<<< JPCERT/CC WEEKLY REPORT 2018-04-25 >>>
■04/15(日)〜04/21(土) のセキュリティ関連情報
目 次
【1】2018年 4月 Oracle Critical Patch Update について
【2】複数の Cisco 製品に脆弱性
【3】Drupal にクロスサイトスクリプティングの脆弱性
【4】EC-CUBE にセッション固定の脆弱性
【5】CENTUM と Exaopc にアクセス制限不備の脆弱性
【今週のひとくちメモ】長期休暇にそなえて 2018/04
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2018/wr181601.txt
https://www.jpcert.or.jp/wr/2018/wr181601.xml
【1】2018年 4月 Oracle Critical Patch Update について
情報源
US-CERT Current Activity
Oracle Releases April 2018 Security Bulletin
https://www.us-cert.gov/ncas/current-activity/2018/04/17/Oracle-Releases-April-2018-Security-Bulletin
概要
Oracle から複数の製品およびコンポーネントに含まれる脆弱性に対応した Oracle Critical Patch Update Advisory が公開されました。 詳細は、Oracle が提供する情報を参照してください。
関連文書 (日本語)
JPCERT/CC Alert 2018-04-18
2018年 4月 Oracle 製品のクリティカルパッチアップデートに関する注意喚起
https://www.jpcert.or.jp/at/2018/at180018.html
関連文書 (英語)
Oracle
Oracle Critical Patch Update Advisory - April 2018
http://www.oracle.com/technetwork/security-advisory/cpuapr2018-3678067.html
【2】複数の Cisco 製品に脆弱性
情報源
US-CERT Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.us-cert.gov/ncas/current-activity/2018/04/18/Cisco-Releases-Security-Updates-Multiple-Products
概要
複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が任 意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするなど の可能性があります。 対象となる製品およびバージョンは次のとおりです。 - Cisco WebEx Business Suite (WBS31) client T31.23.2 より前のバージョン - Cisco WebEx Business Suite (WBS32) client T32.10 より前のバージョン - Cisco WebEx Meetings with client T32.10 より前のバージョン - Cisco WebEx Meetings Server 2.8 MR2 より前のバージョン - Cisco Unified Computing System (UCS) Director 6.5.0.3 より前の 6系のバージョン - Cisco ISA 3000 Industrial Security Appliance - Adaptive Security Appliance (ASA) 5500-X Series Firewalls with FirePOWER Services - Adaptive Security Appliance (ASA) 5500-X Series Next-Generation Firewalls - ASA 5500 Series Adaptive Security Appliances - ASA Services Module for Cisco Catalyst 6500 Series Switches - ASA Services Module for Cisco 7600 Series Routers - Adaptive Security Virtual Appliance (ASAv) - Advanced Malware Protection (AMP) for Networks, 7000 Series Appliances - Advanced Malware Protection (AMP) for Networks, 8000 Series Appliances - Firepower 2100 Series Security Appliance - Firepower 4100 Series Appliances - Firepower 4110 Security Appliances - FirePOWER 7000 Series Appliances - FirePOWER 8000 Series Appliances - Firepower 9300 Series Security Appliances - Firepower Threat Defense for Integrated Services Router (ISR) - Firepower Threat Defense Virtual for VMware - Sourcefire 3D System Appliances - Firepower 2100 シリーズ上で動作している Firepower Threat Defense 6.2.1 - Firepower 2100 シリーズ上で動作している Firepower Threat Defense 6.2.2 - Cisco StarOS が稼働している Aggregation Services Router (ASR) 5700 シリーズ - Cisco StarOS が稼働している Virtualized Packet Core - Distributed Instance (VPC-DI) - Cisco StarOS が稼働している Virtualized Packet Core - Single Instance (VPC-SI) - IPv4 helper address を設定している Cisco IOS XR 6.3.1 より前のバージョン この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新 することで解決します。詳細は、Cisco が提供する情報を参照してください。
関連文書 (英語)
Cisco Security Advisory
Cisco WebEx Clients Remote Code Execution Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-wbsCisco Security Advisory
Cisco UCS Director Virtual Machine Information Disclosure Vulnerability for End User Portal
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-uscdCisco Security Advisory
Cisco StarOS Interface Forwarding Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-starosCisco Security Advisory
Cisco IOS XR Software UDP Broadcast Forwarding Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-iosxrCisco Security Advisory
Cisco Firepower Detection Engine Secure Sockets Layer Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-fpsnortCisco Security Advisory
Cisco Firepower 2100 Series Security Appliances IP Fragmentation Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-fp2100Cisco Security Advisory
Cisco ASA Software, FTD Software, and AnyConnect Secure Mobility Client SAML Authentication Session Fixation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-asaanyconnectCisco Security Advisory
Cisco Adaptive Security Appliance Application Layer Protocol Inspection Denial of Service Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-asa_inspectCisco Security Advisory
Cisco Adaptive Security Appliance TLS Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-asa3Cisco Security Advisory
Cisco Adaptive Security Appliance Flow Creation Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-asa2Cisco Security Advisory
Cisco Adaptive Security Appliance Virtual Private Network SSL Client Certificate Bypass Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-asa1
【3】Drupal にクロスサイトスクリプティングの脆弱性
情報源
US-CERT Current Activity
Drupal Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2018/04/18/Drupal-Releases-Security-Updates
概要
Drupal には、クロスサイトスクリプティングの脆弱性があります。結果とし て、遠隔の第三者が、ユーザのブラウザ上で任意のスクリプトを実行する可能 性があります。 対象となるバージョンは次のとおりです。 - Drupal 8.5.2 より前のバージョン - Drupal 8.4.7 より前のバージョン この問題は、Drupal を Drupal が提供する修正済みのバージョンに更新する ことで解決します。なお、Drupal 7 で CKEditor モジュールを利用している 場合、本脆弱性の影響を受ける可能性があります。詳細は、Drupal が提供す る情報を参照してください。
関連文書 (英語)
Drupal
Drupal core - Moderately critical - Cross Site Scripting - SA-CORE-2018-003
https://www.drupal.org/sa-core-2018-003
【4】EC-CUBE にセッション固定の脆弱性
情報源
Japan Vulnerability Notes JVNVU#52695336
EC-CUBE におけるセッション固定の脆弱性
https://jvn.jp/jp/JVN52695336/
概要
EC-CUBE には、セッション固定の脆弱性があります。結果として、遠隔の第三 者が、ユーザになりすまし、ログインしているユーザの権限で任意の操作を行 う可能性があります。 対象となる製品は次のとおりです。 - EC-CUBE 3.0.0 から 3.0.15 まで この問題は、EC-CUBE を株式会社ロックオンが提供する修正済みのバージョン に更新することで解決します。詳細は、株式会社ロックオンが提供する情報を 参照してください。
関連文書 (日本語)
株式会社ロックオン
EC-CUBE 3.0系のセッション固定に関する修正について
https://www.ec-cube.net/info/weakness/20180416/
【5】CENTUM と Exaopc にアクセス制限不備の脆弱性
情報源
Japan Vulnerability Notes JVN#98102375
CENTUM と Exaopc にアクセス制限不備の脆弱性
https://jvn.jp/vu/JVNVU98102375/
概要
CENTUM および Exaopc には、アクセス制限不備の脆弱性があります。結果と して、当該製品にログイン可能なユーザが、アラーム偽造やアラーム表示妨害 を行う可能性があります。 対象となるバージョンは次のとおりです。 - CENTUM CS 1000 - CENTUM CS 3000 R3.09.50 およびそれ以前 - CENTUM CS 3000 Small R3.09.50 およびそれ以前 - CENTUM VP R6.03.10 およびそれ以前 - CENTUM VP Small R6.03.10 およびそれ以前 - CENTUM VP Basic R6.03.10 およびそれ以前 - Exaopc R3.75.00 およびそれ以前 - B/M9000 CS - B/M9000 VP R8.01.01 およびそれ以前 この問題は、該当する製品を横河電機株式会社が提供する修正済みのバージョン に更新することで解決します。なお CENTUM CS 1000、CENTUM CS 3000、 CENTUM CS 3000 Small は保守期間終了製品のため対策パッチは提供されず、 修正済みの CENTUM VP にマイグレーションすることで解決します。詳細は、 横河電機株式会社が提供する情報を参照してください。
関連文書 (日本語)
横河電機株式会社
YSAR-18-0001:CENTUMとExaopcにアラームの偽造と妨害の脆弱性 (PDF)
https://web-material3.yokogawa.com/YSAR-18-0001-J.jp.pdf
■今週のひとくちメモ
○長期休暇にそなえて 2018/04
2018年4月19日、JPCERT/CC は「長期休暇に備えて 2018/04」を公開しました。 この呼びかけでは、JPCERT/CC が報告を受けた複数のインシデントを例に挙げ、 インシデント発生の予防および緊急時の対応に関して、対策などの要点をまと めて記載しています。休暇期間中のインシデント発生に備え、自組織のセキュ リティ対策や対応を今一度ご確認ください。
参考文献 (日本語)
JPCERT/CC
長期休暇に備えて 2018/04
https://www.jpcert.or.jp/pr/2018/pr180001.html
■JPCERT/CC からのお願い
-
本レポートに関するお問い合わせは
editor@jpcert.or.jp 宛
にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/ -
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html -
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。
https://www.jpcert.or.jp/form/