JPCERT-WR-2016-3501

JPCERT/CC

2016-09-07

<<< JPCERT/CC WEEKLY REPORT 2016-09-07 >>>

■08/28(日)〜09/03(土) のセキュリティ関連情報

目　次

【1】複数の Cisco 製品に脆弱性

【2】Adobe ColdFusion に情報漏えいの脆弱性

【3】OS X および Safari に脆弱性

【4】APCERT Annual General Meeting & Conference 2016 一般聴講参加者募集開始

【今週のひとくちメモ】銀行をかたるフィッシングサイトに注意

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2016/wr163501.txt
https://www.jpcert.or.jp/wr/2016/wr163501.xml

【1】複数の Cisco 製品に脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2016/08/31/Cisco-Releases-Security-Updates

概要

複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったり、ユー
ザのブラウザ上で任意のスクリプトを実行したりするなどの可能性があります。

対象となる製品およびバージョンは以下の通りです。

- Cisco Wireless LAN Controller 8.0.140.0 より前のバージョン
- Cisco Wireless LAN Controller 8.2.121.0 より前のバージョン
- Cisco Wireless LAN Controller 8.3.102.0 より前のバージョン
- Cisco WebEx Meetings Player T29.10 for WRF files
- Media Origination System Suite Software 2.6 およびそれ以前が稼働している Cisco Virtual Media Packager (VMP)
- Cisco Small Business 220 Series Smart Plus (Sx220) Switch ファームウェアバージョン 1.0.0.17
- Cisco Small Business 220 Series Smart Plus (Sx220) Switch ファームウェアバージョン 1.0.0.18
- Cisco Small Business 220 Series Smart Plus (Sx220) Switch ファームウェアバージョン 1.0.0.19
- Cisco Small Business SPA300 Series IP Phone ファームウェアバージョン 7.5.7(6) およびそれ以前
- Cisco Small Business SPA500 Series IP Phone ファームウェアバージョン 7.5.7(6) およびそれ以前
- Cisco Small Business SPA51x IP Phone ファームウェアバージョン 7.5.7(6) およびそれ以前
- Cisco Hosted Collaboration Mediation Fulfillment (HCM-F) 10.6(3) およびそれ以前

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

関連文書 (英語)

Cisco Security Advisory
Cisco Wireless LAN Controller wIPS Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160831-wlc-2

Cisco Security Advisory
Cisco Wireless LAN Controller TSM SNMP Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160831-wlc-1

Cisco Security Advisory
Cisco WebEx Meetings Player Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160831-webex

Cisco Security Advisory
Cisco Virtual Media Packager PAM API Unauthorized Access Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160831-vmp

Cisco Security Advisory
Cisco Small Business 220 Series Smart Plus Switches SNMP Unauthorized Access Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160831-sps3

Cisco Security Advisory
Cisco Small Business 220 Series Smart Plus Switches Web Interface Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160831-sps2

Cisco Security Advisory
Cisco Small Business 220 Series Smart Plus Switches Web Interface Cross-Site Scripting Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160831-sps1

Cisco Security Advisory
Cisco Small Business 220 Series Smart Plus Switches Web Interface Cross-Site Request Forgery Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160831-sps

Cisco Security Advisory
Cisco Small Business SPA3x/5x Series Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160831-spa

Cisco Security Advisory
Cisco WebEx Meetings Player Arbitrary Code Execution Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160831-meetings-player

Cisco Security Advisory
Cisco Hosted Collaboration Mediation Fulfillment Directory Traversal File System Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160831-hcmf

Cisco Security Advisory
Cisco Hosted Collaboration Mediation Fulfillment Authenticated Directory Traversal Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160831-hcm

【2】Adobe ColdFusion に情報漏えいの脆弱性

情報源

US-CERT Current Activity
Adobe Releases Security Updates for ColdFusion
https://www.us-cert.gov/ncas/current-activity/2016/08/30/Adobe-Releases-Security-Updates-ColdFusion

概要

Adobe ColdFusion には、XML の処理に脆弱性があります。結果として、遠隔
の第三者が、細工した XML ファイルを開かせることで、情報を取得する可能
性があります。

対象となるバージョンは以下の通りです。

- ColdFusion 11 Update 9 およびそれ以前
- ColdFusion 10 Update 20 およびそれ以前

この問題は、ColdFusion を Adobe が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Adobe が提供する情報を参照してください。

【3】OS X および Safari に脆弱性

情報源

US-CERT Current Activity
Apple Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2016/09/01/Apple-Releases-Security-Updates

概要

OS X および Safari には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、情報を取得したりするなどの可能性があります。

対象となる製品およびバージョンは以下の通りです。

- OS X Yosemite v10.10.5 およびそれ以前
- OS X El Capitan v10.11.6 およびそれ以前
- Safari 9.1.3 より前のバージョン

この問題は、該当する製品を Apple が提供する修正済みのバージョンに更新
することで解決します。詳細は、Apple が提供する情報を参照してください。

【4】APCERT Annual General Meeting & Conference 2016 一般聴講参加者募集開始

情報源

APCERT Annual General Meeting & Conference 2016
REGISTRATION
https://www.apcert.org/apcert2016/registration.html

概要

JPCERT/CC が主催し、2016年10月に開催されるアジア太平洋コンピュータ緊急
対応チーム (APCERT) のカンファレンス「APCERT Annual General Meeting &
Conference 2016」で、10月27日に行われる一般公開講演 (Open Conference)
の聴講参加者を募集しています。国際会議のため、同時通訳なしで全編英語の
講演となりますが、興味のある方はふるってご参加ください。

  講演日時: 2016年10月27日 (木) 9時30分〜17時 (予定)
  会場: 東京都中央区日本橋蠣殻町 2-1-1 ロイヤルパークホテル 2F
  参加費: 無料
  応募期限: 2016年9月30日 (金) ※ただし、満席になり次第受付終了

■今週のひとくちメモ

○銀行をかたるフィッシングサイトに注意

2016年8月29日および 30日、フィッシング対策協議会は、りそな銀行、三井住
友銀行およびゆうちょ銀行をかたるフィッシングサイトに関する緊急情報を公
開しました。いずれもメール本文に含まれる URL から悪意のあるサイトにア
クセスさせようとするものです。2016年9月6日現在、これらのフィッシングサ
イトはいずれも閉鎖が確認されていますが、今後も類似のサイトが作成される
可能性があります。このようなサイトにアカウント情報を入力するなどしない
ようご注意ください。
また、フィッシング対策協議会から、フィッシングによる被害を受ける可能性
のあるサービス事業者および一般消費者向けのガイドラインが公開されていま
すので、ご参考ください。

参考文献 (日本語)

フィッシング対策協議会
りそな銀行をかたるフィッシング (2016/08/29)
https://www.antiphishing.jp/news/alert/resonabank_20160829.html

フィッシング対策協議会
三井住友銀行をかたるフィッシング (2016/08/29)
https://www.antiphishing.jp/news/alert/smbc_20160829.html

フィッシング対策協議会
ゆうちょ銀行をかたるフィッシング (2016/08/30)
https://www.antiphishing.jp/news/alert/japanpost_20160830.html

フィッシング対策協議会
フィッシング対策ガイドライン 2016年度版
https://www.antiphishing.jp/report/pdf/antiphishing_guide.pdf

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2016-09-07号

<<< JPCERT/CC WEEKLY REPORT 2016-09-07 >>>

■08/28(日)〜09/03(土) のセキュリティ関連情報

目　次

【1】複数の Cisco 製品に脆弱性

【2】Adobe ColdFusion に情報漏えいの脆弱性

【3】OS X および Safari に脆弱性

【4】APCERT Annual General Meeting & Conference 2016 一般聴講参加者募集開始

【今週のひとくちメモ】銀行をかたるフィッシングサイトに注意

【1】複数の Cisco 製品に脆弱性

情報源

概要

関連文書 (英語)

【2】Adobe ColdFusion に情報漏えいの脆弱性

情報源

概要

関連文書 (英語)

【3】OS X および Safari に脆弱性

情報源

概要

関連文書 (日本語)

関連文書 (英語)

【4】APCERT Annual General Meeting & Conference 2016 一般聴講参加者募集開始

情報源

概要

関連文書 (英語)

■今週のひとくちメモ

○銀行をかたるフィッシングサイトに注意

参考文献 (日本語)

■JPCERT/CC からのお願い

Weekly Report 2016-09-07号

<<< JPCERT/CC WEEKLY REPORT 2016-09-07 >>>

■08/28(日)〜09/03(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

○銀行をかたるフィッシングサイトに注意

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次