JPCERT/CCからセキュリティ情報が発信されました．

Adobe Flash Player の脆弱性に関する注意喚起
https://www.jpcert.or.jp/at/2009/at090026.txt

　Flash Playerは，それを使っていると意識せずに使っている事が多い空気の様なもの？だとおもいますが，以下の公式サイトでバージョンをチェックできます．

Adobe Flash Player のバージョンテスト

　私は，チェックしたら残念ながら古いバージョンで10.0.32.18でした． Appleからはアップデータは今現時点ではリリースされてない様です．

　こんなアナウンスがされています．

IPv6 を実装した複数の製品にサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/jp/JVN75368899/index.html

　Neighbor Discovery Protocol (RFC 4861) に関連したパケットの処理に脆弱性ということです．
　IPv6では，ステートレス・アドレス自動設定 (RFC 4862)という機能で，DHCPサーバ無しで自分でIPアドレスを設定する機能があるのですが，その前提としてNeighbor(近隣) Discovery(探査)プロトコルがあるようで，ルータ探査，アドレス設定，アドレス解決な，重複アドレス検出等を行うようです．

　ヤマハのルータでこの脆弱性に対応しているファームウェアの一覧が掲載されています．

IPv6プロトコルにおけるサービス運用妨害(DoS)の脆弱性について
http://www.rtpro.yamaha.co.jp/RT/FAQ/Security/75368899.html

　RTX1500, RTX1100,RT107eのRev.8.03.80は昨年の10月にリリースされており，またRTX1200では発売当初から対応済という事で，ここ１年くらいの間にファームアップをしていれば問題ないようですが，ご確認ください．

　マルウェア（不正ソフト）の検知に関するレポートが，非営利研究機関のSRIから発表されています．

Most Effective Antivirus Tools Against New Malware Binaries
http://mtc.sri.com/live_data/av_rankings/

　無料のマイクロソフトが３位の成績で，これは国内ではシマンテックやトレンドマイクロは脅威になるのではないでしょうか．
　逆にビックリしたのは30位のNODD32(ESET)です．これも安価な企業向けセキュリティ対策ソフトですが，7%しか防御できなかったというのは，全く価値がないと同等です．

　まぁ，レポートにも有る通り一番優秀なものでも89%の検出率で，133個は見つけられなかったのですから，何を使っていても安心できないという事には変わりないようです．

　リモートデスクトップの脆弱性が発表されていますが，Remote Desktop Connection Client for Mac 2.0にも関係していますね．

マイクロソフト セキュリティ情報 MS09-044 - 緊急
http://www.microsoft.com/japan/technet/security/bulletin/ms09-044.mspx

　でもまぁ，家や会社でRDPをファイアウォール外へ許可している人は少ないと考えたのですが，データ通信カードで接続している時，OSが直接外部へ接続しているので，意外とそこをすり抜けてくるかもしれません．

　ひさびさにpostmasterにトロイ入りのメールがきました．
別に流行っている訳じゃないようだけど，たくさん来ました．

You have (7) message from TheBat.
Please re-configure your Microsoft Outlook again.
Download attached setup file and install.

という様な事が書かれていて，ZIPの添付ファイル付きです．

そもそもSPAMフィルタにて迷惑メールフォルダに振り分けられ、ウイルスチェックで弾かれるくらいなので、たいしたことはないですね．．．残念賞．

　時刻合わせ用プロトコルNTPの実装であるNTPDにバッファオーバーフローの脆弱性が発見された様です．

時計同期の「ntpd」にバッファオーバーフローの脆弱性

　認証型でNTPを使っている時に問題があるような感じでなのでレアケース？かもしれませんが，ソースコードからntpd関連パッケージをインストールする方法をまとめてみました．

RedHatのNTPDをソースコードからアップデートして脆弱性に対応する

　今月のセキュリティ情報がでています．

2009 年 5 月のセキュリティ情報
http://www.microsoft.com/japan/technet/security/bulletin/ms09-may.mspx

　出ているのはPowerPointの脆弱性だけで，OSに関するものがありません．　こういう月が過去にあったかな？というくらい珍しい気がします．

　PHPの新しいバージョンが出た様です．

PHP：セキュリティホールを修正した新バージョンが公開
http://japan.zdnet.com/sp/feature/07zeroday/story/0,3800083088,20389087,00.htm?tag=zdnw

　もう5.2.9か．．．このバージョンアップする都度，対応して行くのは疲れますね．　なんせ，リリースノート(Change log)に書かれていない変更が，たまーに潜んでいるので．　APIが全く無くなったなんて事もあります．
　よって，ステージング環境は大切ですよ．

　クロスサイトトレーシングという攻撃方法があり，その対策としてApacheでは1.3.34以降と2.0.55で，TRACEメソッドをオフにする設定が追加されていました．

　具体的には，httpd.confに以下の記述をして，Apacheを再起動するだけです．

TraceEnable Off

　これはスクリプトやFlash等からTraceメソッドを発行する事で，基本認証のパスワードを盗み出すことができるというもののようで，WhiteHat Securityという機関が2003年1月に発表した攻撃手法なのだそうです．

CROSS-SITE TRACING(XST)
※PDFがダウンロードされます

　TRACEメソッドはHTTP/1.1で導入されており，クライアントが自分が送信したリクエストメッセージがそのまま返ってくるというもの．　名前の通りでバッグ様ですな．

　ということで，これをOffにしておくことで挙動に問題がでる可能性は低いと考えられます．　よって，初期設定で最初から入れておくべきなのでしょう．

　古いApacheをお使っている場合は，mod_rewriteでレスポンスを返さない様に設定できるようです．