Chrome Update from 40.0.2214.91 to 40.0.2214.93 m

Chrome のUpdate来た

40.0.2214.91 から 40.0.2214.93 m Release Blogにはまだ記載無い（2015/01/27　9:35現在） http://googlechromereleases.blogspot.jp/

Flashがversion upしていた

You have version 16,0,0,296 installed

未修正の脆弱性への修正版だと思われる

libpng CVE-2014-9495, CVE-2015-0973 の各Linuxディストリビューションへの影響

libpngの脆弱性 悪意のあるファイルを処理させると任意のコード実行可能

• CVE-2014-9495 http://jvndb.jvn.jp/ja/contents/2014/JVNDB-2014-007576.html
• CVE-2015-0973 http://jvndb.jvn.jp/ja/contents/2015/JVNDB-2015-001198.html

脆弱性としては、悪意のあるファイルを処理させると任意のコードが実行可能、と影響大きい（CVE-2014-9495はScore 10）のわりに、話題になっていない。 どうしてだろう？、って事で各Linuxディストリビューションへの影響を調べてみた

結論

主要Linuxディストリビューション

• Debian
• Ubuntu
• RHEL, CentOS

は影響を受けない

fedoraは17のみ影響をうけるかもしれない。

脆弱性情報

• JVN
  • CVE-2014-9495 http://jvndb.jvn.jp/ja/contents/2014/JVNDB-2014-007576.html
  • CVE-2015-0973 http://jvndb.jvn.jp/ja/contents/2015/JVNDB-2015-001198.html
• libpng公式ページ
  • http://www.libpng.org/pub/png/libpng.html
• CVE
  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-9495
  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-0973

脆弱性の内容

JVNより

CVE-2014-9495 : Base Score 10.0 (危険)

攻撃者により、"過度に広いインターレース" の PNG 画像を介して、任意のコードを実行される可能性があります。

CVE-2015-0973 : Base Score 7.5 (危険)

攻撃者により、過度に大きな幅の IDAT データを介して、任意のコードを実行される可能性があります。

対象

対象は、libpngホームページ http://www.libpng.org/pub/png/libpng.html より

libpng versions 1.6.9 through 1.6.15 (and some subset of versions up through 1.5.20) have an integer-overflow vulnerability in png_combine_row() when decoding very wide interlaced images, which can allow an attacker to overwrite an arbitrary amount of memory with arbitrary (attacker-controlled) data. This vulnerability has been assigned ID CVE-2014-9495 and is fixed in versions 1.6.16 and 1.5.21, released on 21 December 2014.

※CVE-2015-0973については記載無し（2015/01/26 19:14現在）

RedHat系

RedHat系はRedHatのCVEデーターベースに情報あり

• https://access.redhat.com/security/cve/CVE-2014-9495
• https://access.redhat.com/security/cve/CVE-2015-0973

Statementに影響受けないとある

Not vulnerable. This issue does not affect the version of libpng as shipped with Red Hat Enterprise Linux 5, 6 and 7. For a more detailed explanation please refer to: https://bugzilla.redhat.com/show_bug.cgi?id=1177327#c1

https://bugzilla.redhat.com/show_bug.cgi?id=1177327#c1 に大丈夫な理由が書いてある。

主要ディストリビューション

• RHEL, CentOSは上記の通り対策してある
• debian, ubuntuは、1.2.x 系なので対象外 https://packages.debian.org/search?keywords=libpng http://packages.ubuntu.com/search?keywords=libpng&searchon=names&suite=all&section=all

fedora

RHEL, CentOSは上記の通り対策してあるので問題ないはず、、、だけど念のため確認して見る fedora 17 が影響を受ける可能性あり！

• f16まで1.2.x
• f17から1.5.x
• f17には　https://bugzilla.redhat.com/show_bug.cgi?id=1177327#c1 に書いてある対策がされていない！
• f18から上記の対応が入っている。
• f20から1.6.x

Flash Player Security updates on January 22, 2015 と Google Chrome 40

Flash Playerの緊急セキュリティUpdateがでた http://helpx.adobe.com/security/products/flash-player/apsb15-02.html

既に攻撃が確認されている２つの脆弱性のうちの１つを修正とのこと http://www.itmedia.co.jp/news/articles/1501/23/news051.html

Google Chromeは、先日のChrome 40 に入っているのが今回出た最新版になっている http://googlechromereleases.blogspot.jp/2015/01/stable-update.html のコメントにやりとりあり

2015年1月 Oracle Java SE のクリティカルパッチアップデートのサーバーへの影響調査

2015年1月 Oracle Java SE のクリティカルパッチアップデートのサーバーへの影響調査をしてみた。

• https://www.jpcert.or.jp/at/2015/at150003.html
• http://www.oracle.com/technetwork/topics/security/cpujan2015-1972971.html

結論

• 影響は小さめ
• network経由で攻撃できるのは、
  • Base Scoreは最大で5.0
  • DoS系 1つ
  • 2つはSSL/TLSのMITM系。そのうち一つはPOODLE SSLv3
  • SSL/TLS使っていなければ問題ない。
• localのもBase Score 5.4で大きくはない

調査詳細

Oracle Java SE Risk Matrix よりサーバが対象の物を抽出

Oracleのから情報はこれだけ http://www.oracle.com/technetwork/topics/security/cpujan2015-1972971.html#AppendixJAVA

Notes: で対象がわかる * 1.client only (Java Web and Applet) * 2.client only * 3.server * 4.server (JSSE)

なので、3,4なものが対象となる。

対象となるのは以下の4つ

CVE No	Access Vector	CVSS 2.0 Base Score	RISK
CVE-2015-0383	local	5.4	Integrity and Availability
CVE-2015-0410	network	5.0	only Availability
CVE-2014-3566	Network	4.3	only Confidentiality
CVE-2014-6593	Network	4.0	Confidentiality and Integrity

Access Vectorがnetworkなものを詳しく

こういうときはRedHatの情報が非常に便利

CVE-2015-0410

DoS系 Important: java-1.7.0-openjdk security update https://rhn.redhat.com/errata/RHSA-2015-0068.html より

A flaw was found in the way the DER (Distinguished Encoding Rules) decoder in the Security component in OpenJDK handled negative length values. A specially crafted, DER-encoded input could cause a Java application to enter an infinite loop when decoded. (CVE-2015-0410)

Red Hat Bugzilla https://bugzilla.redhat.com/show_bug.cgi?id=1183044 より

Bug 1183044 - (CVE-2015-0410) CVE-2015-0410 OpenJDK: DER decoder infinite loop (Security, 8059485)

CVE-2014-3566

このCVE noは、POODLE SSLv3

CVE-2014-6593

TLS/SSLでMITM攻撃ができるかも系の奴

Important: java-1.7.0-openjdk security update https://rhn.redhat.com/errata/RHSA-2015-0068.html より

It was discovered that the SSL/TLS implementation in the JSSE component in OpenJDK failed to properly check whether the ChangeCipherSpec was received during the SSL/TLS connection handshake. An MITM attacker could possibly use this flaw to force a connection to be established without encryption being enabled. (CVE-2014-6593)

Red Hat Bugzilla https://bugzilla.redhat.com/show_bug.cgi?id=1183049 より

Bug 1183049 - (CVE-2014-6593) CVE-2014-6593 OpenJDK: incorrect tracking of ChangeCipherSpec during SSL/TLS handshake (JSSE, 8057555)