<<< JPCERT/CC WEEKLY REPORT 2019-08-07 >>>

■07/28(日)〜08/03(土) のセキュリティ関連情報

目　次

【1】Google Chrome に複数の脆弱性

【2】複数の VMware 製品に脆弱性

【3】PHP にバッファオーバーフローの脆弱性

【4】複数の Cisco 製品に脆弱性

【5】複数の Wind River 製品に脆弱性

【6】Central Dogma にクロスサイトスクリプティングの脆弱性

【7】Cylance のアンチウイルス製品にマルウエア検知を回避される問題

【今週のひとくちメモ】IPA が「夏休みにおける情報セキュリティに関する注意喚起」を公開

【1】Google Chrome に複数の脆弱性

情報源

US-CERT Current Activity
Google Releases Security Updates for Chrome
https://www.us-cert.gov/ncas/current-activity/2019/07/31/google-releases-security-updates-chrome

概要

Google Chrome には、複数の脆弱性があります。結果として、遠隔の第三者が
端末のコントロールを取得するなどの可能性があります。

対象となるバージョンは次のとおりです。

- Chrome 76.0.3809.87 より前のバージョン

この問題は、Google Chrome を Google が提供する修正済みのバージョンに更
新することで解決します。詳細は、Google が提供する情報を参照してくださ
い。

関連文書 (英語)

Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2019/07/stable-channel-update-for-desktop_30.html

【2】複数の VMware 製品に脆弱性

情報源

US-CERT Current Activity
VMware Releases Security Updates for Multiple Products
https://www.us-cert.gov/ncas/current-activity/2019/08/03/vmware-releases-security-updates-multiple-products

概要

複数の VMware 製品には、領域外のメモリに対する読み書きが可能な脆弱性が
あります。結果として、遠隔の第三者が、サービス運用妨害 (DoS) 攻撃を行っ
たり、情報を窃取したりするなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- VMware vSphere ESXi 6.7 系のバージョン (ESXi670-201904101-SG 未適用)
- VMware vSphere ESXi 6.5 系のバージョン (ESXi650-201903001 未適用)
- VMware Workstation Pro / Player 15.0.3 より前の 15 系のバージョン
- VMware Workstation Pro / Player 14.1.6 より前の 14 系のバージョン
- VMware Fusion Pro / Fusion 11.0.3 より前の 11 系のバージョン
- VMware Fusion Pro / Fusion 10.1.6 より前の 10 系のバージョン

この問題は、該当する製品を VMware が提供する修正済みのバージョンに更新
することで解決します。詳細は、VMware が提供する情報を参照してください。

関連文書 (英語)

VMware Security Advisories
VMSA-2019-0012 VMware ESXi, Workstation and Fusion updates address out-of-bounds read/write vulnerabilities (CVE-2019-5521, CVE-2019-5684)
https://www.vmware.com/security/advisories/VMSA-2019-0012.html

【3】PHP にバッファオーバーフローの脆弱性

情報源

The PHP Group
PHP 7.3.8 Release Announcement
https://www.php.net/archive/2019.php#2019-08-01-1

The PHP Group
PHP 7.2.21 Released
https://www.php.net/archive/2019.php#2019-08-01-2

The PHP Group
PHP 7.1.31 Released
https://www.php.net/archive/2019.php#2019-08-01-3

概要

PHP には、バッファオーバーフローの脆弱性があります。結果として、遠隔の
第三者が、サービス運用妨害 (DoS) 攻撃を行ったり、任意のコードを実行し
たりする可能性があります。

対象となるバージョンは次のとおりです。

- PHP 7.3.8 より前のバージョン
- PHP 7.2.21 より前のバージョン
- PHP 7.1.31 より前のバージョン

この問題は、PHP を開発者や配布元が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者や配布元が提供する情報を参照してくだ
さい。

関連文書 (英語)

The PHP Group
PHP 7 ChangeLog Version 7.3.8
https://www.php.net/ChangeLog-7.php#7.3.8

The PHP Group
PHP 7 ChangeLog Version 7.2.21
https://www.php.net/ChangeLog-7.php#7.2.21

The PHP Group
PHP 7 ChangeLog Version 7.1.31
https://www.php.net/ChangeLog-7.php#7.1.31

【4】複数の Cisco 製品に脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2019/08/01/cisco-releases-security-updates

概要

複数の Cisco 製品には、脆弱性があります。結果として、第三者が、任意の
コードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性が
あります。

対象となる製品およびバージョンは次のとおりです。

- Cisco Nexus 9000 Series ACI Mode Switch Software 14 系のバージョン
- Cisco Nexus 9000 Series ACI Mode Switch Software 13.2(7f) より前のバージョン

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

関連文書 (英語)

Cisco
Cisco Nexus 9000 Series ACI Mode Switch Software Link Layer Discovery Protocol Buffer Overflow Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190731-nxos-bo

【5】複数の Wind River 製品に脆弱性

情報源

ICS Advisory (ICSA-19-211-01)
Wind River VxWorks
https://www.us-cert.gov/ics/advisories/icsa-19-211-01

概要

複数の Wind River 製品には、脆弱性があります。結果として、遠隔の第三者
が、任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりす
るなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- VxWorks 7 SR610
- VxWorks 7 SR540
- VxWorks 6.9 系のバージョン
- VxWorks 653 MCE 3.x 系のバージョン

なお、次に挙げるサポートが終了しているバージョンや、販売が終了している
製品についても本脆弱性の影響を受けるとのことです。

- VxWorks 6.5 から 6.8 系のバージョン
- Advanced Networking Technology のすべてのバージョン
- VxWorks において Interpeak standalone network stack を利用するバージョン

この問題は、該当する製品を Wind River が提供する修正済みのバージョンに
更新することで解決します。詳細は、Wind River が提供する情報を参照して
ください。

関連文書 (英語)

US-CERT Current Activity
CISA Releases Advisory on Wind River VxWorks Platform
https://www.us-cert.gov/ncas/current-activity/2019/07/30/cisa-releases-advisory-wind-river-vxworks-platform

Canadian Centre for Cyber Security
Wind River VxWorks IPnet TCP/IP Stack Vulnerabilities
https://cyber.gc.ca/en/alerts/wind-river-vxworks-ipnet-tcpip-stack-vulnerabilities

Wind River
TCP/IP Network Stack (IPnet, Urgent/11)
https://www.windriver.com/security/announcements/tcp-ip-network-stack-ipnet-urgent11/

Wind River
SECURITY ADVISORY: WIND RIVER TCP/IP STACK (IPNET) VULNERABILITIES
https://www.windriver.com/security/announcements/tcp-ip-network-stack-ipnet-urgent11/security-advisory-ipnet/security-advisory-ipnet.pdf

【6】Central Dogma にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#94889214
Central Dogma におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN94889214/

概要

LINE株式会社が提供する Central Dogma には、クロスサイトスクリプティン
グの脆弱性があります。結果として、遠隔の第三者が、当該製品にアクセスし
たユーザのブラウザ上で任意のスクリプトを実行する可能性があります。

対象となるバージョンは次のとおりです。

- Central Dogma 0.17.0 から 0.40.1 まで

この問題は、Central Dogma を LINE株式会社が提供する修正済みのバージョン
に更新することで解決します。詳細は、LINE株式会社が提供する情報を参照し
てください。

関連文書 (英語)

LINE株式会社
Welcome to Central Dogma
https://line.github.io/centraldogma/

LINE株式会社
centraldogma-0.41.0
https://github.com/line/centraldogma/releases/tag/centraldogma-0.41.0

【7】Cylance のアンチウイルス製品にマルウエア検知を回避される問題

情報源

CERT/CC Vulnerability Note VU#489481
Cylance Antivirus Products Susceptible to Concatenation Bypass
https://kb.cert.org/vuls/id/489481/

Japan Vulnerability Notes JVNVU#98738756
Cylance のアンチウイルス製品にマルウエア検知を回避される問題
https://jvn.jp/vu/JVNVU98738756/

概要

Cylance が提供する Cylance の AI ベースのアンチウイルス製品には、悪性
コンテンツを良性なものであると誤認識してしまう問題が存在します。結果と
して、本問題を悪用して作られたマルウエアが当該製品で検知されない可能性
があります。

対象となる製品は次のとおりです。

- 2019年7月21日より前の状態の Cylance の AI ベースのアンチウイルス製品

この問題に対し、Cylance は、当該製品に対する修正バージョンを公開してい
ますが、CERT/CC によると本修正で対応が十分とは判断できないとのことです。
アップデートの適用とともに、多層防御の考え方を考慮したシステム構成を検
討して下さい。

関連文書 (英語)

Cylance
Resolution for BlackBerry Cylance Bypass
https://threatvector.cylance.com/en_us/home/resolution-for-blackberry-cylance-bypass.html

US-CERT Current Activity
Cylance Antivirus Vulnerability
https://www.us-cert.gov/ncas/current-activity/2019/08/02/cylance-antivirus-vulnerability

■今週のひとくちメモ

○IPA が「夏休みにおける情報セキュリティに関する注意喚起」を公開

2019年8月1日、情報処理推進機構（IPA） は「夏休みにおける情報セキュリテ
ィに関する注意喚起」を公開しました。多くの人がお盆休みや夏休みなどの長
期休暇を取得する時期を迎えるにあたり、休暇期間中のインシデント発生に備
えて必要な対策や対応がまとめられています。

参考文献 (日本語)

情報処理推進機構（IPA）
夏休みにおける情報セキュリティに関する注意喚起
https://www.ipa.go.jp/security/topics/alert20190801.html

■JPCERT/CC からのお願い