US-CERT Current Activity
Microsoft Releases October 2018 Security Updates
https://www.us-cert.gov/ncas/current-activity/2018/10/09/Microsoft-Releases-October-2018-Security-Updates

概要

複数の Microsoft 製品には、脆弱性があります。結果として、遠隔の第三者
が任意のコードを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Internet Explorer
- Microsoft Edge
- Microsoft Windows
- Microsoft Office、Microsoft Office Services および Web Apps
- ChakraCore
- .NET Core
- PowerShell Core
- SQL Server Management Studio
- Microsoft Exchange Server
- Azure IoT Edge
- Hub Device Client SDK for Azure IoT

この問題は、Microsoft Update などを用いて、更新プログラムを適用するこ
とで解決します。詳細は、Microsoft が提供する情報を参照してください。

【2】複数の Apple 製品に脆弱性

情報源

US-CERT Current Activity
Apple Releases Security Updates for iCloud, iOS
https://www.us-cert.gov/ncas/current-activity/2018/10/08/Apple-Releases-Security-Updates-iCloud-iOS

Japan Vulnerability Notes JVNVU#92800088
複数の Apple 製品における脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU92800088/

概要

複数の Apple 製品には、脆弱性があります。結果として、第三者が、任意の
コードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可
能性があります。

対象となる製品およびバージョンは次のとおりです。

- iCloud for Windows 7.7 より前のバージョン
- iOS 12.0.1 より前のバージョン

この問題は、該当する製品を Apple が提供する修正済みのバージョンに更新
することで解決します。詳細は、Apple が提供する情報を参照してください。

【3】複数の Adobe 製品に脆弱性

情報源

US-CERT Current Activity
Adobe Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2018/10/09/Adobe-Releases-Security-Updates

Adobe
Security Bulletins Posted
https://blogs.adobe.com/psirt/?p=1633

概要

複数の Adobe 製品には、脆弱性があります。結果として、遠隔の第三者が任
意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Adobe Digital Edition 4.5.8 およびそれ以前 (Windows 版、Macintosh 版 および iOS版)
- Adobe Experience Manager バージョン 6.0、6.1、6.2、6.3、6.4
- Adobe Framemaker 1.0.5.1 およびそれ以前 (Windows 版)
- Adobe Technical Communications Suite 1.0.5.1 およびそれ以前 (Windows 版)

この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新
することで解決します。詳細は、Adobe が提供する情報を参照してください。

【4】複数の VMware 製品に脆弱性

情報源

US-CERT Current Activity
VMware Releases Security Advisory
https://www.us-cert.gov/ncas/current-activity/2018/10/09/VMware-Releases-Security-Advisory

概要

複数の VMware 製品には、脆弱性があります。結果として、第三者がサービス
運用妨害 (DoS) 攻撃を行う可能性があります。

対象となる製品は次のとおりです。

- VMware vSphere ESXi
- VMware Workstation Pro / Player
- VMware Fusion Pro, Fusion

2018年10月16日現在、この問題に対する解決策は提供されていません。VMware
が提供する回避策を適用することで、本問題の影響を軽減することが可能です。
詳細は、VMware が提供する情報を参照してください。

【5】複数の Juniper 製品に脆弱性

情報源

US-CERT Current Activity
Juniper Networks Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2018/10/10/Juniper-Networks-Releases-Security-Updates

概要

複数の Juniper 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするな
どの可能性があります。

対象となる製品は次のとおりです。

- Junos OS
- ScreenOS
- Junos Space Network Management Platform
- Junos Space Security Director
- NFX シリーズ
- vSRX シリーズ
- QFX5000 シリーズ
- EX4600 シリーズ
- MX シリーズ

この問題は、該当する製品を Juniper が提供する修正済みのバージョンに更
新することで解決します。詳細は、Juniper が提供する情報を参照してくださ
い。

関連文書 (英語)

Juniper Networks
2018-10 Security Bulletin: Junos OS: RPD daemon crashes upon receipt of specific MPLS packet (CVE-2018-0043)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10877

Juniper Networks
2018-10 Security Bulletin: Junos OS: RPD daemon crashes due to receipt of specific Draft-Rosen MVPN control packet in Draft-Rosen MVPN configuration (CVE-2018-0045)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10879

Juniper Networks
2018-10 Security Bulletin: NFX Series: Insecure sshd configuration in Juniper Device Manager (JDM) and host OS (CVE-2018-0044)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10878

Juniper Networks
2018-10 Security Bulletin: Junos Space: Multiple vulnerabilities resolved in 18.2R1 release
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10880

Juniper Networks
2018-10 Security Bulletin: Junos Space Security Director: XSS vulnerability in web administration (CVE-2018-0047)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10881

Juniper Networks
2018-10 Security Bulletin: Junos OS: Memory exhaustion denial of service vulnerability in Routing Protocols Daemon (RPD) with Juniper Extension Toolkit (JET) support (CVE-2018-0048)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10882

Juniper Networks
2018-10 Security Bulletin: Junos OS: Receipt of a specifically crafted malicious MPLS packet leads to a Junos kernel crash (CVE-2018-0049)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10883

Juniper Networks
2018-10 Security Bulletin: Junos OS: Receipt of a malformed MPLS RSVP packet leads to a Routing Protocols Daemon (RPD) crash (CVE-2018-0050)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10884

Juniper Networks
2018-10 Security Bulletin: Junos OS: Denial of Service vulnerability in MS-PIC, MS-MIC, MS-MPC, MS-DPC and SRX flow daemon (flowd) related to SIP ALG (CVE-2018-0051)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10885

Juniper Networks
2018-10 Security Bulletin: Junos OS: Unauthenticated remote root access possible when RSH service is enabled (CVE-2018-0052)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10886

Juniper Networks
2018-10 Security Bulletin: vSRX Series: A local authentication vulnerability may lead to full control of a vSRX instance while the system is booting. (CVE-2018-0053)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10887

Juniper Networks
2018-10 Security Bulletin: QFX5000/EX4600 Series: Routing protocol flap upon receipt of high rate of Ethernet frames (CVE-2018-0054)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10888

Juniper Networks
2018-10 Security Bulletin: Junos OS: jdhcpd process crash during processing of specially crafted DHCPv6 message (CVE-2018-0055)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10889

Juniper Networks
2018-10 Security Bulletin: MX Series: L2ALD daemon may crash if a duplicate MAC is learned by two different interfaces (CVE-2018-0056)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10890

Juniper Networks
2018-10 Security Bulletin: Junos OS: authd allows assignment of IP address requested by DHCP subscriber logging in with Option 50 (Requested IP Address) (CVE-2018-0057)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10892

Juniper Networks
2018-10 Security Bulletin: MX Series: In BBE configurations, receipt of a crafted IPv6 exception packet causes a Denial of Service (CVE-2018-0058)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10893

Juniper Networks
2018-10 Security Bulletin: ScreenOS: Stored Cross-Site Scripting (XSS) vulnerability (CVE-2018-0059)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10894

Juniper Networks
2018-10 Security Bulletin: Junos OS: Invalid IP/mask learned from DHCP server might cause the device control daemon (dcd) process crash (CVE-2018-0060)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10895

Juniper Networks
2018-10 Security Bulletin: Junos OS: Denial of service in telnetd (CVE-2018-0061)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10896

Juniper Networks
2018-10 Security Bulletin: Junos OS: Denial of Service in J-Web (CVE-2018-0062)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10897

Juniper Networks
2018-10 Security Bulletin: Junos OS: Multiple vulnerabilities in NTP [VU#961909]
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10898

Juniper Networks
2018-10 Security Bulletin: Junos OS: Nexthop index allocation failed: private index space exhausted via incoming ARP requests to management interface (CVE-2018-0063)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10899

【6】PHP に複数の脆弱性

情報源

US-CERT Current Activity
MS-ISAC Releases Advisory on PHP Vulnerabilities
https://www.us-cert.gov/ncas/current-activity/2018/10/12/MS-ISAC-Releases-Advisory-PHP-Vulnerabilities

The PHP Group
PHP 7.2.11 Released
https://secure.php.net/archive/2018.php#id2018-10-11-2

The PHP Group
PHP 7.1.23 Released
https://secure.php.net/archive/2018.php#id2018-10-11-3

概要

PHP には、複数の脆弱性があります。結果として、第三者が任意のコードを実
行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- PHP 7.2.11 より前のバージョン
- PHP 7.1.23 より前のバージョン

この問題は、PHP を開発者や配布元が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者や配布元が提供する情報を参照してくだ
さい。

【7】Intel 製品に複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#99973215
Intel 製品に複数の脆弱性
https://jvn.jp/vu/JVNVU99973215/

概要

Intel 製品 には、複数の脆弱性があります。結果として、第三者がサービス
運用妨害 (DoS) 攻撃を行うなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Intel Graphics Drivers 10.18.x.5056 (aka 15.33.x.5056) より前のバージョン
- Intel Graphics Drivers 10.18.x.5057 (aka 15.36.x.5057) より前のバージョン
- Intel Graphics Drivers 20.19.x.5058 (aka 15.40.x.5058) より前のバージョン
- Intel NUC Firmware Kits 2018年5月24日版より前のバージョン
- Intel QuickAssist Technology for Linux version 4.2 より前のバージョン

この問題は、開発者が提供する修正済みのバージョンに更新することで解決し
ます。詳細は、開発者が提供する情報を参照してください。

【8】Music Center for PC にソフトウェアアップデート時のダウンロードファイル検証不備の脆弱性

情報源

Japan Vulnerability Notes JVN#36623716
Music Center for PC にソフトウェアアップデート時のダウンロードファイル検証不備の脆弱性
https://jvn.jp/jp/JVN36623716/

概要

Music Center for PC には、ソフトウェアアップデート時にダウンロードする
ファイルの検証処理に関する脆弱性があります。結果として、遠隔の第三者が
不正なプログラムを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- Music Center for PC バージョン 1.0.02 およびそれ以前

この問題は、開発者が提供する修正済みのバージョンに更新することで解決し
ます。開発者が提供する情報をもとに、開発者のサイトから最新版のインストー
ラを直接ダウンロードしてアップデートしてください。詳細は、開発者が提供
する情報を参照してください。

【9】User-friendly SVN にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#73794686
User-friendly SVN におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN73794686/

概要

User-friendly SVN (USVN) には、クロスサイトスクリプティングの脆弱性が
あります。結果として、遠隔の第三者が、当該製品にログインしているユーザ
のウェブブラウザ上で、任意のスクリプトを実行する可能性があります。

対象となるバージョンは次のとおりです。

- User-friendly SVN Version 1.0.7 およびそれ以前

この問題は、開発者が提供する修正済みのバージョンに更新することで解決し
ます。詳細は、開発者が提供する情報を参照してください。

【10】Metabase にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#14323043
Metabase におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN14323043/

概要

Metabase には、クロスサイトスクリプティングの脆弱性があります。結果と
して、遠隔の第三者が、当該製品にログインしているユーザのウェブブラウザ
上で、任意のスクリプトを実行する可能性があります。

対象となるバージョンは次のとおりです。

- Metabase バージョン 0.29.3 およびそれ以前

この問題は、開発者が提供する修正済みのバージョンに更新することで解決し
ます。詳細は、開発者が提供する情報を参照してください。

【11】OpenAM (オープンソース版) にセッション管理不備の脆弱性

情報源

Japan Vulnerability Notes JVN#49995005
OpenAM (オープンソース版) におけるセッション管理不備の脆弱性
https://jvn.jp/jp/JVN49995005/

概要

OpenAM (オープンソース版) には、セッション管理不備の脆弱性があります。
結果として、当該製品にログイン可能なユーザが、秘密の質問 (Security
Questions) を書き換え、パスワードを変更する可能性があります。

対象となるバージョンは次のとおりです。

- OpenAM (オープンソース版) 13.0 およびそれ以降

この問題は、OpenAM コンソーシアムが提供するパッチを適用することで解決
します。詳細は、OpenAM コンソーシアムなどが提供する情報を参照してくだ
さい。

【12】Auto-Maskin DCU 210E、RP 210E および Marine Pro Observer App に複数の脆弱性

情報源

CERT/CC Vulnerability Note VU#176301
Auto-Maskin DCU 210E RP 210E and Marine Pro Observer App
https://www.kb.cert.org/vuls/id/176301

Japan Vulnerability Notes JVNVU#99039923
Auto-Maskin DCU 210E、RP 210E および Marine Pro Observer App に複数の脆弱性
https://jvn.jp/vu/JVNVU99039923/

概要

Auto-Maskin RP リモートパネルと DCU コントロールユニットには、複数の脆
弱性があります。結果として、第三者が機器の構成や設定情報、センサーの動
作状況などの情報を取得する可能性があります。

対象となる製品は次のとおりです。

- Auto-Maskin RP リモートパネル
- DCU コントロールユニット

2018年10月16日現在、この問題に対する解決策は提供されていません。該当の
製品を使用している場合、製品開発者の情報を確認することをおすすめします。

■今週のひとくちメモ

○「CODE BLUE 2018」開催

2018年10月29日から 11月2日にかけて、「CODE BLUE 2018」が開催されます。
CODE BLUE 実行委員会が主催する本イベントは、情報セキュリティ専門家によ
る講演および情報交換・交流の機会を提供する国際会議です。JPCERT/CC は、
このイベントを後援しております。また、JPCERT/CC のアナリストが、「Logon
Tracer：可視化と機械学習を使用してActive Directoryのイベントログを分析」
と「サイバー空間の規範を読み解く -- 技術者コミュニティの新たな役割 --」
と題した 2つの講演を行います。

参加には事前登録が必要です。参加申し込みの詳細は、「CODE BLUE 2018」の
Web サイトを参照ください。

参考文献 (日本語)

CODE BLUE 実行委員会
CODE BLUE 2018
https://codeblue.jp/2018/

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2018-10-17号

<<< JPCERT/CC WEEKLY REPORT 2018-10-17 >>>

■10/07(日)〜10/13(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

○「CODE BLUE 2018」開催

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次