読者です 読者をやめる 読者になる 読者になる

Chrome Update from 40.0.2214.91 to 40.0.2214.93 m

security

Chrome のUpdate来た

40.0.2214.91 から 40.0.2214.93 m Release Blogにはまだ記載無い(2015/01/27 9:35現在) http://googlechromereleases.blogspot.jp/

Flashがversion upしていた

You have version 16,0,0,296 installed

未修正の脆弱性への修正版だと思われる

libpng CVE-2014-9495, CVE-2015-0973 の各Linuxディストリビューションへの影響

linux security

libpngの脆弱性 悪意のあるファイルを処理させると任意のコード実行可能

脆弱性としては、悪意のあるファイルを処理させると任意のコードが実行可能、と影響大きい(CVE-2014-9495はScore 10)のわりに、話題になっていない。 どうしてだろう?、って事で各Linuxディストリビューションへの影響を調べてみた

結論

主要Linuxディストリビューション

は影響を受けない

fedoraは17のみ影響をうけるかもしれない。

脆弱性情報

脆弱性の内容

JVNより

CVE-2014-9495 : Base Score 10.0 (危険)

攻撃者により、"過度に広いインターレース" の PNG 画像を介して、任意のコードを実行される可能性があります。

CVE-2015-0973 : Base Score 7.5 (危険)

攻撃者により、過度に大きな幅の IDAT データを介して、任意のコードを実行される可能性があります。

対象

対象は、libpngホームページ http://www.libpng.org/pub/png/libpng.html より

libpng versions 1.6.9 through 1.6.15 (and some subset of versions up through 1.5.20) have an integer-overflow vulnerability in png_combine_row() when decoding very wide interlaced images, which can allow an attacker to overwrite an arbitrary amount of memory with arbitrary (attacker-controlled) data. This vulnerability has been assigned ID CVE-2014-9495 and is fixed in versions 1.6.16 and 1.5.21, released on 21 December 2014.

※CVE-2015-0973については記載無し(2015/01/26 19:14現在)

RedHat

RedHat系はRedHatのCVEデーターベースに情報あり

Statementに影響受けないとある

Not vulnerable. This issue does not affect the version of libpng as shipped with Red Hat Enterprise Linux 5, 6 and 7. For a more detailed explanation please refer to: https://bugzilla.redhat.com/show_bug.cgi?id=1177327#c1

https://bugzilla.redhat.com/show_bug.cgi?id=1177327#c1 に大丈夫な理由が書いてある。

主要ディストリビューション

fedora

RHEL, CentOSは上記の通り対策してあるので問題ないはず、、、だけど念のため確認して見る fedora 17 が影響を受ける可能性あり!

Flash Player Security updates on January 22, 2015 と Google Chrome 40

security

Flash Playerの緊急セキュリティUpdateがでた http://helpx.adobe.com/security/products/flash-player/apsb15-02.html

既に攻撃が確認されている2つの脆弱性のうちの1つを修正とのこと http://www.itmedia.co.jp/news/articles/1501/23/news051.html

Google Chromeは、先日のChrome 40 に入っているのが今回出た最新版になっている http://googlechromereleases.blogspot.jp/2015/01/stable-update.html のコメントにやりとりあり

f:id:watarin:20150123095310p:plain

2015年1月 Oracle Java SE のクリティカルパッチアップデートのサーバーへの影響調査

security java

2015年1月 Oracle Java SE のクリティカルパッチアップデートのサーバーへの影響調査をしてみた。

結論

  • 影響は小さめ
  • network経由で攻撃できるのは、
    • Base Scoreは最大で5.0
    • DoS系 1つ
    • 2つはSSL/TLSのMITM系。そのうち一つはPOODLE SSLv3
    • SSL/TLS使っていなければ問題ない。
  • localのもBase Score 5.4で大きくはない

調査詳細

Oracle Java SE Risk Matrix よりサーバが対象の物を抽出

Oracleのから情報はこれだけ http://www.oracle.com/technetwork/topics/security/cpujan2015-1972971.html#AppendixJAVA

Notes: で対象がわかる * 1.client only (Java Web and Applet) * 2.client only * 3.server * 4.server (JSSE)

なので、3,4なものが対象となる。

対象となるのは以下の4つ

CVE No Access Vector CVSS 2.0 Base Score RISK
CVE-2015-0383 local 5.4 Integrity and Availability
CVE-2015-0410 network 5.0 only Availability
CVE-2014-3566 Network 4.3 only Confidentiality
CVE-2014-6593 Network 4.0 Confidentiality and Integrity

Access Vectorがnetworkなものを詳しく

こういうときはRedHatの情報が非常に便利

CVE-2015-0410

DoS系 Important: java-1.7.0-openjdk security update https://rhn.redhat.com/errata/RHSA-2015-0068.html より

A flaw was found in the way the DER (Distinguished Encoding Rules) decoder in the Security component in OpenJDK handled negative length values. A specially crafted, DER-encoded input could cause a Java application to enter an infinite loop when decoded. (CVE-2015-0410)

Red Hat Bugzilla https://bugzilla.redhat.com/show_bug.cgi?id=1183044 より

Bug 1183044 - (CVE-2015-0410) CVE-2015-0410 OpenJDK: DER decoder infinite loop (Security, 8059485)

CVE-2014-3566

このCVE noは、POODLE SSLv3

CVE-2014-6593

TLS/SSLでMITM攻撃ができるかも系の奴

Important: java-1.7.0-openjdk security update https://rhn.redhat.com/errata/RHSA-2015-0068.html より

It was discovered that the SSL/TLS implementation in the JSSE component in OpenJDK failed to properly check whether the ChangeCipherSpec was received during the SSL/TLS connection handshake. An MITM attacker could possibly use this flaw to force a connection to be established without encryption being enabled. (CVE-2014-6593)

Red Hat Bugzilla https://bugzilla.redhat.com/show_bug.cgi?id=1183049 より

Bug 1183049 - (CVE-2014-6593) CVE-2014-6593 OpenJDK: incorrect tracking of ChangeCipherSpec during SSL/TLS handshake (JSSE, 8057555)