<<< JPCERT/CC WEEKLY REPORT 2017-08-16 >>>
■08/06(日)〜08/12(土) のセキュリティ関連情報
目 次
【1】複数の Microsoft 製品に脆弱性
【2】複数の Adobe 製品に脆弱性
【3】Mozilla Firefox に複数の脆弱性
【4】Junos OS にヒープオーバーフローの脆弱性
【5】Symantec Messaging Gateway に複数の脆弱性
【6】WSR-300HP に任意のコードが実行可能な脆弱性
【7】WCR-1166DS に OS コマンドインジェクションの脆弱性
【8】Qua station接続ツール (Windows版) のインストーラに DLL 読み込みに関する脆弱性
【今週のひとくちメモ】CSAジャパンが「IoTへのサイバー攻撃仮想ストーリー集(第一版)」を公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2017/wr173101.txt
https://www.jpcert.or.jp/wr/2017/wr173101.xml
【1】複数の Microsoft 製品に脆弱性
情報源
US-CERT Current Activity
Microsoft Releases August 2017 Security Updates
https://www.us-cert.gov/ncas/current-activity/2017/08/08/Microsoft-Releases-August-2017-Security-Updates
概要
複数の Microsoft 製品には、脆弱性があります。結果として、遠隔の第三者 が任意のコードを実行するなどの可能性があります。 対象となる製品は次のとおりです。 - Internet Explorer - Microsoft Edge - Microsoft Windows - Microsoft SharePoint - Microsoft SQL Server この問題は、Windows Update 等を用いて、更新プログラムを適用することで 解決します。詳細は、Microsoft が提供する情報を参照してください。
関連文書 (日本語)
マイクロソフト株式会社
2017 年 8 月のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-jp/security-guidance/releasenotedetail/b3d96835-f651-e711-80dd-000d3a32fc99JPCERT/CC Alert 2017-08-09
2017年 8月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2017/at170032.html
【2】複数の Adobe 製品に脆弱性
情報源
US-CERT Current Activity
Adobe Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2017/08/08/Adobe-Releases-Security-Updates
概要
複数の Adobe 製品には、脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするな どの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - Adobe Flash Player デスクトップランタイム 26.0.0.137 およびそれ以前 (Windows版、Macintosh版、Linux版) - Acrobat DC (Continuous Track) 2017.009.20058 およびそれ以前 (Windows版、Macintosh版) - Acrobat Reader DC (Continuous Track) 2017.009.20058 およびそれ以前 (Windows版、Macintosh版) - Acrobat 2017 2017.008.30051 およびそれ以前 (Windows版、Macintosh版) - Acrobat Reader 2017 2017.008.30051 およびそれ以前 (Windows版、Macintosh版) - Acrobat DC (Classic Track) 2015.006.30306 およびそれ以前 (Windows版、Macintosh版) - Acrobat Reader DC (Classic Track) 2015.006.30306 およびそれ以前 (Windows版、Macintosh版) - Acrobat XI 11.0.20 およびそれ以前 (Windows版、Macintosh版) - Reader XI 11.0.20 およびそれ以前 (Windows版、Macintosh版) - Adobe Experience Manager 6.3 - Adobe Experience Manager 6.2 - Adobe Experience Manager 6.1 - Adobe Experience Manager 6.0 - Adobe Digital Editions 4.5.5 およびそれ以前 (Windows版、Macintosh版、iOS 版、Android 版) この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新 することで解決します。詳細は、Adobe が提供する情報を参照してください。
関連文書 (日本語)
Adobe セキュリティ情報
Flash Player 用のセキュリティアップデート公開 | APSB17-23
https://helpx.adobe.com/jp/security/products/flash-player/apsb17-23.htmlAdobe セキュリティ情報
Adobe Acrobat および Reader に関するセキュリティアップデート公開 | APSB17-24
https://helpx.adobe.com/jp/security/products/acrobat/apsb17-24.htmlAdobe セキュリティ情報
Adobe Experience Manager に関するセキュリティアップデート公開 | APSB17-26
https://helpx.adobe.com/jp/security/products/experience-manager/apsb17-26.htmlAdobe セキュリティ情報
Adobe Digital Editions に関するセキュリティアップデート公開 | APSB17-27
https://helpx.adobe.com/jp/security/products/Digital-Editions/apsb17-27.htmlJPCERT/CC Alert 2017-08-09
Adobe Flash Player の脆弱性 (APSB17-23) に関する注意喚起
https://www.jpcert.or.jp/at/2017/at170030.htmlJPCERT/CC Alert 2017-08-09
Adobe Reader および Acrobat の脆弱性 (APSB17-24) に関する注意喚起
https://www.jpcert.or.jp/at/2017/at170031.html
【3】Mozilla Firefox に複数の脆弱性
情報源
US-CERT Current Activity
Mozilla Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2017/08/08/Mozilla-Releases-Security-Updates
概要
Mozilla Firefox には、複数の脆弱性があります。結果として、遠隔の第三者 が、任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりす るなどの可能性があります。 対象となるバージョンは次のとおりです。 - Mozilla Firefox 55 より前のバージョン - Mozilla Firefox ESR 52.3 より前のバージョン この問題は、Mozilla Firefox を Mozilla が提供する修正済みのバージョン に更新することで解決します。詳細は、Mozilla が提供する情報を参照してく ださい。
関連文書 (英語)
Mozilla
Mozilla Foundation Security Advisories (August 8, 2017)
https://www.mozilla.org/en-US/security/advisories/
【4】Junos OS にヒープオーバーフローの脆弱性
情報源
US-CERT Current Activity
Juniper Networks Releases Junos OS Security Advisory
https://www.us-cert.gov/ncas/current-activity/2017/08/09/Juniper-Networks-Releases-Junos-OS-Security-Updates
概要
Junos OS には、ヒープオーバーフローの脆弱性があります。結果として、遠 隔の第三者が、任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を 行ったりする可能性があります。 対象となるバージョンは次のとおりです。 - Junos OS 12.1X46、12.3X48、15.1X49、14.2、15.1、15.1X53、16.1、16.2 この問題は、Junos OS を Juniper Networks が提供する修正済みのバージョン に更新することで解決します。詳細は、Juniper Networks が提供する情報を 参照してください。
関連文書 (英語)
Juniper Networks
2017-07 Security Bulletin: Junos OS: Integer signedness error in GD Graphics Library (CVE-2016-3074)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10798
【5】Symantec Messaging Gateway に複数の脆弱性
情報源
US-CERT Current Activity
Symantec Releases Security Update
https://www.us-cert.gov/ncas/current-activity/2017/08/11/Symantec-Releases-Security-Update
概要
Symantec Messaging Gateway には、複数の脆弱性があります。結果として、 当該製品にアクセス可能なユーザが、管理者権限で任意の操作を行ったり、ユー ザのブラウザ上で意図しない操作を行ったりするなどの可能性があります。 対象となるバージョンは次のとおりです。 - Symantec Messaging Gateway 10.6.3-267 より前のバージョン この問題は、Symantec Messaging Gateway を Symantec が提供する修正済み のバージョンに更新することで解決します。詳細は、Symantec が提供する情 報を参照してください。
関連文書 (英語)
Symantec
Security Advisories Relating to Symantec Products - Symantec Messaging Gateway RCE and CSRF
https://www.symantec.com/security_response/securityupdates/detail.jsp?fid=security_advisory&pvid=security_advisory&year=&suid=20170810_00
【6】WSR-300HP に任意のコードが実行可能な脆弱性
情報源
Japan Vulnerability Notes JVN#74871939
WSR-300HP において任意のコードが実行可能な脆弱性
https://jvn.jp/jp/JVN74871939/
概要
WSR-300HP には、任意のコードが実行可能な脆弱性があります。結果として、 遠隔の第三者が、細工したリクエストを送信することで、任意のコードを実行 する可能性があります。 対象となるバージョンは次のとおりです。 - WSR-300HP ファームウエア 2.30 およびそれ以前 この問題は、WSR-300HP のファームウェアを株式会社バッファローが提供する 修正済みのバージョンに更新することで解決します。詳細は、株式会社バッファ ローが提供する情報を参照してください。
関連文書 (日本語)
株式会社バッファロー
WSR-300HPにおける任意のコードが実行可能な脆弱性
http://buffalo.jp/support_s/s20170804_2.html
【7】WCR-1166DS に OS コマンドインジェクションの脆弱性
情報源
Japan Vulnerability Notes JVN#05340005
WCR-1166DS における OS コマンドインジェクションの脆弱性
https://jvn.jp/jp/JVN05340005/
概要
WCR-1166DS には、OS コマンドインジェクションの脆弱性があります。結果と して、管理画面にアクセス可能なユーザが、任意の OS コマンドを実行する可 能性があります。 対象となるバージョンは次のとおりです。 - WCR-1166DS ファームウェア 1.30 およびそれ以前 この問題は、WCR-1166DS のファームウェアを株式会社バッファローが提供す る修正済みのバージョンに更新することで解決します。詳細は、株式会社バッ ファローが提供する情報を参照してください。
関連文書 (日本語)
株式会社バッファロー
WCR-1166DSにおけるOSコマンドインジェクションの脆弱性
http://buffalo.jp/support_s/s20170804_1.html
【8】Qua station接続ツール (Windows版) のインストーラに DLL 読み込みに関する脆弱性
情報源
Japan Vulnerability Notes JVN#81659403
Qua station接続ツール (Windows版) のインストーラにおける DLL 読み込みに関する脆弱性
https://jvn.jp/jp/JVN81659403/
概要
Qua station接続ツール (Windows版) のインストーラには、DLL 読み込みに関 する脆弱性があります。結果として、第三者が任意のコードを実行する可能性 があります。 対象となるバージョンは次のとおりです。 - Qua station接続ツール (Windows版) バージョン 1.00.03 この問題は、KDDI 株式会社が提供する最新のインストーラでは解決していま す。なお、すでに Qua station接続ツール (Windows版) をインストールして いる場合には、この問題の影響はありません。
関連文書 (日本語)
KDDI 株式会社
Qua station(キュア ステーション)
https://www.au.com/mobile/product/4glte-photostorage/quastation/
■今週のひとくちメモ
○CSAジャパンが「IoTへのサイバー攻撃仮想ストーリー集(第一版)」を公開
2017年8月6日、日本クラウドセキュリティアライアンス (CSAジャパン) は、 「IoTへのサイバー攻撃仮想ストーリー集(第一版)」を公開しました。この ドキュメントは、IoT 機器やシステムに対する仮想の攻撃シナリオ集で、「病 院システムへのマルウエア感染」や「監視カメラシステムの画像流出」など、 10 の攻撃シナリオの影響、原因、対策がまとめられています。
参考文献 (日本語)
日本クラウドセキュリティアライアンス (CSAジャパン)
「IoTへのサイバー攻撃仮想ストーリー集(第一版)」(2017年8月1日)を公開しました。
https://www.cloudsecurityalliance.jp/newsite/?p=3069日本クラウドセキュリティアライアンス (CSAジャパン)
IoTへのサイバー攻撃仮想ストーリー集
https://cloudsecurityalliance.jp/WG_PUB/IoT_WG/scenario.pdf
■JPCERT/CC からのお願い
-
本レポートに関するお問い合わせは
editor@jpcert.or.jp 宛
にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/ -
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html -
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/