<<< JPCERT/CC WEEKLY REPORT 2018-10-17 >>>
■10/07(日)〜10/13(土) のセキュリティ関連情報
目 次
【1】複数の Microsoft 製品に脆弱性
【2】複数の Apple 製品に脆弱性
【3】複数の Adobe 製品に脆弱性
【4】複数の VMware 製品に脆弱性
【5】複数の Juniper 製品に脆弱性
【6】PHP に複数の脆弱性
【7】Intel 製品に複数の脆弱性
【8】Music Center for PC にソフトウェアアップデート時のダウンロードファイル検証不備の脆弱性
【9】User-friendly SVN にクロスサイトスクリプティングの脆弱性
【10】Metabase にクロスサイトスクリプティングの脆弱性
【11】OpenAM (オープンソース版) にセッション管理不備の脆弱性
【12】Auto-Maskin DCU 210E、RP 210E および Marine Pro Observer App に複数の脆弱性
【今週のひとくちメモ】「CODE BLUE 2018」開催
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2018/wr184001.txt
https://www.jpcert.or.jp/wr/2018/wr184001.xml
【1】複数の Microsoft 製品に脆弱性
情報源
US-CERT Current Activity
Microsoft Releases October 2018 Security Updates
https://www.us-cert.gov/ncas/current-activity/2018/10/09/Microsoft-Releases-October-2018-Security-Updates
概要
複数の Microsoft 製品には、脆弱性があります。結果として、遠隔の第三者 が任意のコードを実行するなどの可能性があります。 対象となる製品は次のとおりです。 - Internet Explorer - Microsoft Edge - Microsoft Windows - Microsoft Office、Microsoft Office Services および Web Apps - ChakraCore - .NET Core - PowerShell Core - SQL Server Management Studio - Microsoft Exchange Server - Azure IoT Edge - Hub Device Client SDK for Azure IoT この問題は、Microsoft Update などを用いて、更新プログラムを適用するこ とで解決します。詳細は、Microsoft が提供する情報を参照してください。
関連文書 (日本語)
マイクロソフト株式会社
2018 年 10 月のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-jp/security-guidance/releasenotedetail/aa99ba28-e99f-e811-a978-000d3a33c573JPCERT/CC Alert 2018-10-10
2018年10月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2018/at180041.html
【2】複数の Apple 製品に脆弱性
情報源
US-CERT Current Activity
Apple Releases Security Updates for iCloud, iOS
https://www.us-cert.gov/ncas/current-activity/2018/10/08/Apple-Releases-Security-Updates-iCloud-iOSJapan Vulnerability Notes JVNVU#92800088
複数の Apple 製品における脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU92800088/
概要
複数の Apple 製品には、脆弱性があります。結果として、第三者が、任意の コードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可 能性があります。 対象となる製品およびバージョンは次のとおりです。 - iCloud for Windows 7.7 より前のバージョン - iOS 12.0.1 より前のバージョン この問題は、該当する製品を Apple が提供する修正済みのバージョンに更新 することで解決します。詳細は、Apple が提供する情報を参照してください。
関連文書 (日本語)
Apple
Windows 用 iCloud 7.7 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT209141Apple
iOS 12.0.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT209162
【3】複数の Adobe 製品に脆弱性
情報源
US-CERT Current Activity
Adobe Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2018/10/09/Adobe-Releases-Security-UpdatesAdobe
Security Bulletins Posted
https://blogs.adobe.com/psirt/?p=1633
概要
複数の Adobe 製品には、脆弱性があります。結果として、遠隔の第三者が任 意のコードを実行するなどの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - Adobe Digital Edition 4.5.8 およびそれ以前 (Windows 版、Macintosh 版 および iOS版) - Adobe Experience Manager バージョン 6.0、6.1、6.2、6.3、6.4 - Adobe Framemaker 1.0.5.1 およびそれ以前 (Windows 版) - Adobe Technical Communications Suite 1.0.5.1 およびそれ以前 (Windows 版) この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新 することで解決します。詳細は、Adobe が提供する情報を参照してください。
関連文書 (日本語)
Adobe
Adobe Digital Editions に関するセキュリティアップデート公開 | APSB18-27
https://helpx.adobe.com/jp/security/products/Digital-Editions/apsb18-27.htmlAdobe
Adobe Experience Manager に関するセキュリティアップデート公開 | APSB18-36
https://helpx.adobe.com/jp/security/products/experience-manager/apsb18-36.htmlAdobe
Adobe FrameMaker 用のセキュリティアップデート公開 | APSB18-37
https://helpx.adobe.com/jp/security/products/framemaker/apsb18-37.htmlAdobe
Adobe Technical Communications Suite に関するセキュリティアップデート公開 | APSB18-38
https://helpx.adobe.com/jp/security/products/techcommsuite/apsb18-38.htmlJPCERT/CC CyberNewsFlash
複数の Adobe 製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2018101001.html
【4】複数の VMware 製品に脆弱性
情報源
US-CERT Current Activity
VMware Releases Security Advisory
https://www.us-cert.gov/ncas/current-activity/2018/10/09/VMware-Releases-Security-Advisory
概要
複数の VMware 製品には、脆弱性があります。結果として、第三者がサービス 運用妨害 (DoS) 攻撃を行う可能性があります。 対象となる製品は次のとおりです。 - VMware vSphere ESXi - VMware Workstation Pro / Player - VMware Fusion Pro, Fusion 2018年10月16日現在、この問題に対する解決策は提供されていません。VMware が提供する回避策を適用することで、本問題の影響を軽減することが可能です。 詳細は、VMware が提供する情報を参照してください。
関連文書 (英語)
VMware Security Advisories
VMSA-2018-0025
https://www.vmware.com/security/advisories/VMSA-2018-0025.html
【5】複数の Juniper 製品に脆弱性
情報源
US-CERT Current Activity
Juniper Networks Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2018/10/10/Juniper-Networks-Releases-Security-Updates
概要
複数の Juniper 製品には、脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするな どの可能性があります。 対象となる製品は次のとおりです。 - Junos OS - ScreenOS - Junos Space Network Management Platform - Junos Space Security Director - NFX シリーズ - vSRX シリーズ - QFX5000 シリーズ - EX4600 シリーズ - MX シリーズ この問題は、該当する製品を Juniper が提供する修正済みのバージョンに更 新することで解決します。詳細は、Juniper が提供する情報を参照してくださ い。
関連文書 (英語)
Juniper Networks
2018-10 Security Bulletin: Junos OS: RPD daemon crashes upon receipt of specific MPLS packet (CVE-2018-0043)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10877Juniper Networks
2018-10 Security Bulletin: Junos OS: RPD daemon crashes due to receipt of specific Draft-Rosen MVPN control packet in Draft-Rosen MVPN configuration (CVE-2018-0045)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10879Juniper Networks
2018-10 Security Bulletin: NFX Series: Insecure sshd configuration in Juniper Device Manager (JDM) and host OS (CVE-2018-0044)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10878Juniper Networks
2018-10 Security Bulletin: Junos Space: Multiple vulnerabilities resolved in 18.2R1 release
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10880Juniper Networks
2018-10 Security Bulletin: Junos Space Security Director: XSS vulnerability in web administration (CVE-2018-0047)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10881Juniper Networks
2018-10 Security Bulletin: Junos OS: Memory exhaustion denial of service vulnerability in Routing Protocols Daemon (RPD) with Juniper Extension Toolkit (JET) support (CVE-2018-0048)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10882Juniper Networks
2018-10 Security Bulletin: Junos OS: Receipt of a specifically crafted malicious MPLS packet leads to a Junos kernel crash (CVE-2018-0049)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10883Juniper Networks
2018-10 Security Bulletin: Junos OS: Receipt of a malformed MPLS RSVP packet leads to a Routing Protocols Daemon (RPD) crash (CVE-2018-0050)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10884Juniper Networks
2018-10 Security Bulletin: Junos OS: Denial of Service vulnerability in MS-PIC, MS-MIC, MS-MPC, MS-DPC and SRX flow daemon (flowd) related to SIP ALG (CVE-2018-0051)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10885Juniper Networks
2018-10 Security Bulletin: Junos OS: Unauthenticated remote root access possible when RSH service is enabled (CVE-2018-0052)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10886Juniper Networks
2018-10 Security Bulletin: vSRX Series: A local authentication vulnerability may lead to full control of a vSRX instance while the system is booting. (CVE-2018-0053)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10887Juniper Networks
2018-10 Security Bulletin: QFX5000/EX4600 Series: Routing protocol flap upon receipt of high rate of Ethernet frames (CVE-2018-0054)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10888Juniper Networks
2018-10 Security Bulletin: Junos OS: jdhcpd process crash during processing of specially crafted DHCPv6 message (CVE-2018-0055)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10889Juniper Networks
2018-10 Security Bulletin: MX Series: L2ALD daemon may crash if a duplicate MAC is learned by two different interfaces (CVE-2018-0056)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10890Juniper Networks
2018-10 Security Bulletin: Junos OS: authd allows assignment of IP address requested by DHCP subscriber logging in with Option 50 (Requested IP Address) (CVE-2018-0057)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10892Juniper Networks
2018-10 Security Bulletin: MX Series: In BBE configurations, receipt of a crafted IPv6 exception packet causes a Denial of Service (CVE-2018-0058)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10893Juniper Networks
2018-10 Security Bulletin: ScreenOS: Stored Cross-Site Scripting (XSS) vulnerability (CVE-2018-0059)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10894Juniper Networks
2018-10 Security Bulletin: Junos OS: Invalid IP/mask learned from DHCP server might cause the device control daemon (dcd) process crash (CVE-2018-0060)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10895Juniper Networks
2018-10 Security Bulletin: Junos OS: Denial of service in telnetd (CVE-2018-0061)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10896Juniper Networks
2018-10 Security Bulletin: Junos OS: Denial of Service in J-Web (CVE-2018-0062)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10897Juniper Networks
2018-10 Security Bulletin: Junos OS: Multiple vulnerabilities in NTP [VU#961909]
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10898Juniper Networks
2018-10 Security Bulletin: Junos OS: Nexthop index allocation failed: private index space exhausted via incoming ARP requests to management interface (CVE-2018-0063)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10899
【6】PHP に複数の脆弱性
情報源
US-CERT Current Activity
MS-ISAC Releases Advisory on PHP Vulnerabilities
https://www.us-cert.gov/ncas/current-activity/2018/10/12/MS-ISAC-Releases-Advisory-PHP-VulnerabilitiesThe PHP Group
PHP 7.2.11 Released
https://secure.php.net/archive/2018.php#id2018-10-11-2The PHP Group
PHP 7.1.23 Released
https://secure.php.net/archive/2018.php#id2018-10-11-3
概要
PHP には、複数の脆弱性があります。結果として、第三者が任意のコードを実 行するなどの可能性があります。 対象となるバージョンは次のとおりです。 - PHP 7.2.11 より前のバージョン - PHP 7.1.23 より前のバージョン この問題は、PHP を開発者や配布元が提供する修正済みのバージョンに更新す ることで解決します。詳細は、開発者や配布元が提供する情報を参照してくだ さい。
関連文書 (英語)
The PHP Group
PHP 7 ChangeLog Version 7.2.11
http://www.php.net/ChangeLog-7.php#7.2.11The PHP Group
PHP 7 ChangeLog Version 7.1.23
http://www.php.net/ChangeLog-7.php#7.1.23Center for Internet Security
Multiple Vulnerabilities in PHP Could Allow for Arbitrary Code Execution
https://www.cisecurity.org/advisory/multiple-vulnerabilities-in-php-could-allow-for-arbitrary-code-execution_2018-113/
【7】Intel 製品に複数の脆弱性
情報源
Japan Vulnerability Notes JVNVU#99973215
Intel 製品に複数の脆弱性
https://jvn.jp/vu/JVNVU99973215/
概要
Intel 製品 には、複数の脆弱性があります。結果として、第三者がサービス 運用妨害 (DoS) 攻撃を行うなどの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - Intel Graphics Drivers 10.18.x.5056 (aka 15.33.x.5056) より前のバージョン - Intel Graphics Drivers 10.18.x.5057 (aka 15.36.x.5057) より前のバージョン - Intel Graphics Drivers 20.19.x.5058 (aka 15.40.x.5058) より前のバージョン - Intel NUC Firmware Kits 2018年5月24日版より前のバージョン - Intel QuickAssist Technology for Linux version 4.2 より前のバージョン この問題は、開発者が提供する修正済みのバージョンに更新することで解決し ます。詳細は、開発者が提供する情報を参照してください。
関連文書 (英語)
Intel
Intel Graphics Driver Unified Shader Compiler Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00166.htmlIntel
Intel NUC Bios Updater Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00168.htmlIntel
Intel QuickAssist Technology for Linux Advisory
https://01.org/security/advisories/intel-oss-10005
【8】Music Center for PC にソフトウェアアップデート時のダウンロードファイル検証不備の脆弱性
情報源
Japan Vulnerability Notes JVN#36623716
Music Center for PC にソフトウェアアップデート時のダウンロードファイル検証不備の脆弱性
https://jvn.jp/jp/JVN36623716/
概要
Music Center for PC には、ソフトウェアアップデート時にダウンロードする ファイルの検証処理に関する脆弱性があります。結果として、遠隔の第三者が 不正なプログラムを実行するなどの可能性があります。 対象となるバージョンは次のとおりです。 - Music Center for PC バージョン 1.0.02 およびそれ以前 この問題は、開発者が提供する修正済みのバージョンに更新することで解決し ます。開発者が提供する情報をもとに、開発者のサイトから最新版のインストー ラを直接ダウンロードしてアップデートしてください。詳細は、開発者が提供 する情報を参照してください。
関連文書 (日本語)
ソニービデオ&サウンドプロダクツ株式会社
Music Center for PC
https://musiccenter.sony.net/ja/
【9】User-friendly SVN にクロスサイトスクリプティングの脆弱性
情報源
Japan Vulnerability Notes JVN#73794686
User-friendly SVN におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN73794686/
概要
User-friendly SVN (USVN) には、クロスサイトスクリプティングの脆弱性が あります。結果として、遠隔の第三者が、当該製品にログインしているユーザ のウェブブラウザ上で、任意のスクリプトを実行する可能性があります。 対象となるバージョンは次のとおりです。 - User-friendly SVN Version 1.0.7 およびそれ以前 この問題は、開発者が提供する修正済みのバージョンに更新することで解決し ます。詳細は、開発者が提供する情報を参照してください。
関連文書 (英語)
USVN Team
USVN 1.0.8
https://www.usvn.info/2018/10/02/usvn-1.0.8
【10】Metabase にクロスサイトスクリプティングの脆弱性
情報源
Japan Vulnerability Notes JVN#14323043
Metabase におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN14323043/
概要
Metabase には、クロスサイトスクリプティングの脆弱性があります。結果と して、遠隔の第三者が、当該製品にログインしているユーザのウェブブラウザ 上で、任意のスクリプトを実行する可能性があります。 対象となるバージョンは次のとおりです。 - Metabase バージョン 0.29.3 およびそれ以前 この問題は、開発者が提供する修正済みのバージョンに更新することで解決し ます。詳細は、開発者が提供する情報を参照してください。
関連文書 (英語)
Metabase, Inc.
Metabase
https://metabase.com/
【11】OpenAM (オープンソース版) にセッション管理不備の脆弱性
情報源
Japan Vulnerability Notes JVN#49995005
OpenAM (オープンソース版) におけるセッション管理不備の脆弱性
https://jvn.jp/jp/JVN49995005/
概要
OpenAM (オープンソース版) には、セッション管理不備の脆弱性があります。 結果として、当該製品にログイン可能なユーザが、秘密の質問 (Security Questions) を書き換え、パスワードを変更する可能性があります。 対象となるバージョンは次のとおりです。 - OpenAM (オープンソース版) 13.0 およびそれ以降 この問題は、OpenAM コンソーシアムが提供するパッチを適用することで解決 します。詳細は、OpenAM コンソーシアムなどが提供する情報を参照してくだ さい。
関連文書 (日本語)
オープンソース・ソリューション・テクノロジ株式会社
OpenAMのセキュリティに関する脆弱性と製品アップデートのお知らせ[AM20181012-1]
https://www.osstech.co.jp/support/am2018-4-1
【12】Auto-Maskin DCU 210E、RP 210E および Marine Pro Observer App に複数の脆弱性
情報源
CERT/CC Vulnerability Note VU#176301
Auto-Maskin DCU 210E RP 210E and Marine Pro Observer App
https://www.kb.cert.org/vuls/id/176301Japan Vulnerability Notes JVNVU#99039923
Auto-Maskin DCU 210E、RP 210E および Marine Pro Observer App に複数の脆弱性
https://jvn.jp/vu/JVNVU99039923/
概要
Auto-Maskin RP リモートパネルと DCU コントロールユニットには、複数の脆 弱性があります。結果として、第三者が機器の構成や設定情報、センサーの動 作状況などの情報を取得する可能性があります。 対象となる製品は次のとおりです。 - Auto-Maskin RP リモートパネル - DCU コントロールユニット 2018年10月16日現在、この問題に対する解決策は提供されていません。該当の 製品を使用している場合、製品開発者の情報を確認することをおすすめします。
■今週のひとくちメモ
○「CODE BLUE 2018」開催
2018年10月29日から 11月2日にかけて、「CODE BLUE 2018」が開催されます。 CODE BLUE 実行委員会が主催する本イベントは、情報セキュリティ専門家によ る講演および情報交換・交流の機会を提供する国際会議です。JPCERT/CC は、 このイベントを後援しております。また、JPCERT/CC のアナリストが、「Logon Tracer:可視化と機械学習を使用してActive Directoryのイベントログを分析」 と「サイバー空間の規範を読み解く -- 技術者コミュニティの新たな役割 --」 と題した 2つの講演を行います。 参加には事前登録が必要です。参加申し込みの詳細は、「CODE BLUE 2018」の Web サイトを参照ください。
参考文献 (日本語)
CODE BLUE 実行委員会
CODE BLUE 2018
https://codeblue.jp/2018/
■JPCERT/CC からのお願い
-
本レポートに関するお問い合わせは
editor@jpcert.or.jp 宛
にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/ -
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html -
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。
https://www.jpcert.or.jp/form/