JPCERT-WR-2015-2801

JPCERT/CC

2015-07-23

<<< JPCERT/CC WEEKLY REPORT 2015-07-23 >>>

■07/12(日)〜07/18(土) のセキュリティ関連情報

目　次

【1】複数の Microsoft 製品に脆弱性

【2】複数の Adobe 製品に脆弱性

【3】2015年7月 Oracle Critical Patch Update について

【4】Kaseya VSA に複数の脆弱性

【5】acmailer にディレクトリトラバーサルの脆弱性

【6】Thetis に SQL インジェクションの脆弱性

【今週のひとくちメモ】Windows Server 2003 サポート終了

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2015/wr152801.txt
https://www.jpcert.or.jp/wr/2015/wr152801.xml

【1】複数の Microsoft 製品に脆弱性

情報源

US-CERT Current Activity
Microsoft Releases July 2015 Security Bulletin
https://www.us-cert.gov/ncas/current-activity/2015/07/14/Microsoft-Releases-July-2015-Security-Bulletin

概要

複数の Microsoft 製品には脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行するなどの可能性があります。

対象となる製品は以下の通りです。

- Microsoft Windows
- Microsoft SQL Server
- Internet Explorer
- Microsoft Office

この問題は、Microsoft Update 等を用いて、更新プログラムを適用すること
で解決します。詳細は、Microsoft が提供する情報を参照してください。

なお、2015年7月21日、Microsoft は定例外のセキュリティ情報となる MS15-078
を公開しています。

【2】複数の Adobe 製品に脆弱性

情報源

US-CERT Current Activity
Updates Available for Flash AS3 opaqueBackground and BitmapData Use-After-Free Vulnerabilities
https://www.us-cert.gov/ncas/current-activity/2015/07/11/Adobe-Flash-ActionScript-3-opaqueBackground-Use-After-Free

US-CERT Current Activity
Adobe Releases Security Update for Shockwave Player
https://www.us-cert.gov/ncas/current-activity/2015/07/14/Adobe-Releases-Security-Update-Shockwave-Player

概要

複数の Adobe 製品には、脆弱性があります。結果として、遠隔の第三者が、
ユーザに細工したコンテンツを開かせることで、任意のコードを実行するなど
の可能性があります。

対象となる製品およびバージョンは以下の通りです。

- Adobe Acrobat Reader DC Continuous (2015.007.20033) およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Acrobat Reader DC Classic (2015.006.30033) およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Reader XI (11.0.11) およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Reader X (10.1.14) およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Acrobat DC Continuous(2015.007.20033) およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Acrobat DC Classic(2015.006.30033) およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Acrobat XI (11.0.11) およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Acrobat X (10.1.14) およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Shockwave Player 12.1.8.158 およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Flash Player デスクトップランタイム 18.0.0.203 およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Flash Player 継続サポートリリース 13.0.0.302 およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Flash Player 18.0.0.203 およびそれ以前 (Windows 8.0 版、Windows 8.1 版)
- Adobe Flash Player 11.2.202.481 およびそれ以前 (Linux 版)

この問題は、Adobe が提供する修正済みのバージョンに該当する製品を更新
することで解決します。詳細は、Adobe が提供する情報を参照してください。

【3】2015年7月 Oracle Critical Patch Update について

情報源

US-CERT Current Activity
Oracle Releases July 2015 Security Advisory
https://www.us-cert.gov/ncas/current-activity/2015/07/14/Oracle-Releases-July-2015-Security-Advisory

概要

Oracle から複数の製品およびコンポーネントに含まれる脆弱性に対応した
Oracle Critical Patch Update が公開されました。詳細は、Oracle が提供す
る情報を参照してください。

【4】Kaseya VSA に複数の脆弱性

情報源

CERT/CC Vulnerability Note VU#919604
Kaseya Virtual System Administrator contains multiple vulnerabilities
https://www.kb.cert.org/vuls/id/919604

概要

Kaseya VSA には、ディレクトリトラバーサルおよびオープンリダイレクトの
脆弱性があります。結果として、製品にログインしているユーザが任意のファ
イルをダウンロードしたり、遠隔の第三者がユーザを意図しないサイトに誘導
したりする可能性があります。

対象となるバージョンは以下の通りです。

- Kaseya VSA R9 およびそれ以前

この問題は、Kaseya が提供するパッチを Kaseya VSA に適用することで解決し
ます。詳細は、Kaseya が提供する情報を参照してください。

【5】acmailer にディレクトリトラバーサルの脆弱性

情報源

Japan Vulnerability Notes JVN#64051989
acmailer におけるディレクトリトラバーサルの脆弱性
https://jvn.jp/jp/JVN64051989/

概要

acmailer には、ディレクトリトラバーサルの脆弱性があります。結果として、
製品にログイン可能なユーザが、任意のファイルを削除する可能性があります。

対象となるバージョンは以下の通りです。

- acmailer 3.8.18 正式版より前のバージョン
- acmailer 3.9.12β 開発版より前のバージョン

この問題は、株式会社シーズが提供する修正済みのバージョンに acmailer を
更新することで解決します。詳細は、株式会社シーズが提供する情報を参照し
てください。

【6】Thetis に SQL インジェクションの脆弱性

情報源

Japan Vulnerability Notes JVN#19011483
Thetis における SQL インジェクションの脆弱性
https://jvn.jp/jp/JVN19011483/

概要

Thetis には、SQL インジェクションの脆弱性があります。結果として、遠隔の
第三者が、データベースに対して任意のクエリを実行する可能性があります。

対象となるバージョンは以下の通りです。

- Thetis ver.2.2.0 およびそれ以前

この問題は、シスフォニック株式会社が提供する修正済みのバージョンに Thetis
を更新することで解決します。詳細は、シスフォニック株式会社が提供する情
報を参照してください。

■今週のひとくちメモ

○Windows Server 2003 サポート終了

2015年7月15日をもって、Windows Server 2003 はサポートを終了しました。

サポート終了後は、セキュリティ上の脅威が高まります。例えば、今週紹介し
た、MS15-078 に対するセキュリティ更新プログラムは、Windows Server 2003
向けには提供されていません。Windows Server 2003 を利用している場合、サ
ポートが行われているバージョンへの移行をお勧めします。

参考文献 (日本語)

Microsoft
Windows Server 2003 のサポート終了
https://www.microsoft.com/ja-jp/server-cloud/products/windows-server-2003/

独立行政法人情報処理推進機構 (IPA)
Windows Server 2003のサポート終了に伴う注意喚起
https://www.ipa.go.jp/security/announce/win2003_eos.html

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2015-07-23号

<<< JPCERT/CC WEEKLY REPORT 2015-07-23 >>>

■07/12(日)〜07/18(土) のセキュリティ関連情報

目　次

【1】複数の Microsoft 製品に脆弱性

【2】複数の Adobe 製品に脆弱性

【3】2015年7月 Oracle Critical Patch Update について

【4】Kaseya VSA に複数の脆弱性

【5】acmailer にディレクトリトラバーサルの脆弱性

【6】Thetis に SQL インジェクションの脆弱性

【今週のひとくちメモ】Windows Server 2003 サポート終了

【1】複数の Microsoft 製品に脆弱性

情報源

概要

関連文書 (日本語)

【2】複数の Adobe 製品に脆弱性

情報源

概要

関連文書 (日本語)

【3】2015年7月 Oracle Critical Patch Update について

情報源

概要

関連文書 (日本語)

【4】Kaseya VSA に複数の脆弱性

情報源

概要

関連文書 (日本語)

関連文書 (英語)

【5】acmailer にディレクトリトラバーサルの脆弱性

情報源

概要

関連文書 (日本語)

【6】Thetis に SQL インジェクションの脆弱性

情報源

概要

関連文書 (日本語)

■今週のひとくちメモ

○Windows Server 2003 サポート終了

参考文献 (日本語)

■JPCERT/CC からのお願い

Weekly Report 2015-07-23号

<<< JPCERT/CC WEEKLY REPORT 2015-07-23 >>>

■07/12(日)〜07/18(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

○Windows Server 2003 サポート終了

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次