このページは、HotFix Reportで配信されたセキュリティ情報のバックナンバーです。「更新日」に明記された時点での情報ですのでご注意ください。ご購読の申し込みは「HotFix Report購読の申し込み」 をご参照ください。

トップページ サービスの詳細 セキュリティ情報 購読の申し込み
 

更新日:2008/07/09


不具合ならびに追加情報

情報の種類 セキュリティ番号 タイトル
脆弱性 −/− Snapshot Viewer for Microsoft AccessのActiveXコントロールの脆弱性により、リモートでコードが実行される危険性
脆弱性解消 −/− 複数の脆弱性を解消したFirefox 2.0.0.15の提供開始
脆弱性 −/− セキュリティ・アドバイザリ
不具合 −/− そのほかの不具合情報
 
[脆弱性]
 
HotFix Alert:
 
セキュリティ番号:
 
サポート技術情報:
Snapshot Viewer for Microsoft AccessのActiveXコントロールの脆弱性により、リモートでコードが実行される危険性
情報ソース マイクロソフト
情報の内容 Snapshot Viewer for Microsoft AccessのActiveXコントロールの脆弱性
条件 Internet Explorerの利用
報告日 2008年7月8日

 マイクロソフトは、Snapshot Viewer for Microsoft Access(snapview.ocx)のActiveXコントロールに脆弱性が存在することを、セキュリティ・アドバイザリにて明らかにした。セキュリティ・アドバイザリなどによると、細工されたWebページをInternet Explorer(IE)で開くと、Snapshot Viewer for Microsoft Accessの脆弱性によって、自動的にファイルが攻撃者の指定した場所にダウンロードされてしまい、その結果、任意のコードが実行される危険性があるということだ。すでにこの脆弱性を悪用した攻撃が確認されている。

・セキュリティ・アドバイザリ955179(Snapshot Viewer for Microsoft Access の ActiveX コントロールの脆弱性により、リモートでコードが実行される):
http://www.microsoft.com/japan/technet/security/advisory/955179.mspx

 マイクロソフトは、この脆弱性の調査を行っており、修正プログラムの提供を予定していると述べている。またSnapshot Viewer for Microsoft AccessのActiveXコントロールのCLSIDに対して、killbitを設定することで脆弱性の回避が可能だとしている。killbitを設定する方法は、「セキュリティTIPS:Internet ExplorerでActiveXコントロールの実行を個別に禁止する方法」を参照してほしい。

ActiveXコントロール CLSID
snapview.ocx F0E42D50-368C-11D0-AD81-00A0C90DC8D9
F0E42D60-368C-11D0-AD81-00A0C90DC8D9
F2175210-368C-11D0-AD81-00A0C90DC8D9

・セキュリティTIPS(Internet ExplorerでActiveXコントロールの実行を個別に禁止する方法):
http://www.hotfix.jp/archives/tips/2005/tips05-04.html

情報の対象:
 Internet Explorer

脆弱性識別番号:
・CVE-2008-2463
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2008-2463

HotFix Report BBS関連スレッド:
・AccessのSnapshot ViewerのActiveXコントロールに脆弱性あり、修正プログラム未提供
http://bbs.hotfix.jp/ShowPost.aspx?PostID=7750

   
[脆弱性解消]
 
HotFix Alert:
 
セキュリティ番号:
 
サポート技術情報:
複数の脆弱性を解消したFirefox 2.0.0.15の提供開始
情報ソース Mozilla Foundation
情報の内容 Firefox 2.0.0.15の提供開始
条件 Firefox 2.0.0.xの利用
報告日 2008年7月1日

 Mozilla Foundationは、従来のFirefoxで発見された複数の脆弱性を解消したFirefox 2.0.0.15の提供を開始した。解消される脆弱性の内容は下表のとおり。

・Mozilla Foundation(Mozilla製品における既知の脆弱性 − Firefox 2.0.0.15で修正済み):
http://www.mozilla-japan.org/projects/security/
known-vulnerabilities.html#firefox2.0.0.15

MFSA番号 重要度 脆弱性の内容
MFSA 2008-33 最高 ブロックリフローにおけるクラッシュとリモート・コード実行
MFSA 2008-32 Windows URLショートカットを通じて、リモート・サイトがローカル・ファイルとして実行される
MFSA 2008-31 自己署名証明書の代替名を利用したサーバ偽装
MFSA 2008-30 ディレクトリ内容一覧に含まれるファイルURLが適切にエスケープされていない
MFSA 2008-29 不適切な.propertiesファイルによる未初期化メモリの使用
MFSA 2008-27 originalTargetとDOM Rangeを用いた任意のファイルのアップロード
MFSA 2008-25 最高 mozIJSSubScriptLoader.loadSubScript() による任意のコード実行
MFSA 2008-24 最高 キャッシュ・ファイルからのクローム・スクリプトの読み込み
MFSA 2008-23 署名済みJARファイルの改ざん
MFSA 2008-22 JavaScriptの同一生成元違反を通じたXSS
MFSA 2008-21 最高 メモリ破壊の形跡があるクラッシュ(rv:1.8.1.15)

 上表のようにWindows版のFirefox 2.0.0.15では合計11件の脆弱性が解消される。4件の緊急性の高い(重要度が「最高」)ものも含まれているので、至急、バージョンアップした方がよい。

 Firefox 2.0を利用している場合は、Firefoxを起動していると自動的に[ソフトウェア更新]ダイアログが表示され、更新が促されるようになっている(デフォルト設定の場合)。指示に従って更新版パッケージをインストールした後、Firefoxを再起動することでバージョンアップが行われる。また、Firefoxの[ヘルプ]−[ソフトウェアの更新を確認]を選択することでも、最新バージョンの有無のチェックとインストールが実行可能だ。

 なおMozilla Foundationは、Firefox 3.0の提供を開始したことから、2008年12月中旬をもってFirefox 2.0.0.xのサポートを終了し、セキュリティや安定性に関する修正プログラムの提供も終えることを明らかにしている。そのため、なるべく早期にFirefox 3.0への移行も検討した方がよい。

情報の対象:
 Firefox 2.0

脆弱性識別番号:
・CVE-2008-2811
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2811

・CVE-2008-2810
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2810

・CVE-2008-2809
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2809

・CVE-2008-2808
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2808

・CVE-2008-2807
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2807

・CVE-2008-2805
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2805

・CVE-2008-2803
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2803

・CVE-2008-2802
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2802

・CVE-2008-2801
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2801

・CVE-2008-2800
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2800

・CVE-2008-2799
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2799

・CVE-2008-2798
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2798

HotFix Report BBS関連スレッド:
・Firefox 2系のセキュリティホール対応 2.0.0.15
http://bbs.hotfix.jp/ShowPost.aspx?PostID=7747

   

■セキュリティ・アドバイザリ

・セキュリティ・アドバイザリ955179(Snapshot Viewer for Microsoft Access の ActiveX コントロールの脆弱性により、リモートでコードが実行される):[Snapshot Viewer for Microsoft Access][Access 2000][Access 2002][Access 2003]
http://www.microsoft.com/japan/technet/security/advisory/955179.mspx

・セキュリティ・アドバイザリ 953818(Apple 製 Safari が Windows プラットフォーム上で使用された場合の複合的な脅威):[Windows XP SP2/SP3][Windows Vista SP未適用/SP1]
http://www.microsoft.com/japan/technet/security/advisory/953818.mspx(更新)
#Apple Safariのダウンロード・サイトについての情報が追加

 

■そのほかの不具合/追加情報

・サポート技術情報 954436(スクリーン ショットは Windows Vista または Windows Server 2008 実行しているコンピュータで、キャプチャするときに、画面を固定し、コンピュータを再起動することが必要):[Windows Vista][Windows Server 2008]
http://support.microsoft.com/default.aspx?scid=kb;ja;954436(機械翻訳)

・サポート技術情報 952729(Internet Explorer 7 のショートカットを開こうとすると、対象の実行可能ファイル読み込むことができません):[IE 7]
http://support.microsoft.com/default.aspx?scid=kb;ja;952729(機械翻訳)

・サポート技術情報 951800(一部のカスタマイズされた Internet Explorer の設定をベースの Windows Vista コンピュータで 942615 (MS07、069)、944533 (MS08-010)、または 947864 (MS08-MS04-024) 用の累積的な更新プログラムをインストールした後、既定の構成に戻す):[Windows Vista+IE 7]
http://support.microsoft.com/default.aspx?scid=kb;ja;951800(機械翻訳)

・サポート技術情報 931125(Microsoft ルート証明書プログラムのメンバ (2007 年 7 月)):[Windows XP][Windows Server 2003][Windows Vista]
http://support.microsoft.com/default.aspx?scid=kb;ja;931125(機械翻訳)
http://www.microsoft.com/downloads/details.aspx?
FamilyID=f814ec0e-ee7e-435e-99f8-20b44d4531b0&DisplayLang=ja

#ルート証明書の更新を行う修正プログラムの提供

 

UpdateEXPERTは、管理者の負担を大幅に軽減するHotFix管理ツールです。
HotFix Reportは、UpdateEXPERTユーザー向けの情報を含んでいます。UpdateEXPERTに関する詳細ならびにお問い合わせは、アップデートテクノロジー株式会社のホームページをご参照ください。
 
Copyright (C) Digital Advantage Corp.
このメールは、HotFix Reportにご登録いただいておりますユーザー様にお送りしています。
無断で複製・再配信などを行うことはできません。このメールに関する問い合わせ先
info@hotfix.jp
HotFix Reportでは、細心の注意を払って情報提供を行っておりますが、本サービスにおける情報の正確性、最新性、適切性などについて、明示的又は黙示的な保証を行いません。また本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。