<<< JPCERT/CC WEEKLY REPORT 2017-04-19 >>>
■04/09(日)〜04/15(土) のセキュリティ関連情報
目 次
【1】複数の Microsoft 製品に脆弱性
【2】ISC BIND 9 に複数の脆弱性
【3】複数の Adobe 製品に脆弱性
【4】VMware vCenter Server に任意のコードが実行可能な脆弱性
【5】Apache Tomcat に複数の脆弱性
【6】サイボウズ Office に複数の脆弱性
【7】ASSETBASE にクロスサイトスクリプティングの脆弱性
【8】CS-Cart日本語版にアクセス制限不備の脆弱性
【9】WordPress 用プラグイン WP Statistics にクロスサイトスクリプティングの脆弱性
【10】東芝製メモリカード関連ソフトウェアの複数のインストーラに任意の DLL 読み込みに関する脆弱性
【11】WN-G300R3 に複数の脆弱性
【12】WN-AC1167GR にクロスサイトスクリプティングの脆弱性
【今週のひとくちメモ】サポート対象外 OS の利用による脅威
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2017/wr171501.txt
https://www.jpcert.or.jp/wr/2017/wr171501.xml
【1】複数の Microsoft 製品に脆弱性
情報源
US-CERT Current Activity
Microsoft Releases April 2017 Security Updates
https://www.us-cert.gov/ncas/current-activity/2017/04/12/Microsoft-Releases-April-2017-Security-Updates
概要
複数の Microsoft 製品には、脆弱性があります。結果として、遠隔の第三者 が任意のコードを実行する可能性があります。 対象となる製品は以下の通りです。 - Internet Explorer - Microsoft Edge - Microsoft Windows - Microsoft Office - Microsoft Office Services および Web Apps - Visual Studio for Mac - .NET Framework - Silverlight この問題は、Microsoft Update 等を用いて、更新プログラムを適用すること で解決します。詳細は、Microsoft が提供する情報を参照してください。
関連文書 (日本語)
マイクロソフト株式会社
2017 年 4 月のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-jp/security-guidance/releasenotedetail/42b8fa28-9d09-e711-80d9-000d3a32fc99Japan Vulnerability Notes JVNVU#98665451
Microsoft OLE URL Moniker における遠隔の HTA データに対する不適切な処理
https://jvn.jp/vu/JVNVU98665451/JPCERT/CC Alert 2017-04-12
2017年 4月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2017/at170015.html
【2】ISC BIND 9 に複数の脆弱性
情報源
US-CERT Current Activity
ISC Releases Security Updates for BIND
https://www.us-cert.gov/ncas/current-activity/2017/04/12/ISC-Releases-Security-Updates-BIND
概要
ISC BIND 9 には、複数の脆弱性があります。結果として、遠隔の第三者がサー ビス運用妨害 (DoS) 攻撃を行う可能性があります。 対象となるバージョンは以下の通りです。 - BIND 9.8.0 から 9.8.8-P1 まで - BIND 9.9.0 から 9.9.9-P7 まで - BIND 9.9.10b1 から 9.9.10rc2 まで - BIND 9.10.0 から 9.10.4-P7 まで - BIND 9.10.5b1 から 9.10.5rc2 まで - BIND 9.11.0 から 9.11.0-P4 まで - BIND 9.11.1b1 から 9.11.1rc2 まで - BIND 9.9.3-S1 から 9.9.9-S9 まで この問題は、ISC BIND を ISC が提供する修正済みのバージョンに更新するこ とで解決します。詳細は、ISC が提供する情報を参照してください。
関連文書 (日本語)
株式会社日本レジストリサービス (JPRS)
(緊急)BIND 9.xの脆弱性(DNSサービスの停止)について(CVE-2017-3137)
https://jprs.jp/tech/security/2017-04-13-bind9-vuln-cname-dname.html株式会社日本レジストリサービス (JPRS)
BIND 9.xの脆弱性(DNSサービスの停止)について(CVE-2017-3136)
https://jprs.jp/tech/security/2017-04-13-bind9-vuln-dns64.html株式会社日本レジストリサービス (JPRS)
BIND 9.xの脆弱性(DNSサービスの停止)について(CVE-2017-3138)
https://jprs.jp/tech/security/2017-04-13-bind9-vuln-control-channel.html一般社団法人日本ネットワークインフォメーションセンター (JPNIC)
BIND 9における複数の脆弱性について(2017年4月)
https://www.nic.ad.jp/ja/topics/2017/20170413-01.htmlJapan Vulnerability Notes JVNVU#97322649
ISC BIND に複数のサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/vu/JVNVU97322649/JPCERT/CC Alert 2017-04-13
ISC BIND 9 に対する複数の脆弱性に関する注意喚起
https://www.jpcert.or.jp/at/2017/at170016.html
関連文書 (英語)
ISC Knowledge Base
CVE-2017-3136: An error handling synthesized records could cause an assertion failure when using DNS64 with "break-dnssec yes;"
https://kb.isc.org/article/AA-01465ISC Knowledge Base
CVE-2017-3137: A response packet can cause a resolver to terminate when processing an answer containing a CNAME or DNAME
https://kb.isc.org/article/AA-01466ISC Knowledge Base
CVE-2017-3138: named exits with a REQUIRE assertion failure if it receives a null command string on its control channel
https://kb.isc.org/article/AA-01471
【3】複数の Adobe 製品に脆弱性
情報源
US-CERT Current Activity
Adobe Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2017/04/11/Adobe-Releases-Security-Updates
概要
複数の Adobe 製品には、脆弱性があります。結果として、遠隔の第三者が任 意のコードを実行するなどの可能性があります。 対象となる製品およびバージョンは以下の通りです。 - Adobe Campaign v6.11 ビルド 8770 およびそれ以前 (Windows 版、Linux 版) - Adobe Flash Player デスクトップランタイム 25.0.0.127 およびそれ以前 (Windows 版、Macintosh 版、Linux 版) - Acrobat DC 連続トラック 15.023.20070 およびそれ以前 (Windows 版、Macintosh 版) - Acrobat Reader DC 連続トラック 15.023.20070 およびそれ以前 (Windows 版、Macintosh 版) - Acrobat DC クラシック 15.006.30280 およびそれ以前 (Windows 版、Macintosh 版) - Acrobat Reader DC クラシック 15.006.30280 およびそれ以前 (Windows 版、Macintosh 版) - Acrobat XI デスクトップ 11.0.19 およびそれ以前 (Windows 版、Macintosh 版) - Reader XI デスクトップ 11.0.19 およびそれ以前 (Windows 版、Macintosh 版) - Adobe Photoshop CC 2017 18.0.1 およびそれ以前 (Windows 版、Macintosh 版) - Adobe Photoshop CC 2015.5 17.0.1 (2015.5.1)およびそれ以前 (Windows 版、Macintosh 版) - Creative Cloud デスクトップアプリケーション Creative Cloud 3.9.5.353 およびそれ以前 (Windows 版) この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新 することで解決します。詳細は、Adobe が提供する情報を参照してください。
関連文書 (日本語)
Adobe セキュリティ情報
Adobe Campaign に関するセキュリティアップデート公開
https://helpx.adobe.com/jp/security/products/campaign/apsb17-09.htmlAdobe セキュリティ情報
Adobe Flash Player に関するセキュリティアップデート公開
https://helpx.adobe.com/jp/security/products/flash-player/apsb17-10.htmlAdobe セキュリティ情報
Adobe Acrobat および Reader に関するセキュリティアップデート公開
https://helpx.adobe.com/jp/security/products/acrobat/apsb17-11.htmlAdobe セキュリティ情報
Adobe Photoshop CC に関するセキュリティアップデート公開
https://helpx.adobe.com/jp/security/products/photoshop/apsb17-12.htmlAdobe セキュリティ情報
Creative Cloud デスクトップアプリケーション用のセキュリティアップデート公開
https://helpx.adobe.com/jp/security/products/creative-cloud/apsb17-13.htmlJPCERT/CC Alert 2017-04-12
Adobe Flash Player の脆弱性 (APSB17-10) に関する注意喚起
https://www.jpcert.or.jp/at/2017/at170013.htmlJPCERT/CC Alert 2017-04-12
Adobe Reader および Acrobat の脆弱性 (APSB17-11) に関する注意喚起
https://www.jpcert.or.jp/at/2017/at170014.html
【4】VMware vCenter Server に任意のコードが実行可能な脆弱性
情報源
US-CERT Current Activity
VMware Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2017/04/14/VMware-Releases-Security-Updates
概要
VMware vCenter Server には、脆弱性があります。結果として、遠隔の第三者 が任意のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - VMware vCenter Server 6.5c より前のバージョン - VMware vCenter Server 6.0U3b より前のバージョン この問題は、VMware vCenter Server を VMware が提供する修正済みのバージョン に更新することで解決します。詳細は、VMware が提供する情報を参照してく ださい。
関連文書 (日本語)
Japan Vulnerability Notes JVNVU#97538972
Java で実装された複数の Action Message Format (AMF3) ライブラリに脆弱性
https://jvn.jp/vu/JVNVU97538972/
関連文書 (英語)
VMware Security Advisories
VMSA-2017-0007
https://www.vmware.com/security/advisories/VMSA-2017-0007.html
【5】Apache Tomcat に複数の脆弱性
情報源
US-CERT Current Activity
Apache Software Foundation Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2017/04/12/Apache-Software-Foundation-Releases-Security-Updates
概要
Apache Tomcat には、複数の脆弱性があります。結果として、遠隔の第三者が、 サービス運用妨害 (DoS) 攻撃を行ったり、情報を取得したりする可能性があ ります。 対象となるバージョンは以下の通りです。 - Apache Tomcat 9.0.0.M1 から 9.0.0.M18 まで - Apache Tomcat 8.5.0 から 8.5.12 まで - Apache Tomcat 8.0.0.RC1 から 8.0.42 まで - Apache Tomcat 7.0.0 から 7.0.76 まで - Apache Tomcat 6.0.0 から 6.0.52 まで この問題は、Apache Tomcat を Apache Tomcat が提供する修正済みのバージョン に更新することで解決します。詳細は、Apache Tomcat が提供する情報を参照 してください。
関連文書 (日本語)
Japan Vulnerability Notes JVNVU#90211511
Apache Tomcat の複数の脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU90211511/
関連文書 (英語)
Apache Tomcat
Fixed in Apache Tomcat 9.0.0.M19
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.0.M19Apache Tomcat
Fixed in Apache Tomcat 8.5.13
https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.13Apache Tomcat
Fixed in Apache Tomcat 8.0.43
https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.0.43Apache Tomcat
Fixed in Apache Tomcat 7.0.77
https://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.77Apache Tomcat
Fixed in Apache Tomcat 6.0.53
https://tomcat.apache.org/security-6.html#Fixed_in_Apache_Tomcat_6.0.53
【6】サイボウズ Office に複数の脆弱性
情報源
Japan Vulnerability Notes JVN#17535578
サイボウズ Office における複数の脆弱性
https://jvn.jp/jp/JVN17535578/
概要
サイボウズ Office には、複数の脆弱性があります。結果として、遠隔の第三 者が、ユーザのブラウザ上で任意のスクリプトを実行したり、サービス運用妨 害 (DoS) 攻撃を行ったりするなどの可能性があります。 対象となるバージョンは以下の通りです。 - サイボウズ Office 10.0.0 から 10.5.0 まで この問題は、サイボウズ Office をサイボウズ株式会社が提供する修正済みの バージョンに更新することで解決します。詳細は、サイボウズ株式会社が提供 する情報を参照してください。
関連文書 (日本語)
サイボウズ株式会社
サイボウズ Office 10 脆弱性に関するお知らせ
https://cs.cybozu.co.jp/2017/006386.html
【7】ASSETBASE にクロスサイトスクリプティングの脆弱性
情報源
Japan Vulnerability Notes JVN#82019695
ASSETBASE におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN82019695/
概要
ASSETBASE には、クロスサイトスクリプティングの脆弱性があります。結果と して、遠隔の第三者が、当該製品に管理者としてログインしているユーザのブ ラウザ上で任意のスクリプトを実行する可能性があります。 対象となるバージョンは以下の通りです。 - ASSETBASE Ver.8.0 およびそれ以前 この問題は、ASSETBASE を株式会社内田洋行が提供する修正済みのバージョン に更新することで解決します。詳細は、株式会社内田洋行が提供する情報を参 照してください。
関連文書 (日本語)
株式会社内田洋行
ASSETBASE システムのクロスサイトスクリプティング脆弱性のご報告とセキュリティ強化プログラムのリリースについて
http://www.asset-base.jp/pdf/20170410_ASSETBASE_SecurityInfo.pdf
【8】CS-Cart日本語版にアクセス制限不備の脆弱性
情報源
Japan Vulnerability Notes JVN#25598952
CS-Cart日本語版におけるアクセス制限不備の脆弱性
https://jvn.jp/jp/JVN25598952/
概要
CS-Cart日本語版には、アクセス制限不備の脆弱性があります。結果として、 遠隔の第三者が、ユーザの注文した商品に対して返品申請を行う可能性があり ます。 対象となるバージョンは以下の通りです。 - CS-Cart日本語版スタンダード版 v4.3.10-jp-1 およびそれ以前 - CS-Cart日本語版マーケットプレイス版 v4.3.10-jp-1 およびそれ以前 この問題は、CS-Cart日本語版を有限会社フロッグマンオフィスが提供する修 正済みのバージョンに更新することで解決します。詳細は、有限会社フロッグ マンオフィスが提供する情報を参照してください。
関連文書 (日本語)
有限会社フロッグマンオフィス
【JVN#25598952】 権限確認不備により他のユーザーの注文の返品申請を実施できる脆弱性について
https://tips.cs-cart.jp/fix-jvn-25598952.html
【9】WordPress 用プラグイン WP Statistics にクロスサイトスクリプティングの脆弱性
情報源
Japan Vulnerability Notes JVN#17633442
WordPress 用プラグイン WP Statistics におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN17633442/Japan Vulnerability Notes JVN#62392065
WordPress 用プラグイン WP Statistics におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN62392065/Japan Vulnerability Notes JVN#77253951
WordPress 用プラグイン WP Statistics におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN77253951/
概要
WordPress 用プラグイン WP Statistics には、クロスサイトスクリプティン グの脆弱性があります。結果として、遠隔の第三者が、ユーザのブラウザ上で 任意のスクリプトを実行する可能性があります。 対象となるバージョンは以下の通りです。 - WP Statistics 12.0.4 およびそれ以前 この問題は、WP Statistics を WP Statistics が提供する修正済みのバージョン に更新することで解決します。詳細は、WP Statistics が提供する情報を参照 してください。
関連文書 (英語)
WP Statistics
WP Statistics V12.0.2/3 Released!
https://wp-statistics.com/wp-statistics-v12-0-23-released/
【10】東芝製メモリカード関連ソフトウェアの複数のインストーラに任意の DLL 読み込みに関する脆弱性
情報源
Japan Vulnerability Notes JVN#05340816
東芝製メモリカード関連ソフトウェアの複数のインストーラにおける DLL 読み込みに関する脆弱性
https://jvn.jp/jp/JVN05340816/
概要
東芝製メモリカード関連ソフトウェアの複数のインストーラには、任意の DLL 読み込みに関する脆弱性があります。結果として、第三者が任意のコードを実 行する可能性があります。 以下の製品およびバージョンのインストーラが本脆弱性の影響を受けます。 - NFC搭載SDHC/SDXCメモリカードソフトウェア更新ツール V1.00.03 およびそれ以前 - 無線LAN搭載SDHCメモリカード FlashAir(TM) 設定ソフトウエア V3.0.2 およびそれ以前 - 無線LAN搭載SDHCメモリカード FlashAir(TM) ソフトウェア更新ツール(SD-WEシリーズ<W-03>) V3.00.01 - 無線LAN搭載SDHCメモリカード FlashAir(TM) ソフトウェア更新ツール(SD-WD/WCシリーズ<W-02>) V2.00.03 およびそれ以前 - 無線LAN搭載SDHCメモリカード FlashAir(TM) ソフトウェア更新ツール(SD-WB / WLシリーズ) V1.00.04 およびそれ以前 - TransferJet(TM) (近接無線通信)搭載SDHCメモリカード設定ソフトウェア V1.02 およびそれ以前 - TransferJet(TM) (近接無線通信)搭載SDHCメモリカードファームウェア更新ツール V1.00.06 およびそれ以前 この問題は、株式会社東芝が提供する最新のインストーラを使用することで解 決します。なお、すでに該当する製品をインストールしている場合には、この 問題の影響はありません。詳細は、株式会社東芝が提供する情報を参照してく ださい。
関連文書 (日本語)
株式会社東芝
NFC搭載SDメモリカード、FlashAir(TM)、TransferJet(TM)搭載SDメモリカードのWindows(R)用ソフトウェアのインストーラにおけるDLL 読み込みに関する脆弱性について
http://www.toshiba-personalstorage.net/news/20170414.htm
【11】WN-G300R3 に複数の脆弱性
情報源
Japan Vulnerability Notes JVN#81024552
WN-G300R3 における複数の脆弱性
https://jvn.jp/jp/JVN81024552/
概要
WN-G300R3 には、複数の脆弱性があります。結果として、当該製品にアクセス 可能な第三者が任意の OS コマンドを実行する可能性があります。 対象となるバージョンは以下の通りです。 - WN-G300R3 ファームウェア Ver.1.03 およびそれ以前 この問題は、WN-G300R3 のファームウェアを株式会社アイ・オー・データ機器 が提供する修正済みのバージョンに更新することで解決します。詳細は、株式 会社アイ・オー・データ機器が提供する情報を参照してください。
関連文書 (日本語)
株式会社アイ・オー・データ機器
無線ルーター「WN-G300R3」 セキュリティの脆弱性について
http://www.iodata.jp/support/information/2017/wn-g300r3/
【12】WN-AC1167GR にクロスサイトスクリプティングの脆弱性
情報源
Japan Vulnerability Notes JVN#01537659
WN-AC1167GR におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN01537659/
概要
WN-AC1167GR には、クロスサイトスクリプティングの脆弱性があります。結果 として、当該製品にログイン可能なユーザが、他のユーザのブラウザ上で任意 のスクリプトを実行する可能性があります。 対象となるバージョンは以下の通りです。 - WN-AC1167GR ファームウェア バージョン 1.04 およびそれ以前 この問題は、WN-AC1167GR のファームウェアを株式会社アイ・オー・データ機 器が提供する修正済みのバージョンに更新することで解決します。詳細は、株 式会社アイ・オー・データ機器が提供する情報を参照してください。
関連文書 (日本語)
株式会社アイ・オー・データ機器
無線ルーター「WN-AC1167GR」セキュリティの脆弱性について
http://www.iodata.jp/support/information/2017/wn-ac1167gr/
■今週のひとくちメモ
○サポート対象外 OS の利用による脅威
2017年4月15日、US-CERT は Current Activity として「Microsoft Addresses Shadow Brokers Exploits」を公開しました。このエントリでは、最近 Microsoft 製品を狙った攻撃ツールが増えていることから、Windows Vista な ど、サポートが終了した製品を使わないよう呼びかけており、あわせて Microsoft TechNet Blogs の「Protecting customers and evaluating risk」 を紹介しています。なお、2017年4月11日、Windows Vista とともに、 Microsoft Exchange Server 2007 の延長サポートも終了しました。サポート 終了後は、セキュリティ上の脅威が高まります。これらを利用している場合、 サポートが行われているバージョンへ早急に移行することをお勧めします。
参考文献 (日本語)
Microsoft
Windows Vista のサポートは終了しました
https://support.microsoft.com/ja-jp/help/22882/windows-vista-end-of-supportJPCERT/CC WEEKLY REPORT 2017-01-18
【今週のひとくちメモ】Windows Vista のサポート期間について
https://www.jpcert.or.jp/wr/2017/wr170201.html#Memo
参考文献 (英語)
US-CERT Current Activity
Microsoft Addresses Shadow Brokers Exploits
https://www.us-cert.gov/ncas/current-activity/2017/04/15/Microsoft-Addresses-Shadow-Brokers-Exploits-0Microsoft TechNet Blogs
Protecting customers and evaluating risk
https://blogs.technet.microsoft.com/msrc/2017/04/14/protecting-customers-and-evaluating-risk/
■JPCERT/CC からのお願い
-
本レポートに関するお問い合わせは
editor@jpcert.or.jp 宛
にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/ -
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html -
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/