JPCERT-WR-2018-4401

JPCERT/CC

2018-11-14

<<< JPCERT/CC WEEKLY REPORT 2018-11-14 >>>

■11/04(日)〜11/10(土) のセキュリティ関連情報

目　次

【1】Apache Struts 2 に任意のコードが実行可能な脆弱性

【2】自己暗号化ドライブ製品に複数の脆弱性

【3】複数の Cisco 製品に脆弱性

【4】複数の VMware 製品に脆弱性

【5】LogonTracer に複数の脆弱性

【6】WordPress 用プラグイン LearnPress に複数の脆弱性

【7】「セキュリティ対策ツール」に対する修正モジュールのインストーラに DLL 読み込みに関する脆弱性

【今週のひとくちメモ】NICT が「日本国内でインターネットに接続されたIoT機器等に関する事前調査」を実施

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2018/wr184401.txt
https://www.jpcert.or.jp/wr/2018/wr184401.xml

【1】Apache Struts 2 に任意のコードが実行可能な脆弱性

情報源

US-CERT Current Activity
Apache Releases Security Advisory for Apache Struts
https://www.us-cert.gov/ncas/current-activity/2018/11/05/Apache-Releases-Security-Advisory-Apache-Struts

概要

Apache Struts 2 には、遠隔の第三者が任意のコードを実行可能となる脆弱性
があります。

対象となるバージョンは次のとおりです。

- Apache Struts 2.3.36 およびそれ以前のバージョン
- Apache Struts 2.5.12 より前のバージョン

この問題は、使用している Apache Struts 2 のバージョンに応じて、Apache
Software Foundation が提供する修正済みのバージョンに更新するか、
Commons FileUpload ライブラリのバージョンを 1.3.3 に更新することで解決
します。詳細は、Apache Software Foundation が提供する情報を参照してく
ださい。

【2】自己暗号化ドライブ製品に複数の脆弱性

情報源

US-CERT Current Activity
Self-Encrypting Solid-State Drive Vulnerabilities
https://www.us-cert.gov/ncas/current-activity/2018/11/06/Self-Encrypting-Solid-State-Drive-Vulnerabilities

CERT/CC Vulnerability Note VU#395981
Self-Encrypting Drives Have Multiple Vulnerabilities
https://kb.cert.org/vuls/id/395981/

Japan Vulnerability Notes JVNVU#90149383
自己暗号化ドライブ製品における複数の脆弱性
https://jvn.jp/vu/JVNVU90149383/

概要

ATA セキュリティモードや TCG OPAL 規格を実装した自己暗号化ドライブ製品
には、複数の脆弱性があります。結果として、本脆弱性の影響を受ける製品へ
の物理的なアクセスが可能な第三者が、暗号化されたデータを復号する可能性
があります。

オランダの National Cyber Security Centre (NCSC-NL) によると、対象とな
る製品は次のとおりです。

- Crucial (Micron) MX100 ドライブ, MX200 ドライブ, および MX300 ドライブ
- Samsung ポータブルドライブ T3 および T5
- Samsung 840 EVO ドライブ および 850 EVO ドライブ (ATA high モードの場合影響を受けます。TCG モードもしくは ATA MAX モードの場合は影響を受けません。)

また、上記以外の自己暗号化ドライブ製品にも、同様の脆弱性が存在する可能
性があります。

この問題は、該当する製品に開発者が提供する修正パッチを適用することで解
決します。修正パッチが提供されていない、あるいは何らかの理由により適用
できない場合、次の回避策の実施を検討してください。

- 当該製品のハードウェアベースの暗号化のみに頼らず、ソフトウェアベースの暗号化を使用する

詳細は、各製品の開発者などが提供する情報を参照してください。

【3】複数の Cisco 製品に脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2018/11/07/Cisco-Releases-Security-Updates

概要

複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が認
証を回避し、管理者権限で任意のアクションを実行するなどの可能性がありま
す。

対象となる製品は次のとおりです。

- Cisco Stealthwatch Enterprise
- Cisco Unity Express (CUE)
- Cisco Meraki MR devices
- Cisco Meraki MS devices
- Cisco Meraki MX devices (物理デバイスおよび仮想アプライアンス (vMX100) を含む)
- Cisco Meraki Z1 および Z3 devices

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

【4】複数の VMware 製品に脆弱性

情報源

US-CERT Current Activity
VMware Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2018/11/09/VMware-Releases-Security-Updates

概要

複数の VMware 製品には、脆弱性があります。結果として、ゲスト OS のユー
ザがホスト OS 上で任意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- VMware vSphere ESXi 6.7 系のバージョン
- VMware vSphere ESXi 6.5 系のバージョン
- VMware vSphere ESXi 6.0 系のバージョン
- VMware Workstation Pro / Player 15 系のバージョン
- VMware Workstation Pro / Player 14 系のバージョン
- VMware Fusion Pro / Fusion 11 系のバージョン
- VMware Fusion Pro / Fusion 10 系のバージョン

本脆弱性は、仮想マシンのネットワークアダプタとして、vmxnet3 を使用して
いる場合にのみ、影響を受けるとのことです。

この問題は、該当する製品を VMware が提供する修正済みのバージョンに更新
するか、パッチを適用することで解決します。詳細は、VMware が提供する情
報を参照してください。

【5】LogonTracer に複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#98026636
LogonTracer に複数の脆弱性
https://jvn.jp/vu/JVNVU98026636/

概要

JPCERT/CC が提供している LogonTracer には、複数の脆弱性があります。結
果として、遠隔の第三者が任意のスクリプトを実行するなどの可能性がありま
す。

対象となるバージョンは次のとおりです。

- LogonTracer 1.2.0 およびそれ以前

この問題は、LogonTracer を JPCERT/CC が提供する修正済みのバージョンに
更新することで解決します。詳細は、関連文書や情報源のページを参照してく
ださい。

【6】WordPress 用プラグイン LearnPress に複数の脆弱性

情報源

Japan Vulnerability Notes JVN#85760090
WordPress 用プラグイン LearnPress における複数の脆弱性
https://jvn.jp/jp/JVN85760090/

概要

WordPress 用プラグイン LearnPress には、複数の脆弱性があります。結果と
して、遠隔の第三者が、当該製品にログインしているユーザのブラウザ上で任
意のスクリプトを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- LearnPress 3.1.0 より前のバージョン

この問題は、LearnPress を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

【7】「セキュリティ対策ツール」に対する修正モジュールのインストーラに DLL 読み込みに関する脆弱性

情報源

Japan Vulnerability Notes JVN#15709478
「セキュリティ対策ツール」に対する Windows10 Fall Creators Update向け修正モジュールのインストーラにおける DLL 読み込みに関する脆弱性
https://jvn.jp/jp/JVN15709478/

概要

西日本電信電話株式会社が提供する「セキュリティ対策ツール」に対する
Windows10 Fall Creators Update向け修正モジュールのインストーラには、
DLL 読み込みに関する脆弱性があります。結果として、第三者が任意のコード
を実行する可能性があります。

対象となる製品は次のとおりです。

- 「セキュリティ対策ツール」に対する Windows10 Fall Creators Update向け修正モジュール

開発者によると、本修正モジュールは一時的に提供していたものであり、現在
は不要であるとのことです。該当のモジュールは使用しないでください。詳細
は、西日本電信電話株式会社が提供する情報を参照してください。

■今週のひとくちメモ

○NICT が「日本国内でインターネットに接続されたIoT機器等に関する事前調査」を実施

2018年11月7日、情報通信研究機構 (NICT) が「日本国内でインターネットに
接続されたIoT機器等に関する事前調査」についての情報を公開しました。本
調査は、パスワード設定等に不備のある IoT 機器の実態を把握するため、日
本国内の IPv4 アドレスを対象に、特定の宛先ポートに対してポートスキャン
を実施し、ポート開放状態のアドレス数の規模などを調べるものです。

事前調査は、11月14日(水) に開始し、来年 1月末までを目途に実施予定です。
詳細は、NICT が提供する情報を参照してください。

参考文献 (日本語)

国立研究開発法人情報通信研究機構（NICT）
日本国内でインターネットに接続されたIoT機器等に関する事前調査の実施について
https://www.nict.go.jp/info/topics/2018/11/07-2.html

総務省
電気通信事業法及び国立研究開発法人情報通信研究機構法の一部を改正する法律（平成30年法律第24号）
http://www.soumu.go.jp/menu_hourei/s_houritsu.html

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2018-11-14号

<<< JPCERT/CC WEEKLY REPORT 2018-11-14 >>>

■11/04(日)〜11/10(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

○NICT が「日本国内でインターネットに接続されたIoT機器等に関する事前調査」を実施

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次