分12今週のセキュリティアップデート今週リリースされたセキュリティアップデートは以下の通りです。デスクトップ環境としてUbuntuを利用している場合,pangoのアップデートに注意してください。このアップデータを適用した上で,一度ログアウトする必要があります。8.04・8.10環境でKVMを使っている方向けのアップデータがリリースされています。アップデート(2回リリースされているうちの,新しい方)を適用した上で,KVMを利用した仮想マシンを再起動する必要があることに注意してください。LTS・8.10・9.04)用のアップデータがリリースされています。CVE-2009-1513を修正します。nameに悪意ある細工の施されたファイルを開くことにより,整数オーバーフローが生じる可能性があります。これにより任意のコードの実行やアプリケーションのクラッシュが引き起こされると考えられます。GF1のパッチファイル)を開く処理の問題で,悪意ある細工を施したファイルを開いた際に任意のコードの実行やアプリケーションのクラッシュが引き起こされる可能性があります。この問題は9.04にのみ影響します。PATファイルの読み込みは通常,ユーザーによる操作を必要とするため,攻撃者がこの脆弱性を悪用するためには何らかの形でユーザーにファイルを読み込ませるための操作を行わせる必要があります。対処方法:通常の場合,アップデートを行うことでこの問題を解決できます。備考:libmodplugに相当する機能を提供するコードが,他のコーデックパッケージにコピーされて含まれている可能性があります。このような場合はlibmodplugのアップデートでは問題を解決できません。9.04用のアップデータがリリースされています。CVE-2009-0757を修正します。ライブラリ)の出力部の問題で,悪意ある細工を施されたデータを処理した場合に任意のコードの実行,もしくはアプリケーションのクラッシュが発生する可能性がありました。対処方法:通常の場合,アップデートを行うことでこの問題を解決できます。libmpfrをリンクしているアプリケーションを実行している場合は,アプリケーションを一度終了させ,起動しなおしてください。備考:MPFR関連のパッケージは8.04以降に含まれていますが,8.04・8.10は該当する機能が実装されていない2.3系のバージョンであるため,この問題の影響を受けません。LTS・8.10用のアップデータがリリースされています。CVE-2009-1194を修正します。CVE-2009-1194は,pangoのフォント処理の問題で,サイズパラメータに不正な値をセットした状態でフォントをレンダリングさせることで整数オーバーフローが発生し,任意のコードの実行やアプリケーションのクラッシュを発生させることが可能です。この問題を利用してFirefox上で任意のJavaScriptを実行できることが示されています。対処方法:アップデートを適用した上で,再ログインしてください。備考:9.04ではこの問題は修正済みです。pangoはGTKやFirefoxなどの多くのソフトウェアで利用されている,多言語処理のためのバックエンドです。8.10・9.04用のアップデータがリリースされています。CVE-2009-1482を修正します。対処方法:通常の場合,アップデートを行うことでこの問題を解決できます。「添付ファイル」ページに用いられるAttachFile.pyにおいて,添付ファイルのリネーム時に与えられたファイル名をエスケープせずに利用していたため,XSSが可能でした。IDを付与されています。これらはusn-716-1として対処されています(2009年2月6日号参照⁠)⁠。vulnerabilitieshttps://lists.ubuntu.com/archives/ubuntu-security-announce/2009-May/000903.htmlhttps://lists.ubuntu.com/archives/ubuntu-security-announce/2009-May/000904.html8.04LTS・8.10用のアップデータがリリースされています。CVE-2008-5714を修正します。備考:USN-776-2は,USN-776-1で行われた修正にエンバグが含まれており,libvirt経由で仮想マシンを起動できなくなる問題に対処したものです。CVE-2008-1945・CVE-2008-2004は,いずれもKVMの仮想ディスクファイルの読み込み処理の問題です。悪意ある細工を施したパーティション情報を持つ仮想ディスクファイルを読み込ませることで,ホストマシンのファイルを読み出すことが可能でした。CVE-2008-2382は,KVM-QEMUが利用するVNCのプロトコル処理の問題です。悪意ある細工を施したVNCメッセージを送付することで,CPUを浪費させ,結果としてDoSを発生させることが可能でした。LogicのLGD-54XXチップに見える)仮想ビデオカードの実装の問題です。VNCコンソールで接続した状態で細工を施したbitblt命令を実行させることで,ヒープバッファオーバーフローを発生させ,任意のコードの実行・DoSなどを引き起こすことが可能でした。CVE-2008-5714は,KVM-QEMUの問題で,VNCのパスワード認証を行う際,8文字目を無視してしまう問題です。これによりパスワードの強度が想定よりも下がってしまっています。対処方法:アップデータを適用した上で,KVMベースの仮想マシンを再起動してください。LTS・8.10・9.04)用のアップデータがリリースされています。CVE-2009-1572を修正します。ASNを含むASNパスを処理する際の問題で,悪意ある細工を施したデータを送付することでbgpdをクラッシュさせることができるものです。この攻撃には,攻撃元が認証を通過していることが条件です。対処方法:通常の場合,アップデートを行うことでこの問題を解決できます。Unixを併用している。Teamではパッケージサーバの管理や翻訳などの作業を担当。2019」を開催しました。DAY1・DAY2の様子を注目セッションとともにお伝えします。LINEのエンジニア3名がイベントに先駆けて見どころを紹介します。コードの安全性・安定性を高める開発サイクル~テスト管理の効率を上げ,脆弱性診断を自動で行う~本連載では,連載「業務を改善する情報共有の仕掛け」を受けつつ,安全性・安定性を加えた開発サイクルについて考えていきます。若者世代から圧倒的な人気を誇るライブ配信&動画投稿コミュニティアプリ「MixChannel」(ミクチャ)の裏側(レコメンドシステムやサーバサイド開発など)について解説していきます。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。