SpringSource Spring Framework, SpringSource Spring Security

ソフト名：SpringSource Spring Framework 2.5.0〜2.5.6.SEC02 (community releases)/2.5.0〜2.5.7.SR01 (subscription customers)/3.0.0〜3.0.5, SpringSource Spring Security 2.x/3.x

回避策：2.5.6.SEC03 onwards (community releases)/2.5.7.SR02 (subscription customers)/3.0.6へのアップデートにて対応, 2.0.7/3.0.6へのアップデートにて対応

脆弱性：セキュリティ制限の回避, システムアクセス, XSS, 権限の昇格, HTTPヘッダインジェクション, リモートコマンド実行, EL文インジェクション, パスの曝露, ディレクトリ情報の曝露, 不正プロキシインスタンス， 不正HTMLの挿入, スクリプトの挿入

ソース：

http://www.springsource.org/about

http://www.springsource.com/developer/spring

http://static.springsource.org/spring-security/site/index.html

http://www.springsource.com/security/cve-2011-2730

http://www.springsource.com/security/cve-2011-2731

http://www.springsource.com/security/cve-2011-2732

http://www.springsource.com/security/cve-2011-2894

http://secunia.com/advisories/45942/

http://secunia.com/advisories/45957/

http://secunia.com/advisories/45958/

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2730

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2731

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2732

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2894

CVE：CVE-2011-2730, CVE-2011-2731, CVE-2011-2732, CVE-2011-2894

危険性：High Risk

Red Hat Fedora

ソフト名：Red Hat Fedora 14 (David Heinemeier Hansson Ruby on Rails 2.3.x/3.0x)

回避策：FEDORA-2011-11567, FEDORA-2011-11600にて対応

脆弱性：セキュリティ制限の回避, XSS, データ操作, HTTPレスポンス分割攻撃, SQLインジェクション, HTTPヘッダインジェクション, 不正HTMLの実行, スクリプトコード実行

ソース：

http://fedoraproject.org/

http://lists.fedoraproject.org/pipermail/package-announce/2011-September/065137.html

http://lists.fedoraproject.org/pipermail/package-announce/2011-September/065189.html

http://dvw-j.blogspot.com/2011/08/ruby-on-rails.html

http://secunia.com/advisories/45648/

http://secunia.com/advisories/45917/

http://secunia.com/advisories/45921/

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2931

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2932

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3186

CVE：CVE-2011-2931, CVE-2011-2932, CVE-2011-3186

危険性：Medium Risk

Debian GNU/Linux

ソフト名：Debian GNU/Linux 5.0/6.0 (Ruby on Rails 2.3.x/3.0x)

回避策：DSA-2301-1にて対応

脆弱性：XSS, データ操作, セキュリティ制限の回避, HTTPレスポンス分割攻撃, SQLインジェクション, HTTPヘッダインジェクション, 不正HTMLの実行, スクリプトコード実行

ソース：

http://www.debian.org/

http://www.debian.org/security/2011/dsa-2301

http://secunia.com/advisories/37446/

http://secunia.com/advisories/45648/

http://secunia.com/advisories/45839/

http://dvw-j.blogspot.com/2011/08/ruby-on-rails.html

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-4214

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2930

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2931

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3186

CVE：CVE-2009-4214, CVE-2011-2930, CVE-2011-2931, CVE-2011-3186

危険性：Medium Risk

IBM WebSphere Service Registry and Repository

ソフト名：IBM WebSphere Service Registry and Repository 6.3.0.5未満/7.0.0.5未満/7.5.0.1未満

回避策：アップデートにて対応

脆弱性：XSS, HTTPヘッダインジェクション, 不正HTMLの挿入, スクリプトの挿入

ソース：

http://www-01.ibm.com/software/integration/wsrr/

http://www-947.ibm.com/support/entry/portal/Overview/Software/WebSphere/WebSphere_Service_Registry_and_Repository

http://xforce.iss.net/xforce/xfdb/69040

http://secunia.com/advisories/45686/

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-1357

CVE：CVE-2011-1357

危険性：Medium Risk

Ruby on Rails

ソフト名：Ruby on Rails 2.3.x/3.0x

回避策：2.3.14/3.0.10へのアップデートにて対応

脆弱性：セキュリティ制限の回避, XSS, データ操作, HTTPレスポンス分割攻撃, SQLインジェクション, HTTPヘッダインジェクション, 不正HTMLの実行, スクリプトコード実行

ソース：

http://rubyonrails.org/

http://groups.google.com/group/rubyonrails-security/browse_thread/thread/6a1e473744bc389b

http://groups.google.com/group/rubyonrails-security/browse_thread/thread/3420ac71aed312d6

http://groups.google.com/group/rubyonrails-security/browse_thread/thread/6ffc93bde0298768

http://groups.google.com/group/rubyonrails-security/browse_thread/thread/2b9130749b74ea12

http://groups.google.com/group/rubyonrails-security/browse_thread/thread/56bffb5923ab1195

http://secunia.com/advisories/45648/

危険性：Medium Risk

Red Hat Enterprise Linux

ソフト名：Red Hat Enterprise Linux Desktop 6/HPC Node 6/Server 6/Workstation 6 (CGI.pm 3.50未満, Perl.org Perl 5.12.3)

回避策：RHSA-2011:0558-1にて対応

脆弱性：セキュリティ制限の回避, XSS, HTTPレスポンス分割攻撃, HTTPヘッダインジェクション

ソース：http://www.redhat.com/rhel/

http://www.redhat.com/rhel/server/

http://www.redhat.com/rhel/desktop/

https://rhn.redhat.com/errata/RHSA-2011-0558.html

http://secunia.com/advisories/42443/

http://secunia.com/advisories/42461/

http://secunia.com/advisories/43921/

http://secunia.com/advisories/44649/

http://dvw-j.blogspot.com/2010/12/cgipm-cgisimple.html

http://dvw-j.blogspot.com/2011/04/perlorg-perl.html

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2761

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-4410

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-1487

CVE：CVE-2010-2761, CVE-2010-4410, CVE-2011-1487

危険性：Medium Risk

Canonical Ltd. Ubuntu Linux, Sun Solaris 10

ソフト名：Canonical Ltd. Ubuntu Linux 6.06/8.04/10.04/10.10, Sun Solaris 10 (perl, CGI.pm)

回避策：USN-1129-1にて対応, あり

脆弱性：セキュリティ制限の回避, XSS, perlコード実行, HTTPレスポンス分割攻撃, HTTPヘッダインジェクション

ソース：http://www.ubuntu.com/

http://www.oracle.com/us/products/servers-storage/solaris/index.html?origref=http://secunia.com/advisories/product/4813/

http://www.ubuntu.com/usn/usn-1129-1/

http://blogs.sun.com/security/entry/cve_2010_2761_cve_2010

http://secunia.com/advisories/40049/

http://secunia.com/advisories/42443/

http://secunia.com/advisories/42461/

http://secunia.com/advisories/43921/

http://secunia.com/advisories/44400/

http://secunia.com/advisories/44447/

http://dvw-j.blogspot.com/2010/12/cgipm-cgisimple.html

http://dvw-j.blogspot.com/2011/04/perlorg-perl.html

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-1168

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-1447

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2761

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-4410

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-4411

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-1487

CVE：CVE-2010-1168, CVE-2010-1447, CVE-2010-2761, CVE-2010-4410, CVE-2010-4411, CVE-2011-1487

危険性：Medium Risk

Adobe ColdFusion

ソフト名：Adobe ColdFusion 8.0/8.0.1/9.0/9.0.1 (Windows, Macintosh, UNIX)
回避策：APSB11-04にて対応
脆弱性：XSS, 機密情報の奪取, HTTPヘッダインジェクション, セッション固定攻撃, 不正HTMLの実行, スクリプトコード実行, スクリプトの挿入, セッションの乗っ取り
ソース：http://www.adobe.com/products/coldfusion/
http://www.adobe.com/support/security/bulletins/apsb11-04.html
http://secunia.com/advisories/43264/
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0580
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0581
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0582
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0583
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0584
CVE：CVE-2011-0580, CVE-2011-0581, CVE-2011-0582, CVE-2011-0583, CVE-2011-0584
危険性：Medium Risk

Red Hat Fedora

ソフト名：Red Hat Fedora 13/14
回避策：FEDORA-2011-0654, FEDORA-2011-0640にて対応
脆弱性：XSS, HTTPレスポンス分割攻撃, HTTPヘッダインジェクション
ソース：https://fedoraproject.org/wiki/F13_one_page_release_notes
http://fedoraproject.org/
http://lists.fedoraproject.org/pipermail/package-announce/2011-January/053601.html
http://lists.fedoraproject.org/pipermail/package-announce/2011-January/053628.html
http://secunia.com/advisories/42461/
http://secunia.com/advisories/43149/
http://dvw-j.blogspot.com/2010/12/cgipm-cgisimple.html
http://dvw-j.blogspot.com/2011/02/red-hat-fedora_01.html
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2761
CVE：CVE-2010-2761
危険性：Medium Risk

Red Hat Fedora

ソフト名：Red Hat Fedora 13/14
回避策：FEDORA-2011-0631, FEDORA-2011-0653にて対応
脆弱性：XSS, HTTPレスポンス分割攻撃, HTTPヘッダインジェクション
ソース：https://fedoraproject.org/wiki/F13_one_page_release_notes
http://fedoraproject.org/
http://lists.fedoraproject.org/pipermail/package-announce/2011-January/053576.html
http://lists.fedoraproject.org/pipermail/package-announce/2011-January/053591.html
http://secunia.com/advisories/42443/
http://secunia.com/advisories/42460/
http://secunia.com/advisories/42461/
http://secunia.com/advisories/43147/
http://dvw-j.blogspot.com/2010/12/cgipm-cgisimple.html
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2761
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-4410
CVE：CVE-2010-2761, CVE-2010-4410
危険性：Medium Risk

CGI.pm, CGI::Simple

ソフト名：CGI.pm, CGI::Simple 1.x
回避策：アップデートにて対応
脆弱性：XSS, HTTPレスポンス分割攻撃, HTTPヘッダインジェクション
ソース：http://search.cpan.org/dist/CGI.pm/
http://search.cpan.org/dist/CGI-Simple/lib/CGI/Simple.pm
http://cpansearch.perl.org/src/LDS/CGI.pm-3.50/Changes
https://github.com/AndyA/CGI--Simple/commit/e4942b871a26c1317a175a91ebb7262eea59b380
http://www.openwall.com/lists/oss-security/2010/12/01/2
http://www.openwall.com/lists/oss-security/2010/12/01/3
http://secunia.com/advisories/42443/
http://secunia.com/advisories/42460/
http://secunia.com/advisories/42461/
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2761
CVE：CVE-2010-2761
危険性：Low Risk

Mozilla Bugzilla

ソフト名：Mozilla Bugzilla 3.2 rc1～3.6.1
回避策：アップデートにて対応
脆弱性：HTTPレスポンス分割攻撃, 機密情報の奪取, 特定されていない脆弱性, HTTPヘッダインジェクション, XSS, Webキャッシュ汚染
ソース：http://www.bugzilla.org/security/3.2.8/
http://www.securityfocus.com/bid/44618
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-3172
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-3764
http://secunia.com/advisories/42071
http://www.vupen.com/english/advisories/2010/2878
CVE：CVE-2010-3172, CVE-2010-3764
危険性：Medium Risk