<<< JPCERT/CC WEEKLY REPORT 2016-12-07 >>>

■11/27(日)〜12/03(土) のセキュリティ関連情報

目　次

【1】Mozilla 製品群に複数の脆弱性

【2】複数のアイ・オー・データ製のネットワークカメラ製品に脆弱性

【3】複数のソニー製のネットワークカメラ製品に脆弱性

【4】複数の日本年金機構製品のインストーラに脆弱性

【5】Android アプリ「kintone mobile for Android」に SSL サーバ証明書の検証不備の脆弱性

【6】WNC01WH に複数の脆弱性

【今週のひとくちメモ】LDAP サーバを探索するアクセスの増加

【1】Mozilla 製品群に複数の脆弱性

情報源

US-CERT Current Activity
Mozilla Releases Security Update
https://www.us-cert.gov/ncas/current-activity/2016/11/28/Mozilla-Releases-Security-Update

US-CERT Current Activity
Mozilla Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2016/11/30/Mozilla-Releases-Security-Updates

概要

Mozilla 製品群には、複数の脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可
能性があります。

対象となる製品およびバージョンは以下の通りです。

- Mozilla Firefox 50.0.2 より前のバージョン
- Mozilla Firefox ESR 45.5.1 より前のバージョン
- Mozilla Thunderbird 45.5.1 より前のバージョン

この問題は、該当する製品を Mozilla が提供する修正済みのバージョンに更
新することで解決します。また、以下の回避策を適用することで、本脆弱性の
影響を軽減することが可能です。

- JavaScript を無効化する
- Microsoft Enhanced Mitigation Experience Toolkit (EMET) を利用する

詳細は、Mozilla が提供する情報を参照してください。

また、Mozilla Firefox を組み込んでいる以下の製品にも同様の脆弱性があり
ます。

- Tor Browser バージョン 6.0.7 より前のバージョン

この問題は、該当する製品を Tor が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Tor が提供する情報を参照してください。

関連文書 (日本語)

Mozilla Japan
Mozilla Foundation セキュリティアドバイザリ (2016 年 11 月 28 日 および 2016 年 11 月 30 日)
http://www.mozilla-japan.org/security/announce/

Japan Vulnerability Notes JVNVU#93847769
Mozilla Firefox における解放済みメモリ使用 (use-after-free) の脆弱性
https://jvn.jp/vu/JVNVU93847769/

関連文書 (英語)

Tor
Tor Browser 6.0.7 is released
https://blog.torproject.org/blog/tor-browser-607-released

【2】複数のアイ・オー・データ製のネットワークカメラ製品に脆弱性

情報源

Japan Vulnerability Notes JVN#25059363
アイ・オー・データ製の複数のネットワークカメラ製品に複数の脆弱性
https://jvn.jp/jp/JVN25059363/

概要

アイ・オー・データ製の複数のネットワークカメラ製品には、複数の脆弱性が
あります。結果として、製品にログイン可能な攻撃者が、任意のコードを実行
したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があります。

対象となる製品およびバージョンは以下の通りです。

- TS-WRLP ファームウェア バージョン 1.01.02 およびそれ以前
- TS-WRLA ファームウェア バージョン 1.01.02 およびそれ以前

この問題は、該当する製品のファームウェアを、株式会社アイ・オー・データ
機器が提供する修正済みのバージョンに更新することで解決します。詳細は、
株式会社アイ・オー・データ機器が提供する情報を参照してください。

関連文書 (日本語)

株式会社アイ・オー・データ機器
ネットワークカメラ「TS-WRLP」「TS-WRLA」における複数の脆弱性について
http://www.iodata.jp/support/information/2016/ts-wrlap_2/

【3】複数のソニー製のネットワークカメラ製品に脆弱性

情報源

Japan Vulnerability Notes JVNVU#96435227
ソニー製の複数のネットワークカメラ製品に脆弱性
https://jvn.jp/vu/JVNVU96435227/

概要

ソニー製の複数のネットワークカメラ製品には、脆弱性があります。結果とし
て、当該製品にアクセス可能な第三者がシステム権限を取得する可能性があり
ます。

対象となる製品は複数存在します。

この問題は、該当する製品のファームウェアを、ソニー株式会社が提供する修
正済みのバージョンに更新することで解決します。詳細は、ソニー株式会社が
提供する情報を参照してください。

関連文書 (日本語)

ソニー株式会社
ネットワークカメラをご愛用のお客様へ セキュリティー対策ファームウェアバージョンアップのお願い
https://www.sony.jp/snc/info/20161128.html

【4】複数の日本年金機構製品のインストーラに脆弱性

情報源

Japan Vulnerability Notes JVN#08868688
日本年金機構製の複数のインストーラにおける DLL 読み込みに関する脆弱性
https://jvn.jp/jp/JVN08868688/

概要

日本年金機構製の複数のインストーラには、DLL 読み込みに関する脆弱性があ
ります。結果として、第三者が任意のコードを実行する可能性があります。

対象となる製品およびバージョンは以下の通りです。

- 仕様チェックプログラム(社会保険) Ver. 9.00 およびそれ以前
- 届書印刷プログラム Ver. 5.00 およびそれ以前
- 媒体データパスワード設定プログラム Ver. 1.00 およびそれ以前
- 届書作成プログラム Ver. 15.00 およびそれ以前

この問題は、日本年金機構が提供する最新のインストーラを使用することで解
決します。詳細は、日本年金機構が提供する情報を参照してください。

関連文書 (日本語)

日本年金機構
仕様チェックプログラム（社会保険）
https://www.nenkin.go.jp/denshibenri/setsumei/20150415.html#cmscheck

日本年金機構
届書印刷プログラム
https://www.nenkin.go.jp/denshibenri/setsumei/20140630.html

日本年金機構
媒体データパスワード設定プログラム
https://www.nenkin.go.jp/denshibenri/setsumei/0104.html

日本年金機構
届書作成プログラム
https://www.nenkin.go.jp/denshibenri/setsumei/20150105-03.html

【5】Android アプリ「kintone mobile for Android」に SSL サーバ証明書の検証不備の脆弱性

情報源

Japan Vulnerability Notes JVN#20252219
Android アプリ「kintone mobile for Android」における SSL サーバ証明書の検証不備の脆弱性
https://jvn.jp/jp/JVN20252219/

概要

Android アプリ「kintone mobile for Android」には、SSL サーバ証明書の検
証不備の脆弱性があります。結果として、遠隔の第三者が、中間者攻撃によっ
て暗号通信を盗聴するなどの可能性があります。

対象となるバージョンは以下の通りです。

- Android アプリ「kintone mobile for Android」 1.0.6 およびそれ以前

この問題は、kintone mobile for Android を、サイボウズ株式会社が提供す
る修正済みのバージョンに更新することで解決します。詳細は、サイボウズ株
式会社が提供する情報を参照してください。

関連文書 (日本語)

サイボウズ株式会社
[CyVDB-1230]ユーザーログイン後の通信に関する SSLサーバー証明書の検証不備の脆弱性
https://support.cybozu.com/ja-jp/article/9719

【6】WNC01WH に複数の脆弱性

情報源

Japan Vulnerability Notes JVN#40613060
WNC01WH における複数の脆弱性
https://jvn.jp/jp/JVN40613060/

概要

WNC01WH には、複数の脆弱性があります。結果として、遠隔の第三者が、ユー
ザのブラウザ上で任意のスクリプトを実行したり、ユーザの意図しない操作を
実行したりするなどの可能性があります。

対象となるバージョンは以下の通りです。

- WNC01WH ファームウェア バージョン 1.0.0.8 およびそれ以前

この問題は、WNC01WH のファームウェアを、株式会社バッファローが提供する
修正済みのバージョンに更新することで解決します。詳細は、株式会社バッファ
ローが提供する情報を参照してください。
          

関連文書 (日本語)

株式会社バッファロー
ネットワークカメラ WNC01WH に関する複数の脆弱性
http://buffalo.jp/support_s/s20161201.html

■今週のひとくちメモ

○LDAP サーバを探索するアクセスの増加

2016年11月29日、警察庁は「リフレクター攻撃の踏み台となる機器の探索行為
と考えられるアクセスの増加等について」と題したドキュメントを公開しまし
た。このドキュメントによると、特定ベンダのルータに対するアクセス増加と
ともに、10月中旬から LDAP サーバを狙った「SearchRequest」メッセージの
送信が観測されているとのことです。「SearchRequest」メッセージに応答す
る LDAP サーバはリフレクター攻撃の踏み台となる可能性があるため、このド
キュメントでは管理者に対し、機器の適切な設定を行うよう呼びかけています。

参考文献 (日本語)

警察庁
リフレクター攻撃の踏み台となる機器の探索行為と考えられるアクセスの増加等について
https://www.npa.go.jp/cyberpolice/detect/pdf/20161129.pdf

参考文献 (英語)

US-CERT Alert (TA14-017A)
UDP-Based Amplification Attacks
https://www.us-cert.gov/ncas/alerts/TA14-017A

■JPCERT/CC からのお願い