US-CERT Current Activity
Adobe Releases Security Updates for Flash Player
https://www.us-cert.gov/ncas/current-activity/2015/07/08/Adobe-Releases-Security-Updates-Flash-Player

概要

Adobe Flash Player および Adobe AIR には複数の脆弱性があります。結果と
して、遠隔の第三者が任意のコードを実行するなどの可能性があります。

対象となるバージョンは以下の通りです。

- Adobe Flash Player デスクトップランタイム 18.0.0.194 およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Flash Player 継続サポートリリース 13.0.0.296 およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Flash Player 11.2.202.468 およびそれ以前 (Linux 版) 
- Adobe AIR デスクトップランタイム 18.0.0.144 およびそれ以前 (Windows 版、Macintosh 版)
- Adobe AIR SDK 18.0.0.144 およびそれ以前 (Windows 版、Macintosh 版、Android 版、iOS版)
- Adobe AIR SDK & Compiler 18.0.0.144 およびそれ以前 (Windows 版、Macintosh 版、Android 版、iOS版)

この問題は、Adobe が提供する修正済みのバージョンに該当する製品を更新す
ることで解決します。詳細は、Adobe が提供する情報を参照してください。

【2】ISC BIND 9 にサービス運用妨害 (DoS) の脆弱性

情報源

ISC Knowledge Base
CVE-2015-4620: Specially Constructed Zone Data Can Cause a Resolver to Crash when Validating
https://kb.isc.org/article/AA-01267

概要

ISC BIND 9 の DNSSEC 検証の処理には、脆弱性があります。結果として、遠隔
の第三者がサービス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは以下の通りです。

- BIND 9.7.1 から 9.7.7 まで
- BIND 9.8.0 から 9.8.8 まで
- BIND 9.9.0 から 9.9.7 まで
- BIND 9.10.0 から 9.10.2-P1 まで

この問題は、ISC が提供する修正済みのバージョンに BIND 9 を更新すること
で解決します。詳細は、ISC が提供する情報を参照してください。

【3】OpenSSL に証明書チェーンの検証不備の脆弱性

情報源

US-CERT Current Activity
OpenSSL Releases Security Advisory
https://www.us-cert.gov/ncas/current-activity/2015/07/09/OpenSSL-Releases-Security-Advisory

概要

OpenSSL には、証明書チェーンの検証不備の脆弱性があります。結果として、
遠隔の第三者が中間者攻撃を行うことによって、暗号通信を盗聴するなどの可
能性があります。

対象となるバージョンは以下の通りです。

- OpenSSL 1.0.2c、1.0.2b
- OpenSSL 1.0.1o、1.0.1n

この問題は、使用している OS のベンダや配布元が提供する修正済みのバー
ジョンに OpenSSL を更新することで解決します。詳細は、ベンダや配布元が
提供する情報を参照してください。

【4】Mozilla 製品群に複数の脆弱性

情報源

US-CERT Current Activity
Mozilla Releases Security Updates for Firefox, Firefox ESR, and Thunderbird
https://www.us-cert.gov/ncas/current-activity/2015/07/07/Mozilla-Releases-Security-Updates-Firefox-Firefox-ESR-and

概要

Mozilla 製品群には、複数の脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能
性があります。

対象となるバージョンは以下の通りです。

- Firefox 39 より前のバージョン
- Firefox ESR 31.8 より前のバージョン
- Firefox ESR 38.1 より前のバージョン
- Thunderbird 38.1 より前のバージョン

この問題は、Mozilla が提供する修正済みのバージョンに該当する製品を更新
することで解決します。詳細は、Mozilla が提供する情報を参照してください。

【5】PHP に複数の脆弱性

情報源

PHP Group
PHP 5.6.11 is available
https://secure.php.net/archive/2015.php#id2015-07-10-3

PHP Group
PHP 5.5.27 released
https://secure.php.net/archive/2015.php#id2015-07-10-2

PHP Group
PHP 5.4.43 Released
https://secure.php.net/archive/2015.php#id2015-07-09-1

概要

PHP の mysqlnd には、脆弱性があります。結果として、遠隔の第三者が中間
者攻撃を行う可能性があります。

対象となるバージョンは以下の通りです。

- PHP 5.6.11 より前のバージョン
- PHP 5.5.27 より前のバージョン
- PHP 5.4.43 より前のバージョン

この問題は、開発者や配布元が提供する修正済みのバージョンに PHP を更新
することで解決します。詳細は、開発者や配布元が提供する情報を参照してく
ださい。

【6】複数の VMware 製品に脆弱性

情報源

US-CERT Current Activity
VMware Releases Security Advisory
https://www.us-cert.gov/ncas/current-activity/2015/07/10/VMware-Releases-Security-Advisory

概要

複数の VMware 製品には、脆弱性があります。結果として、ホスト OS のユー
ザがより高い権限を取得するなどの可能性があります。

対象となる製品およびバージョンは以下の通りです。

- VMware Workstation 11.1.1 より前のバージョン
- VMware Workstation 10.0.7 より前のバージョン
- VMware Player 7.1.1 より前のバージョン
- VMware Player 6.0.7 より前のバージョン
- VMware Horizon Client for Windows (with Local Mode Option) 5.4.2 より前のバージョン

この問題は、VMware が提供する修正済みのバージョンに該当する製品を更新す
ることで解決します。詳細は、VMware が提供する情報を参照してください。

【7】Node.js および io.js にサービス運用妨害 (DoS) の脆弱性

情報源

US-CERT Current Activity
Security Updates for Node.js and io.js
https://www.us-cert.gov/ncas/current-activity/2015/07/06/Security-Updates-Nodejs-and-iojs

概要

Node.js および io.js の UTF-8 のデコーダの処理には脆弱性があります。結
果として、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行う可能性があり
ます。

対象となる製品およびバージョンは以下の通りです。

- node.js-v0.12.6 より前のバージョン
- io.js-v2.3.3 より前のバージョン
- io.js-v1.8.3 より前のバージョン

この問題は、開発者が提供する修正済みのバージョンに該当する製品を更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

【8】LINE@ に意図しないアプリ内関数が呼び出される脆弱性

情報源

Japan Vulnerability Notes JVN#22546110
LINE@ における意図しないアプリ内関数が呼び出される脆弱性
https://jvn.jp/jp/JVN22546110/

概要

LINE@ には、脆弱性があります。結果として、遠隔の第三者が中間者攻撃を行
うことによって、情報を取得するなどの可能性があります。

対象となるバージョンは以下の通りです。

- Android 版 LINE@ バージョン 1.0.0
- iOS 版 LINE@ バージョン 1.0.0

この問題は、LINE株式会社が提供する修正済みのバージョンに LINE@ を更新
することで解決します。詳細は、LINE株式会社が提供する情報を参照してくだ
さい。

【9】複数の ANTLabs InnGate 製品に脆弱性

情報源

CERT/CC Vulnerability Note VU#485324
ANTLabs InnGate gateway device contains SQL injection and reflected cross-site scripting vulnerabilities
https://www.kb.cert.org/vuls/id/485324

概要

複数の ANTLabs InnGate 製品には、SQL インジェクションとクロスサイトス
クリプティングの脆弱性があります。結果として、遠隔の第三者が、データベー
スに対して任意のクエリを実行したり、ユーザのブラウザ上で任意のスクリプ
トを実行したりする可能性があります。

対象となる製品は以下の通りです。

- IG3100 model 3100, model 3101
- InnGate 3.00 E-Series, 3.01 E-Series, 3.02 E-Series, 3.10 E-Series
- InnGate 3.01 G-Series, 3.10 G-Series
- SSG 4
- SG 4

この問題は、ANTLabs が提供する修正済みのバージョンに該当する製品のファー
ムウェアを更新することで解決します。詳細は、ANTLabs が提供する情報を参
照してください。

【10】Cacti に複数の脆弱性

情報源

Japan Vulnerability Notes JVN#78187936
Cacti におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN78187936/

Japan Vulnerability Notes JVN#55076671
Cacti におけるクロスサイトリクエストフォージェリの脆弱性
https://jvn.jp/jp/JVN55076671/

Japan Vulnerability Notes JVN#09758120
Cacti におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN09758120/

概要

Cacti には、クロスサイトスクリプティングおよびクロスサイトリクエストフォー
ジェリの脆弱性があります。結果として、遠隔の第三者が、ユーザのブラウザ
上で任意のスクリプトを実行したり、ユーザに意図しない操作をさせたりする
可能性があります。

対象となるバージョンは以下の通りです。

- Cacti 0.8.8c およびそれ以前

この問題は、The Cacti Group が提供する修正済みのバージョンに Cacti を更
新することで解決します。詳細は、The Cacti Group が提供する情報を参照し
てください。

【11】Grandstream GXV3611_HD に SQL インジェクションの脆弱性

情報源

CERT/CC Vulnerability Note VU#253708
Grandsteam GXV3611_HD camera is vulnerable to SQL injection
https://www.kb.cert.org/vuls/id/253708

概要

Grandstream GXV3611_HD には、SQL インジェクションの脆弱性があります。結
果として、遠隔の第三者が任意の SQL コマンドを実行する可能性があります。

対象となるバージョンは以下の通りです。

- Grandstream GXV3611_HD ファームウェアバージョン 1.0.3.6 およびそれ以前

この問題は、Grandstream が提供する修正済みのバージョンに Grandstream
GXV3611_HD のファームウェアを更新することで解決します。詳細は、Grandstream
が提供する情報を参照してください。

■今週のひとくちメモ

○PHP 5.5 系最後のリリース

2015年7月10日、PHP 5.5 系最後のリリースとなる 5.5.27 が公開されました。
これ以降、5.5 系は約 1 年間、セキュリティ対応のみのサポートを行う体制と
なり、5.6 系への移行が推奨されています。

この機会に、お使いの PHP のバージョンや運用体制の確認を行うことをおすす
めします。

参考文献 (日本語)

The PHP Group
PHP 5.5.x から PHP 5.6.x への移行
https://secure.php.net/manual/ja/migration56.php

参考文献 (英語)

The PHP Group
PHP 5.5.27 released
https://secure.php.net/archive/2015.php#id2015-07-10-2

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2015-07-15号

<<< JPCERT/CC WEEKLY REPORT 2015-07-15 >>>

■07/05(日)〜07/11(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

○PHP 5.5 系最後のリリース

参考文献 (日本語)

参考文献 (英語)

■JPCERT/CC からのお願い

目　次