OpenSSL には、複数の脆弱性があります。結果として、遠隔の第三者が、任意
のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性
があります。

対象となるバージョンは以下の通りです。

- OpenSSL 1.1.0a
- OpenSSL 1.0.2i

この問題は、OpenSSL を、使用している OS のベンダや配布元が提供する修正
済みのバージョンに更新することで解決します。詳細は、開発者が提供する情
報を参照してください。

【2】ISC BIND 9 にサービス運用妨害 (DoS) の脆弱性

情報源

US-CERT Current Activity
ISC Releases Security Updates for BIND
https://www.us-cert.gov/ncas/current-activity/2016/09/27/ISC-Releases-Security-Updates-BIND

概要

ISC BIND 9 には、脆弱性があります。結果として、遠隔の第三者が、サービ
ス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは以下の通りです。

- BIND 9.0.0 から 9.8 系まで
- BIND 9.9.0 から 9.9.9-P2 まで
- BIND 9.9.3-S1 から 9.9.9-S3 まで
- BIND 9.10.0 から 9.10.4-P2 まで
- BIND 9.11.0a1 から 9.11.0rc1 まで

この問題は、ISC BIND を、ISC が提供する修正済みのバージョンに更新する
ことで解決します。詳細は、ISC が提供する情報を参照してください。

【3】複数の Cisco 製品に脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2016/09/28/Cisco-Releases-Security-Updates

概要

複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意の SQL 文を実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするな
どの可能性があります。

対象となる製品およびバージョンは以下の通りです。

- Cisco Email Security Appliance (ESA) 9.1.2-023
- Cisco Email Security Appliance (ESA) 9.1.2-028
- Cisco Email Security Appliance (ESA) 9.1.2-036
- Cisco Email Security Appliance (ESA) 9.7.2-046
- Cisco Email Security Appliance (ESA) 9.7.2-047
- Cisco Email Security Appliance (ESA) 9.7-2-054
- Cisco Email Security Appliance (ESA) 10.0.0-124
- Cisco Email Security Appliance (ESA) 10.0.0-125
- Cisco IOS Software
- Cisco IOS XE Software
- Cisco Firepower Management Center

この問題は、該当する製品を、Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

【4】ManageEngine ServiceDesk Plus に複数の脆弱性

情報源

Japan Vulnerability Notes JVN#50347324
ManageEngine ServiceDesk Plus におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN50347324/

Japan Vulnerability Notes JVN#89726415
ManageEngine ServiceDesk Plus におけるアクセス制限不備の脆弱性
https://jvn.jp/jp/JVN89726415/

Japan Vulnerability Notes JVN#72559412
ManageEngine ServiceDesk Plus における Cookie の生成処理に関する脆弱性
https://jvn.jp/jp/JVN72559412/

概要

ManageEngine ServiceDesk Plus には、複数の脆弱性があります。結果として、
遠隔の第三者が、認証情報を取得したり、ユーザのブラウザ上で任意のスクリ
プトを実行したりするなどの可能性があります。

対象となるバージョンは以下の通りです。

- ManageEngine ServiceDesk Plus 9.2 より前のバージョン

この問題は、ManageEngine ServiceDesk Plus を、Zoho Corporation が提供
する修正済みのバージョンに更新することで解決します。詳細は、Zoho
Corporation が提供する情報を参照してください。

【5】FlashAir にアクセス制限不備の脆弱性

情報源

Japan Vulnerability Notes JVN#39619137
FlashAir におけるアクセス制限不備の脆弱性
https://jvn.jp/jp/JVN39619137/

概要

FlashAir には、アクセス制限不備の脆弱性があります。結果として、遠隔の
第三者が、任意の Lua スクリプトを実行したり、ファイルやデータを取得ま
たは改ざんしたりする可能性があります。

対象となる製品およびバージョンは以下の通りです。

- FlashAir SD-WD/WC シリーズ Class 6 モデル ファームウェアバージョン 1.00.04 およびそれ以降
- FlashAir SD-WD/WC シリーズ Class 10 モデル W-02 ファームウェアバージョン 2.00.02 およびそれ以降
- FlashAir SD-WE シリーズ Class 10 モデル W-03

この問題は、株式会社東芝が提供する情報をもとに、認証設定を追加すること
で解決します。詳細は、株式会社東芝が提供する情報を参照してください。

【6】baserCMS に複数の脆弱性

情報源

Japan Vulnerability Notes JVN#92765814
baserCMS における複数の脆弱性
https://jvn.jp/jp/JVN92765814/

概要

baserCMS には、複数の脆弱性があります。結果として、遠隔の第三者が、ユー
ザの意図しない操作を実行したり、ユーザのブラウザ上で任意のスクリプトを
実行したりする可能性があります。

対象となる製品およびバージョンは以下の通りです。

- baserCMS バージョン 3.0.10 およびそれ以前
- baserCMS 用プラグイン「ブログ」バージョン 3.0.10 およびそれ以前
- baserCMS 用プラグイン「メールフォーム」バージョン 3.0.10 およびそれ以前
- baserCMS 用プラグイン「フィードリーダー」バージョン 3.0.10 およびそれ以前
- baserCMS 用プラグイン「アップローダー」バージョン 3.0.10 およびそれ以前

この問題は、baserCMS を、開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

【7】Aternity に複数の脆弱性

情報源

CERT/CC Vulnerability Note VU#706359
Aternity version 9 vulnerable to cross-site scripting and remote code execution
https://www.kb.cert.org/vuls/id/706359

概要

Aternity には、複数の脆弱性があります。結果として、遠隔の第三者が、任
意のコードを実行したり、機密情報を取得したりする可能性があります。

対象となるバージョンは以下の通りです。

- Aternity version 9 およびそれ以前

2016年10月4日現在、対策済みのバージョンは公開されていません。以下の回
避策を適用することで、本脆弱性の影響を軽減することが可能です。

- 14777 番ポートへのアクセスを制限する

詳細は、Aternity が提供する情報を参照してください。

【8】Borderless Cyber Asia 2016 開催

情報源

OASIS
Borderless Cyber Asia
http://borderlesscyber.oasis-open.org/asia16/

概要

OASIS と慶応義塾大学が共同で主催する国際会議「Borderless Cyber Asia
2016」が、2016年11月1日から 2日間、慶應義塾大学の三田キャンパスで開催
されます。この国際会議は、民間企業や政府の役員、IT セキュリティ担当者
などを対象に、サイバー脅威情報の共有のための戦略や技術に関する意見交換
を目的としています。講演は、日本語と英語の同時通訳が提供される予定です。
なお、JPCERT/CC は「Borderless Cyber Asia 2016」を後援しています。

  開催日時: 2016年11月1日 (火) - 2016年11月2日 (水)
  会場: 東京都港区三田 2-15-45 慶応義塾大学三田キャンパス
  参加費: 20,000円 (政府関係者、OASIS メンバー割引あり)

■今週のひとくちメモ

○NISC が「サイバーセキュリティ国際キャンペーン」を開始

内閣官房内閣サイバーセキュリティセンター (NISC) は「サイバーセキュリティ
国際キャンペーン」を開始しました。このキャンペーンは、国際連携の推進や
情報セキュリティの普及のために、2012年から毎年 10月に実施されています。
キャンペーン中は、ASEAN 諸国との情報セキュリティ政策会議や、セキュリティ
専門家によるウィークリーコラムの発信など、様々な行事が予定されています。

参考文献 (日本語)

内閣官房内閣サイバーセキュリティセンター (NISC)
サイバーセキュリティ国際キャンペーン
http://www.nisc.go.jp/security-site/campaign/

内閣官房内閣サイバーセキュリティセンター (NISC)
「サイバーセキュリティ国際キャンペーン」の実施について
http://www.nisc.go.jp/press/pdf/campaign2016.pdf

警察庁サイバー犯罪対策
サイバーセキュリティ国際キャンペーン特集
https://www.npa.go.jp/cyber/international/

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2016-10-05号

<<< JPCERT/CC WEEKLY REPORT 2016-10-05 >>>

■09/25(日)〜10/01(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

○NISC が「サイバーセキュリティ国際キャンペーン」を開始

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次