Microsoft Windows "keybd_event" Privilege Escalation Vulnerability
キーボードからの入力をエミュレートし、キーストロークを合成する keybd_event関数の欠陥を利用することにより、ローカルアプリケーションにおいて権限の上昇が可能。Windows 2000 / XP / 2003 が対象。exploit あり(コードも非常にシンプル)。
これ自体はローカルで動作するアプリケーションを対象としており、リモートからの直接的な攻撃は不可であるが、スパイウェアなどと組み合わされれば、管理者権限でコードが実行される可能性がある。
その他、MS05-018 の exploit も出てます。
Microsoft Internet Explorer Unspecified Remote Code Execution Vulnerability
eEye によるこれの話。Internet Explorer および Outlook、Outlook Express のインストール処理に欠陥があるため、リモートからのコードの実行が可能とのこと。詳細は非公開。該当バージョンなどはリンク先を参照。
JPCERT/CC レポート読者アンケート
JPCERT/CCの読者を対象としたアンケート。
http://www.jpcert.or.jp/wr/ によると
お答えいただいた方の中で希望する方から、抽選で 5名様に JPNIC・JPCERT/CC セキュリティセミナー2005 (http://www.nic.ad.jp/security-seminar/) への無料招待券をお送りします。
だそうです。とりあえず、情報源として Openmya ML と書いておきました。
ソフトウエア製品脆弱性関連情報届出様式
2005年9月5日付けで様式が改定されていました*1。変更点は
3. 当該ソフトウェアの海外での利用状況について
□ 海外で開発されたソフトウエアである
□ 国内で開発されたソフトウエアであるが、他のソフトウェアに組み
込まれ、海外で配布/販売されている
□ 国内で開発されたソフトウエアであるが、海外で配布/販売されて
いる
□ その他（ ）
の項目の追加だそうです。ソフトウェアの開発状況を利用者に問うのはどうだろうという気もしないでもないです…。そもそも、「ソフトウエア等脆弱性関連情報取扱基準」（平成16年経済産業省告示 第235号）においては、製品開発者とは実際にソフトウェアを開発した者だけでなく、
ソフトウエア製品の開発、加工、輸入又は販売に関する形態その他の事情からみて、当該ソフトウエア製品の実質的な開発者と認められる者。
も含めているわけです。一利用者にとってみれば、そのソフトウェアの販売者は知っていたとしても、開発が国内でなされたものか海外でなされたものかの判断はつかないと思うのですが、どうなんでしょう。
*1:過去の届出をコピペして出したら指摘が返ってきちゃった
