脆弱性情報（JVN）検索・一覧

Pithos の PreferencesPithosDialog.py は、.config/pithos.ini ファイルへのパーミッションを制限しないため、Pandora 資格情報を取得される脆弱性が存在します。

SUSE Linux Enterprise (SLE) の rubygem-sqlite3 パッケージの sqlite3-ruby gem は、ファイルに脆弱なパーミッションを使用するため、権限を取得される脆弱性が存在します。

MyBB には、[img] MyCodes の制限数を回避される脆弱性が存在します。

IBM Lotus Notes Traveler は、マルチドメイン環境が使用されている際、Traveler 以外の異なる Domino ドメインからのモバイルユーザに対して、ポリシードキュメントを適切に適用しないため、アクセス制限を回避する脆弱性が存在します。

USAA application for Android は、訪問した Web ページのミラー画像を格納するため、重要なオンラインバンキングの情報を取得される脆弱性が存在します。

RSA Authentication Client の SecurID 800 ユーザ認証子の秘密鍵オブジェクトは、SENSITIVE または NON-EXTRACTABLE タグを適切に処理しないため、アクセス制限を回避され、鍵を解読される脆弱性が存在します。

VMware Workstation および VMware Player のインストーラは、インストールディレクトリ内の index.htm ファイルを表示するため、Web スクリプトまたは HTML の想定外の解釈が発生する脆弱性が存在します。

Cisco Secure Desktop (CSD) は Anyconnect SSL VPN に関連して使用される際には、適切にチェックを実行しないため、ポリシー制限を回避する脆弱性が存在します。

IBM FileNet P8 Application Engine (P8AE) の Workplace コンポーネントは、特定の FileTracker 設定において、セッション中に追加された最初のドキュメントにセキュリティポリシーを適用しないため、アクセス制限を回避する脆弱性が存在します。

fuse の fusermount の特定の legacy 機能は、util-linux が --no-canonicalize オプションをサポートしない際、アクセス制限を回避および任意のディレクトリをアンマウントされる脆弱性が存在します。

fuse の fusermount は、マウントまたはアンマウント前に / への chdir を実行しないため、任意のディレクトリをアンマウントされる脆弱性が存在します。

IBM Tivoli Federated Identity Manager (TFIM) は、OpenID 認証利用サイトを設定する際、認証利用サイトの信頼エントリのユーザ削除要求に応じてサイト情報クッキーを削除しないため、信頼制限を回避される脆弱性が存在します。

Open Ticket Request System (OTRS) は、CustomerID 値の一桁の部分文字列をベースにチケットアクセスを付与するため、アクセス制限を回避される脆弱性が存在します。

Apple iOS の Siri は、音声コマンドを処理する Mail.app の機能を適切に制限しないため、ロック状態を回避される脆弱性が存在します。

twicca には、アクセス制限不備の脆弱性が存在します。 twicca は、Twitter 用クライアントソフトウェアです。twicca には、アクセス制限不備の脆弱性が存在します。 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。 報告者: 東北大学 大学院情報科学研究科 草野 一彦 氏

Linux と Mac OS X 上で稼働する Mozilla Firefox および SeaMonkey には、Firefox Recovery Key.html に弱いアクセス権が設定されることで、Firefox Sync キーを読まれる脆弱性が存在します。

Linux kernel の security/keys/user_defined.c 内にある user_update 関数には、サービス運用妨害 (NULL ポインタデリファレンスおよび kernel oops) 状態となる脆弱性が存在します。

Linux kernel の hfs_find_init 関数には、サービス運用妨害 (NULL ポインタデリファレンスおよび OOPS) 状態となる脆弱性が存在します。

Perl 用 PAR モジュールの par_mktmpdir 関数は、ディレクトリの所有者のアクセス許可を検証しないで、予測可能な名前のディレクトリ内に一時ファイルを作成するため、別のユーザが PAR パッケージ化したプログラムを展開するとき、ファイルを上書きされる脆弱性が存在します。 本脆弱性は、CVE-2011-4114 とは異なるパッケージの脆弱性です。

Perl 用 PAR::Packer モジュールの par_mktmpdir 関数は、ディレクトリの所有者のアクセス許可を検証しないで、予測可能な名前のディレクトリ内に一時ファイルを作成するため、別のユーザが PAR パッケージ化したプログラムを展開するとき、ファイルを上書きされる脆弱性が存在します。

Artsoft Entertainment の Rocks'n'Diamonds は、任意のファイルを上書きされる脆弱性が存在します。

Cisco Unified IP Phones 7900 デバイスのソフトウェアは、ソフトウェアイメージの証明を適切に検証しないため、権限を取得される脆弱性が存在します。 本問題は、Bug ID CSCtn65962 の問題です。

OpenVMS 上で稼働する IBM WebSphere MQ は、User Authorization File (UAF) データを適切に検証しないため、listener プロセス、およびコマンドサーバを強制終了される脆弱性が存在します。

Microsoft Windows Server 2008 および Windows 7 は、AppLocker ルールを適切に処理しないため、アクセス制限を回避される脆弱性が存在します。

Apple iOS の Passcode Lock 機能は、ロックされた状態に関する処理に不備があるため、データにアクセスされる脆弱性が存在します。

Apple Mac OS X の kernel は、ディレクトリのスティッキービットを適切に実装しないため、権限を回避される、およびファイルを削除される脆弱性が存在します。

Apple Mac OS X の kernel は、誰もログインしていない状況で FireWire DMA を適切にブロックしないため、アクセス制限を回避される、およびパスワードを知られる脆弱性が存在します。

Apple iOS の Data Access コンポーネントは、同じメールサーバーの複数のユーザーアカウントを適切に処理しないため、アクセス制限を回避される脆弱性が存在します。

複数の Mozilla 製品は、Enter キーの押し続けに応答したダウンロードの開始を制限しないため、アクセス制限を回避される脆弱性が存在します。

Dovecot は、非公開用の名前空間内の各メールボックス所有者に対して、admin パーミッションを付与するため、アクセス制限を回避される脆弱性が存在します。

Cisco IOS XR には、AS 番号に関する処理に不備があるため、サービス運用妨害 (DoS) 状態となる脆弱性が存在します。

Skype for Android は、ユーザの重要なデータを、脆弱なパーミッションを有する sqlite3 データベースに暗号化せずに格納してしまうため、ユーザ ID、電話番号、誕生日、インスタントメッセージログなどの、個人情報を読まれる脆弱性が存在します。

MIT Kerberos 5 の Key Distribution Center (KDC) には、TGS リクエストを保護する TGT 証明書の使用を適切に制限しないため、クライアントになりすまされる脆弱性が存在します。

IBM WebSphere Application Server の installer は、ログを保存する一時ディレクトリに対して、パーミッション 777 を使用するため、ログファイルへのアクセス権を保持される脆弱性が存在します。

Control Group Configuration Library の cgrulesengd 内にある daemon/cgrulesengd.c の cgre_receive_netlink_msg 関数には、netlink メッセージが kernel から送信されたことを検証しない不備があるため、リソース制限を回避される脆弱性が存在します。

複数の Apple 製品上で稼働する Application-Level Gateway (ALG) は、受信した FTP トラフィック内にある PORT コマンドを変更することにより、インターネット TCP トラフィック上に存在するデバイスの IP アドレスを使用される脆弱性が存在します。

Windows 上で稼働する Apple QuickTime には、ユーザプロファイルの “Apple Computer” ディレクトリに対するパーミッションに関して不備があるため、重要な情報を取得される脆弱性が存在します。

Flash Player には、アクセス制限回避が可能な脆弱性が存在します。 Flash Player が、Flash コンテンツが設置されているウェブサイトとは別のウェブサイトを参照する場合、参照されるウェブサイトがクロスドメインポリシーファイルによりアクセスを許可している必要があります。 Flash Player には、クロスドメインポリシーファイルによるアクセス制限が回避される脆弱性が存在します。 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。 報告者: 株式会社シマンテック コンサルティングサービス本部 赤嶺徳治 氏

Drupal の comment モジュールには、アクセス制限を回避され、非公開にしたコメントを再投稿される脆弱性が存在します。

IBM DB2 には、AUTO_REVAL が IMMEDIATE に設定されている際、サービス運用妨害 (DoS) 状態となる脆弱性が存在します。