CERT/CC Vulnerability Note VU#905344
HTTP CONNECT and 407 Proxy Authentication Required messages are not integrity protected
https://www.kb.cert.org/vuls/id/905344

概要

プロキシサーバを使った通信を行うアプリケーションには、中間者攻撃 (MITM)
が可能な脆弱性があります。結果として、遠隔の第三者が、認証情報を取得し
たり、任意のスクリプトを実行したりする可能性があります。

対象となる製品は広範囲に及びます。詳細は、CERT/CC が提供する VU#905344
の Vendor Information および JVN が提供する JVNVU#90754453 のベンダ情
報を参照してください。

この問題は、該当する製品を、各開発者が提供する修正済みのバージョンに更
新することで解決します。詳細は、各開発者が提供する情報を参照してくださ
い。

【2】PHP に複数の脆弱性

情報源

PHP Group
PHP 7.0.10 Released
https://secure.php.net/archive/2016.php#id2016-08-18-1

PHP Group
PHP 5.6.25 is released
https://secure.php.net/archive/2016.php#id2016-08-18-2

概要

PHP には、複数の脆弱性があります。結果として、遠隔の第三者が、任意のコー
ドを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可能性
があります。

対象となるバージョンは以下の通りです。

- PHP 7.0.10 より前のバージョン
- PHP 5.6.25 より前のバージョン

この問題は、PHP を、開発者や配布元が提供する修正済みのバージョンに更新
することで解決します。詳細は、開発者や配布元が提供する情報を参照してく
ださい。

【3】複数の Cisco 製品に脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2016/08/20/Cisco-Releases-Security-Updates

概要

複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするな
どの可能性があります。

対象となる製品およびバージョンは以下の通りです。

- Cisco Firepower Management Center 5.4.0、5.3.1、5.3.0.4、5.3.0.2、5.3.0、5.2.0、4.10.3.9 および 4.10.3
- Cisco ASA 5500-X Series with FirePOWER Services 5.4.0、5.3.1、5.3.0.4、5.3.0、5.2.0、4.10.3.9 および 4.10.3
- Cisco APIC-EM software release 1.0 および 1.1
- Cisco ASA 5500 Series Adaptive Security Appliances
- Cisco ASA 5500-X Series Next-Generation Firewalls
- Cisco ASA Services Module for Cisco Catalyst 6500 Series Switches
- Cisco 7600 Series Routers
- Cisco ASA 1000V Cloud Firewall
- Cisco Adaptive Security Virtual Appliance (ASAv)
- Cisco Firepower 4100 Series
- Cisco Firepower 9300 ASA Security Module
- Cisco Firepower Threat Defense Software
- Cisco Firewall Services Module (FWSM)
- Cisco Industrial Security Appliance 3000
- Cisco PIX Firewalls
- Cisco Aironet 1800 Series Access Point
- Cisco Aironet 2800 Series Access Point
- Cisco Aironet 3800 Series Access Point
- Cisco IP Phone 8800 Series version 11.0(1)
- Cisco Identity Services Engine software release 1.3(0.876)
- Transport Gateway Installation Software version 4.1(4.0) が稼働している Cisco Smart Call Home Transport Gateway
- Cisco Unified Communications Manager version 11.5
- Cisco WebEx Meetings Server version 2.6

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。Cisco Firewall Services Module (FWSM) および
Cisco PIX Firewalls は、2016年8月24日現在、サポートを終了しており、対策
済みのバージョンは公開されていません。詳細は、Cisco が提供する情報を参
照してください。

【4】サイボウズメールワイズに複数の脆弱性

情報源

Japan Vulnerability Notes JVN#03052683
サイボウズメールワイズにおける情報漏えいの脆弱性
https://jvn.jp/jp/JVN03052683/

Japan Vulnerability Notes JVN#04125292
サイボウズメールワイズの一斉配信機能におけるクリックジャッキングの脆弱性
https://jvn.jp/jp/JVN04125292/

Japan Vulnerability Notes JVN#02576342
サイボウズメールワイズにおける情報漏えいの脆弱性
https://jvn.jp/jp/JVN02576342/

Japan Vulnerability Notes JVN#01353821
サイボウズメールワイズにおけるメールヘッダインジェクションの脆弱性
https://jvn.jp/jp/JVN01353821/

概要

サイボウズ メールワイズには、複数の脆弱性があります。結果として、遠隔
の第三者が、ユーザの意図しない操作を行ったり、セッション情報を取得した
りするなどの可能性があります。

対象となるバージョンは以下の通りです。

- サイボウズ メールワイズ 5.0.0 から 5.3.2 まで

この問題は、サイボウズ メールワイズを、サイボウズ株式会社が提供する修
正済みのバージョンに更新することで解決します。詳細は、サイボウズ株式会
社が提供する情報を参照してください。

【5】PhishWall クライアント Internet Explorer版のインストーラにおける DLL 読み込みに関する脆弱性

情報源

Japan Vulnerability Notes JVN#45583702
PhishWall クライアント Internet Explorer版のインストーラにおける DLL 読み込みに関する脆弱性
https://jvn.jp/jp/JVN45583702/

概要

PhishWall クライアント Internet Explorer版のインストーラには、DLL 読み
込みに関する脆弱性があります。結果として、遠隔の第三者が任意のコードを
実行する可能性があります。

対象となるバージョンは以下の通りです。

- PhishWall クライアント Internet Explorer版 Ver. 3.7.8.1 およびそれ以前のインストーラ

この問題は、株式会社セキュアブレインが提供する最新のインストーラを使用
することで解決します。なお、既にインストールされた PhishWall クライアン
ト Internet Explorer版は、この問題の影響を受けません。詳細は、株式会社
セキュアブレインが提供する情報を参照してください。

【6】Geeklog IVYWE版にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#09836883
Geeklog IVYWE版におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN09836883/

概要

Geeklog IVYWE版には、クロスサイトスクリプティングの脆弱性があります。
結果として、遠隔の第三者がユーザのブラウザ上で任意のスクリプトを実行す
る可能性があります。

対象となるバージョンは以下の通りです。

- Geeklog IVYWE版 2.1.1

この問題は、Geeklog IVYWE版を、株式会社アイビー・ウィーが提供する修正
済みのバージョンに更新することで解決します。詳細は、株式会社アイビー・
ウィーが提供する情報を参照してください。

【7】OSSEC Web UI にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#58455472
OSSEC Web UI におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN58455472/

概要

OSSEC Web UI には、クロスサイトスクリプティングの脆弱性があります。結
果として、遠隔の第三者がユーザのブラウザ上で任意のスクリプトを実行する
可能性があります。

対象となるバージョンは以下の通りです。

- OSSEC Web UI 0.9 より前のバージョン

この問題は、OSSEC Web UI を、開発者が提供する修正済みのバージョンに更
新することで解決します。なお、2016年8月24日現在、OSSEC Web UI の開発は
終了しています。詳細は、開発者が提供する情報を参照してください。

【8】ClipBucket にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#28386124
ClipBucket におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN28386124/

概要

ClipBucket には、クロスサイトスクリプティングの脆弱性があります。結果
として、遠隔の第三者がユーザのブラウザ上で任意のスクリプトを実行する可
能性があります。

対象となるバージョンは以下の通りです。

- ClipBucket v2.8.1 RC2 より前のバージョン

この問題は、ClipBucket を、開発者が提供する修正済みのバージョンに更新
することで解決します。詳細は、開発者が提供する情報を参照してください。

【9】「SGR2016 - Security Groups Roundtable, 2016.9.23」開催のお知らせ

情報源

Web Application Security Forum
今こそ行動しよう Suguru Yamaguchi memorial conference, 2016.9.23
http://wasforum.jp/sgr2016/

概要

本カンファレンスは、サイバーセキュリティに関するステークホルダが一堂に
会し、それぞれの産業セクタやリージョンにおける取り組みの活動報告を交え
つつ、日本が世界のサイバーセキュリティ向上に対してなしうる貢献、および
世界のサイバーセキュリティ目標と、世界各地における現状とのギャップ分析
などについて議論します。また、行動計画やアジア・アフリカ圏との連携など
についても展望するカンファレンスとなることを目指しています。
本カンファレンスは、当分野における先駆的存在である故 山口英 教授のメモ
リアル・チャリティカンファレンスでもあり、本カンファレンスの収益金はす
べて、「山口英先生とともにMSA研究を支援する会」への寄付に充てられます。

■今週のひとくちメモ

○総務省が「Wi-Fi提供者向けセキュリティ対策の手引き(平成28年8月版)」公開

2016年8月17日、総務省は、「Wi-Fi提供者向け セキュリティ対策の手引き(平
成28年8月版)」を公開しました。この手引きは、Wi-Fi によるインターネット
接続サービスを提供している、または提供を検討している店舗、施設、自治体
などを対象としたもので、利用者の安全を確保するためのセキュリティ対策や、
悪用された際の対応方法などがまとめられています。

参考文献 (日本語)

総務省
Wi-Fi（無線LAN）の安全な利用について
http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/wi-fi.html

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2016-08-24号

<<< JPCERT/CC WEEKLY REPORT 2016-08-24 >>>

■08/14(日)〜08/20(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

○総務省が「Wi-Fi提供者向け セキュリティ対策の手引き(平成28年8月版)」公開

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次

○総務省が「Wi-Fi提供者向けセキュリティ対策の手引き(平成28年8月版)」公開