<<< JPCERT/CC WEEKLY REPORT 2016-04-27 >>>

■04/17(日)〜04/23(土) のセキュリティ関連情報

目　次

【1】2016年4月 Oracle Critical Patch Update について

【2】複数の Cisco 製品にサービス運用妨害 (DoS) の脆弱性

【3】Symantec Messaging Gateway に複数の脆弱性

【4】HP Data Protector に任意のコードが実行可能な脆弱性

【5】Electron に Node モジュール読み込みに関する問題

【6】スマートフォンアプリ「Photopt」に SSL サーバ証明書の検証不備の脆弱性

【今週のひとくちメモ】デジタル・フォレンジック研究会が「証拠保全ガイドライン第５版」公開

【1】2016年4月 Oracle Critical Patch Update について

情報源

US-CERT Current Activity
Oracle Releases Security Bulletin
https://www.us-cert.gov/ncas/current-activity/2016/04/19/Oracle-Releases-Security-Bulletin

概要

Oracle から Oracle Java SE を含む複数の製品およびコンポーネントの脆弱
性に対応した Oracle Critical Patch Update Advisory が公開されました。

詳細は、Oracle が提供する情報を参照してください。

関連文書 (日本語)

Oracle
Oracle Critical Patch Update Advisory - April 2016
http://www.oracle.com/technetwork/jp/topics/ojkbcpuapr2016-2995215-ja.html

JPCERT/CC Alert 2016-04-20
2016年4月 Oracle Java SE のクリティカルパッチアップデートに関する注意喚起
https://www.jpcert.or.jp/at/2016/at160018.html

【2】複数の Cisco 製品にサービス運用妨害 (DoS) の脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2016/04/20/Cisco-Releases-Security-Updates

概要

複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、
サービス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となる製品およびバージョンは以下の通りです。

- Cisco AireOS 4.1 から 7.4.120.0 まで
- Cisco AireOS 7.5 系のバージョン
- Cisco AireOS 7.6.100.0
- Cisco ASA 5500-X シリーズ次世代ファイアウォール
- Cisco Catalyst 6500 シリーズ / 7600 シリーズ向け ASA サービス モジュール
- Cisco 適応型セキュリティ仮想アプライアンス (ASAv)
- Cisco WLC 7.2 系のバージョン
- Cisco WLC 7.3 系のバージョン
- Cisco WLC 7.4.140.0(MD) より前の 7.4 系のバージョン
- Cisco WLC 7.5 系のバージョン
- Cisco WLC 7.6 系のバージョン
- Cisco WLC 8.0.115.0(ED) より前の 8.0 系のバージョン
- Cisco WebEx Meetings Server 1.x 系のバージョン
- Cisco WebEx Meetings Server 2.x 系のバージョン
- Cisco Jabber
- Cisco Adaptive Security Appliance (ASA) ソフトウェア
- Cisco IOS XE ソフトウェア
- Cisco IP Phone 88x1 シリーズ
- Cisco DX シリーズ IP Phone
- Cisco IP Phone 88x5 シリーズ
- Cisco Unified 7800 シリーズ IP Phone
- Cisco Unified 8831 シリーズ IP Conference Phone
- Cisco Unified 8961 IP Phone
- Cisco Unified 9951 IP Phone
- Cisco Unified 9971 IP Phone
- Cisco Unified Communications Manager (UCM)
- Cisco Unified Communications Manager Session Management Edition (SME)
- Cisco Unified IP Phone 7900 シリーズ
- Cisco Unified IP Phone 8941 および 8945 (SIP)
- Cisco Unified Wireless IP Phone
- Cisco Unity Connection (UC)

この問題は、Cisco が提供する修正済みのバージョンに、該当する製品を更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

関連文書 (英語)

Cisco Security Advisory
Cisco Wireless LAN Controller Management Interface Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160420-wlc

Cisco Security Advisory
Cisco Adaptive Security Appliance Software DHCPv6 Relay Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160420-asa-dhcpv6

Cisco Security Advisory
Cisco Wireless LAN Controller Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160420-bdos

Cisco Security Advisory
Cisco Wireless LAN Controller HTTP Parsing Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160420-htrd

Cisco Security Advisory
Multiple Cisco Products libSRTP Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160420-libsrtp

【3】Symantec Messaging Gateway に複数の脆弱性

情報源

US-CERT Current Activity
Symantec Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2016/04/19/Symantec-Releases-Security-Updates

概要

Symantec Messaging Gateway には、複数の脆弱性があります。結果として、
遠隔の第三者が、任意のコードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- Symantec Messaging Gateway 10.6.0-7 およびそれ以前

この問題は、Symantec が提供する修正済みのバージョンに、Symantec
Messaging Gateway を更新することで解決します。詳細は、Symantec が提供
する情報を参照してください。

関連文書 (英語)

Symantec
Security Advisories Relating to Symantec Products - Symantec Messaging Gateway Multiple Security Issues
https://www.symantec.com/security_response/securityupdates/detail.jsp?fid=security_advisory&pvid=security_advisory&year=&suid=20160418_00

【4】HP Data Protector に任意のコードが実行可能な脆弱性

情報源

CERT/CC Vulnerability Note VU#267328
HP Data Protector does not perform authentication and contains an embedded SSL private key
https://www.kb.cert.org/vuls/id/267328

概要

HP Data Protector には、複数の脆弱性があります。結果として、遠隔の第三
者が、任意のコードを実行したり、中間者攻撃を行ったりするなどの可能性が
あります。

対象となるバージョンは以下の通りです。他のバージョンでもこの問題の影響
を受ける可能性があります。

- HP Data Protector 7.03_108 より前の 7 系のバージョン
- HP Data Protector 8.15 より前の 8 系のバージョン
- HP Data Protector 9.06 より前の 9 系のバージョン

この問題は、HP が提供する修正済みのバージョンに、HP Data Protector を
更新することで解決します。詳細は、HP が提供する情報を参照してください。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#97620397
HP Data Protector に複数の脆弱性
https://jvn.jp/vu/JVNVU97620397/

関連文書 (英語)

HP
HPSBGN03580 rev.1 - HP Data Protector, Remote Code Execution, Remote Unauthorized Disclosure of Information
https://h20564.www2.hpe.com/hpsc/doc/public/display?docId=emr_na-c05085988

【5】Electron に Node モジュール読み込みに関する問題

情報源

Japan Vulnerability Notes JVN#00324715
Electron における Node モジュール読み込みに関する問題
https://jvn.jp/jp/JVN00324715/

概要

Electron には、Node モジュール読み込みに関する問題があります。結果とし
て、遠隔の第三者が、細工された Node モジュールを読み込ませることで、ア
プリケーションが持つ権限で任意の JavaScript を実行する可能性があります。

対象となるバージョンは以下の通りです。

- Electron 0.33.5 より前のバージョン

この問題は、開発者が提供する修正済みのバージョンに、Electron を更新し、
アプリケーションをリビルドすることで解決します。詳細は、開発者が提供す
る情報を参照してください。

関連文書 (英語)

Electron
Prevent Node from adding paths outside the app to search paths #2976
https://github.com/electron/electron/pull/2976

【6】スマートフォンアプリ「Photopt」に SSL サーバ証明書の検証不備の脆弱性

情報源

Japan Vulnerability Notes JVN#11815655
スマートフォンアプリ「Photopt」における SSL サーバ証明書の検証不備の脆弱性
https://jvn.jp/jp/JVN11815655/

概要

スマートフォンアプリ「Photopt」には、SSL サーバ証明書の検証不備の脆弱
性があります。結果として、遠隔の第三者が、中間者攻撃を行うことで、暗号
通信を盗聴する可能性があります。

対象となるバージョンは以下の通りです。

- Android アプリ「Photopt」 1.0.0 および 1.1.0

この問題は、エヌ・ティ・ティ・コミュニケーションズ株式会社が提供する修
正済みのバージョンに、Photopt を更新することで解決します。詳細は、エヌ・
ティ・ティ・コミュニケーションズ株式会社が提供する情報を参照してくださ
い。

関連文書 (日本語)

エヌ・ティ・ティ・コミュニケーションズ株式会社
Androidアプリをご利用のお客様へアップデートのお願い
https://mypocket.ntt.com/photopt/info/info_001.html

■今週のひとくちメモ

○デジタル・フォレンジック研究会が「証拠保全ガイドライン第５版」公開

2016年4月21日、デジタル・フォレンジック研究会は、「証拠保全ガイドライン
第５版」を公開しました。このガイドラインは、インシデント発生時に最初に
電磁的記録を保全する実務者向けに書かれたもので、事前準備やインシデント
発生直後の対応、対象物の収集・取得・保全など、証拠保全のための手順を解
説しています。

参考文献 (日本語)

デジタル・フォレンジック研究会
「証拠保全ガイドライン第５版」公開のお知らせ
https://digitalforensic.jp/2016/04/21/df-guidline-5th/

■JPCERT/CC からのお願い