する修正プログラムの提供

・サポート技術情報 922582（Microsoft Windows ベースのコンピュータを更新すると、エラー メッセージ:「 0x80070002」）：［Windows 2000 SP4］［Windows XP SP2］［Windows Server 2003 SP1］
http://support.microsoft.com/default.aspx?scid=kb;ja;922582
http://www.microsoft.com/downloads/details.aspx?
FamilyID=3df5f605-ea6f-4a98-bc1c-a76bc006859b&DisplayLang=ja（Windows 2000）
http://www.microsoft.com/downloads/details.aspx?
FamilyID=7c48dc3a-e3a2-4681-a0d1-3886afdc6e73&DisplayLang=ja（Windows XP SP2）
http://www.microsoft.com/downloads/details.aspx?
FamilyID=b6014148-d0ed-48e5-9081-3cb61db2c935&DisplayLang=ja（Windows 2003 SP1）
＃Windows Updateから修正プログラムをインストールできなくなるというフィルタ・マネージャの不具合を解消する修正プログラムの提供

・サポート技術情報 890830（Windows Server 2003、Windows XP、または Windows 2000 を実行するコンピュータから、流行している特定の悪質なソフトウェアを削除する Microsoft Windows 悪意のあるソフトウェアの削除ツール）：［Windows 2000 SP4］［Windows XP SP1／SP1a／SP2］［Windows Server 2003］
http://support.microsoft.com/default.aspx?scid=kb;ja;890830
http://www.microsoft.com/downloads/details.aspx?
FamilyID=ad724ae0-e72d-4f54-9ab3-75b8eb148356&DisplayLang=ja
＃悪意のあるソフトウェアの削除ツールの最新版（Ver.1.20）の提供

・サポート技術情報 921580（Outlook 2003 迷惑電子メール フィルタ更新の説明:2006年 September 12日）：［Outlook 2003］
http://support.microsoft.com/default.aspx?scid=kb;ja;921580（機械翻訳）
http://www.microsoft.com/downloads/details.aspx?
FamilyID=5f2e05ee-284d-4bd4-aad0-ce95375d48cb&DisplayLang=ja
＃Outlook 2003迷惑メール フィルタの更新プログラムの最新版（2006年9月版）の提供

・ダウンロード・センター（Internet Explorer 7 Release Candidate 1）
http://www.microsoft.com/downloads/details.aspx?
FamilyID=94e5bf41-2907-4415-8f72-da7c2c2ace09&DisplayLang=ja（Windows XP SP2）
http://www.microsoft.com/downloads/details.aspx?
FamilyID=0e86fabb-1d57-4e66-90de-5eb6069d85e8&DisplayLang=ja（Windows Server 2003 SP1）
＃Internet Explorer 7の製品候補版1（RC1）の一般公開
　
UpdateEXPERTは、管理者の負担を大幅に軽減するHotFix管理ツールです。
HotFix Reportは、UpdateEXPERTユーザー向けの情報を含んでいます。UpdateEXPERTに関する詳細ならびにお問い合わせは、アップデートテクノロジー株式会社のホームページをご参照ください。
　
Copyright (C) Digital Advantage Corp.
このメールは、HotFix Reportにご登録いただいておりますユーザー様にお送りしています。
無断で複製・再配信などを行うことはできません。このメールに関する問い合わせ先：info@hotfix.jp
HotFix Reportでは、細心の注意を払って情報提供を行っておりますが、本サービスにおける情報の正確性、最新性、適切性などについて、明示的又は黙示的な保証を行いません。また本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。