脆弱性に関する情報memo(3/12)

■ JVNVU#576029 libpng における圧縮された補助チャンクの処理に脆弱性 (JVN, 3/4)

libpng 1.4.0以前に脆弱性があるそうで、これを使っている製品はご注意をという話。
関連：

PNGライブラリ「libpng」に脆弱性、国内製品にも影響 (ITmedia, 3/4)

　国内では、フェンリルが無償ペイントソフト「PictBear」に脆弱なバージョンのlibpngを使用していたとして、更新版のPictBear 2.01をリリースした。またLunascapeは、ブラウザのLunascape6でエンジンにGeckoもしくはWebKitを利用している場合に影響を受けるとして、Tridentエンジンへの切り替えや、画像を読み込まない設定を実施するなどの回避策を適用するよう呼び掛けている。

だそうです。
関連：

【PictBear】脆弱性に対応した PictBear 2.01 正式版をリリースいたしました！ (フェンリル|デベロッパーズブログ, 3/4)

■ JVN#06874657 OpenPNE におけるアクセス制限回避の脆弱性 (JVN, 3/5)

OpenPNE は、オープンソースの SNS (ソーシャルネットワーキングサービス) 構築ソフトウェアです。OpenPNE には、携帯版ログイン画面へのアクセスを携帯電話からのみに制限するため、IP アドレス帯域制限機能があります。OpenPNE には、IP アドレス帯域制限機能の処理に問題があり、アクセス制限回避が可能な脆弱性が存在します。結果として、携帯電話向けのかんたんログイン機能において、なりすましによるログインをされる可能性があります。

アップデートが出ているそうです。
関連：

「OpenPNE」におけるセキュリティ上の弱点（脆弱性）の注意喚起 (IPA, 3/5)

■ ■ SA-CORE-2010-001 - Drupal core - Multiple vulnerabilities (Drupal.org, 2010.03.03) (セキュリティホールmemo, 3/5)

　Drupal 5.x / 6.x に複数の欠陥があり、Drupal 5.22 / 6.16 で修正されているそうです。

■ Operaブラウザに深刻な脆弱性、パッチは未公開 (ITmedia, 3/5)

　Operaブラウザに未修正の深刻な脆弱性が見つかったとして、セキュリティ企業のSecuniaやVUPENが3月4日、アドバイザリーを公開した。
　両社のアドバイザリーによれば、脆弱性はHTTPで不正な「Content-Length:」ヘッダを処理する際のバッファオーバーフロー問題に起因する。悪質なWebページをユーザーに参照させるといった形で悪用された場合、リモートの攻撃者に任意のコードを実行され、システムを制御されてしまう恐れがある。
　脆弱性はWindows版の現行バージョンであるOpera 10.50で確認されたが、ほかのバージョンも影響を受ける可能性があるという。現時点でこの問題を修正するための公式パッチはリリースされていない。