-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2015-2701 JPCERT/CC 2015-07-15 <<< JPCERT/CC WEEKLY REPORT 2015-07-15 >>> ―――――――――――――――――――――――――――――――――――――― ■07/05(日)〜07/11(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】Adobe Flash Player および Adobe Air に複数の脆弱性 【2】ISC BIND 9 にサービス運用妨害 (DoS) の脆弱性 【3】OpenSSL に証明書チェーンの検証不備の脆弱性 【4】Mozilla 製品群に複数の脆弱性 【5】PHP に複数の脆弱性 【6】複数の VMware 製品に脆弱性 【7】Node.js および io.js にサービス運用妨害 (DoS) の脆弱性 【8】LINE@ に意図しないアプリ内関数が呼び出される脆弱性 【9】複数の ANTLabs InnGate 製品に脆弱性 【10】Cacti に複数の脆弱性 【11】Grandstream GXV3611_HD に SQL インジェクションの脆弱性 【今週のひとくちメモ】PHP 5.5 系最後のリリース ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2015/wr152701.html https://www.jpcert.or.jp/wr/2015/wr152701.xml ============================================================================ 【1】Adobe Flash Player および Adobe Air に複数の脆弱性 情報源 US-CERT Current Activity Adobe Releases Security Updates for Flash Player https://www.us-cert.gov/ncas/current-activity/2015/07/08/Adobe-Releases-Security-Updates-Flash-Player 概要 Adobe Flash Player および Adobe AIR には複数の脆弱性があります。結果と して、遠隔の第三者が任意のコードを実行するなどの可能性があります。 対象となるバージョンは以下の通りです。 - Adobe Flash Player デスクトップランタイム 18.0.0.194 およびそれ以前 (Windows 版、Macintosh 版) - Adobe Flash Player 継続サポートリリース 13.0.0.296 およびそれ以前 (Windows 版、Macintosh 版) - Adobe Flash Player 11.2.202.468 およびそれ以前 (Linux 版) - Adobe AIR デスクトップランタイム 18.0.0.144 およびそれ以前 (Windows 版、Macintosh 版) - Adobe AIR SDK 18.0.0.144 およびそれ以前 (Windows 版、Macintosh 版、Android 版、iOS版) - Adobe AIR SDK & Compiler 18.0.0.144 およびそれ以前 (Windows 版、Macintosh 版、Android 版、iOS版) この問題は、Adobe が提供する修正済みのバージョンに該当する製品を更新す ることで解決します。詳細は、Adobe が提供する情報を参照してください。 関連文書 (日本語) Adobe セキュリティ情報 Adobe Flash Player に関するセキュリティアップデート公開 https://helpx.adobe.com/jp/security/products/flash-player/apsb15-16.html Japan Vulnerability Notes JVNVU#90834367 Adobe Flash Player に解放済みメモリ使用 (use-after-free) の脆弱性 https://jvn.jp/vu/JVNVU90834367/ JPCERT/CC Alert 2015-07-09 Adobe Flash Player の脆弱性 (APSB15-16) に関する注意喚起 https://www.jpcert.or.jp/at/2015/at150019.html 【2】ISC BIND 9 にサービス運用妨害 (DoS) の脆弱性 情報源 ISC Knowledge Base CVE-2015-4620: Specially Constructed Zone Data Can Cause a Resolver to Crash when Validating https://kb.isc.org/article/AA-01267 概要 ISC BIND 9 の DNSSEC 検証の処理には、脆弱性があります。結果として、遠隔 の第三者がサービス運用妨害 (DoS) 攻撃を行う可能性があります。 対象となるバージョンは以下の通りです。 - BIND 9.7.1 から 9.7.7 まで - BIND 9.8.0 から 9.8.8 まで - BIND 9.9.0 から 9.9.7 まで - BIND 9.10.0 から 9.10.2-P1 まで この問題は、ISC が提供する修正済みのバージョンに BIND 9 を更新すること で解決します。詳細は、ISC が提供する情報を参照してください。 関連文書 (日本語) 株式会社日本レジストリサービス (JPRS) （緊急）BIND 9.xの脆弱性（DNSサービスの停止）について（2015年7月8日公開） http://jprs.jp/tech/security/2015-07-08-bind9-vuln-dnssec-validation.html 一般社団法人日本ネットワークインフォメーションセンター(JPNIC) BINDにおけるDNSSEC検証を有効にしたキャッシュサーバの脆弱性について(2015年7月) https://www.nic.ad.jp/ja/topics/2015/20150708-01.html Japan Vulnerability Notes JVNVU#93531657 ISC BIND 9 にサービス運用妨害 (DoS) の脆弱性 https://jvn.jp/vu/JVNVU93531657/ 関連文書 (英語) ISC Knowledge Base BIND 9.10.2-P2 Release Notes https://kb.isc.org/article/AA-01269 ISC Knowledge Base BIND 9.9.7-P1 Release Notes https://kb.isc.org/article/AA-01270 【3】OpenSSL に証明書チェーンの検証不備の脆弱性 情報源 US-CERT Current Activity OpenSSL Releases Security Advisory https://www.us-cert.gov/ncas/current-activity/2015/07/09/OpenSSL-Releases-Security-Advisory 概要 OpenSSL には、証明書チェーンの検証不備の脆弱性があります。結果として、 遠隔の第三者が中間者攻撃を行うことによって、暗号通信を盗聴するなどの可 能性があります。 対象となるバージョンは以下の通りです。 - OpenSSL 1.0.2c、1.0.2b - OpenSSL 1.0.1o、1.0.1n この問題は、使用している OS のベンダや配布元が提供する修正済みのバー ジョンに OpenSSL を更新することで解決します。詳細は、ベンダや配布元が 提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#99160787 OpenSSL に証明書チェーンの検証不備の脆弱性 https://jvn.jp/vu/JVNVU99160787/ 関連文書 (英語) OpenSSL Project OpenSSL Security Advisory [9 Jul 2015] https://www.openssl.org/news/secadv_20150709.txt 【4】Mozilla 製品群に複数の脆弱性 情報源 US-CERT Current Activity Mozilla Releases Security Updates for Firefox, Firefox ESR, and Thunderbird https://www.us-cert.gov/ncas/current-activity/2015/07/07/Mozilla-Releases-Security-Updates-Firefox-Firefox-ESR-and 概要 Mozilla 製品群には、複数の脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能 性があります。 対象となるバージョンは以下の通りです。 - Firefox 39 より前のバージョン - Firefox ESR 31.8 より前のバージョン - Firefox ESR 38.1 より前のバージョン - Thunderbird 38.1 より前のバージョン この問題は、Mozilla が提供する修正済みのバージョンに該当する製品を更新 することで解決します。詳細は、Mozilla が提供する情報を参照してください。 関連文書 (日本語) Mozilla Japan Mozilla Foundation セキュリティアドバイザリ (2015 年 7 月 2 日) http://www.mozilla-japan.org/security/announce/ 【5】PHP に複数の脆弱性 情報源 PHP Group PHP 5.6.11 is available https://secure.php.net/archive/2015.php#id2015-07-10-3 PHP Group PHP 5.5.27 released https://secure.php.net/archive/2015.php#id2015-07-10-2 PHP Group PHP 5.4.43 Released https://secure.php.net/archive/2015.php#id2015-07-09-1 概要 PHP の mysqlnd には、脆弱性があります。結果として、遠隔の第三者が中間 者攻撃を行う可能性があります。 対象となるバージョンは以下の通りです。 - PHP 5.6.11 より前のバージョン - PHP 5.5.27 より前のバージョン - PHP 5.4.43 より前のバージョン この問題は、開発者や配布元が提供する修正済みのバージョンに PHP を更新 することで解決します。詳細は、開発者や配布元が提供する情報を参照してく ださい。 関連文書 (英語) PHP Group PHP 5 ChangeLog Version 5.6.11 http://www.php.net/ChangeLog-5.php#5.6.11 PHP Group PHP 5 ChangeLog Version 5.5.27 http://www.php.net/ChangeLog-5.php#5.5.27 PHP Group PHP 5 ChangeLog Version 5.4.43 http://www.php.net/ChangeLog-5.php#5.4.43 oCERT Advisories #2015-003 MySQL SSL/TLS downgrade http://www.ocert.org/advisories/ocert-2015-003.html 【6】複数の VMware 製品に脆弱性 情報源 US-CERT Current Activity VMware Releases Security Advisory https://www.us-cert.gov/ncas/current-activity/2015/07/10/VMware-Releases-Security-Advisory 概要 複数の VMware 製品には、脆弱性があります。結果として、ホスト OS のユー ザがより高い権限を取得するなどの可能性があります。 対象となる製品およびバージョンは以下の通りです。 - VMware Workstation 11.1.1 より前のバージョン - VMware Workstation 10.0.7 より前のバージョン - VMware Player 7.1.1 より前のバージョン - VMware Player 6.0.7 より前のバージョン - VMware Horizon Client for Windows (with Local Mode Option) 5.4.2 より前のバージョン この問題は、VMware が提供する修正済みのバージョンに該当する製品を更新す ることで解決します。詳細は、VMware が提供する情報を参照してください。 関連文書 (英語) VMware Security Advisories VMware Workstation, Player and Horizon View Client for Windows updates address a host privilege escalation vulnerability http://www.vmware.com/security/advisories/VMSA-2015-0005.html 【7】Node.js および io.js にサービス運用妨害 (DoS) の脆弱性 情報源 US-CERT Current Activity Security Updates for Node.js and io.js https://www.us-cert.gov/ncas/current-activity/2015/07/06/Security-Updates-Nodejs-and-iojs 概要 Node.js および io.js の UTF-8 のデコーダの処理には脆弱性があります。結 果として、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行う可能性があり ます。 対象となる製品およびバージョンは以下の通りです。 - node.js-v0.12.6 より前のバージョン - io.js-v2.3.3 より前のバージョン - io.js-v1.8.3 より前のバージョン この問題は、開発者が提供する修正済みのバージョンに該当する製品を更新す ることで解決します。詳細は、開発者が提供する情報を参照してください。 関連文書 (英語) Node.js Node v0.12.6 (Stable) http://blog.nodejs.org/2015/07/03/node-v0-12-6-stable/ io.js ChangeLog 2015-07-04, Version 2.3.3, @Fishrock123 https://github.com/nodejs/io.js/blob/v2.3.3/CHANGELOG.md io.js ChangeLog 2015-07-04, Version 1.8.3, @rvagg https://github.com/nodejs/io.js/blob/v1.8.3/CHANGELOG.md 【8】LINE@ に意図しないアプリ内関数が呼び出される脆弱性 情報源 Japan Vulnerability Notes JVN#22546110 LINE@ における意図しないアプリ内関数が呼び出される脆弱性 https://jvn.jp/jp/JVN22546110/ 概要 LINE@ には、脆弱性があります。結果として、遠隔の第三者が中間者攻撃を行 うことによって、情報を取得するなどの可能性があります。 対象となるバージョンは以下の通りです。 - Android 版 LINE@ バージョン 1.0.0 - iOS 版 LINE@ バージョン 1.0.0 この問題は、LINE株式会社が提供する修正済みのバージョンに LINE@ を更新 することで解決します。詳細は、LINE株式会社が提供する情報を参照してくだ さい。 関連文書 (日本語) LINE株式会社 ＜セキュリティ情報＞LINE関連アプリのセキュリティ対策完了に関するお知らせ http://official-blog.line.me/ja/archives/36495925.html 【9】複数の ANTLabs InnGate 製品に脆弱性 情報源 CERT/CC Vulnerability Note VU#485324 ANTLabs InnGate gateway device contains SQL injection and reflected cross-site scripting vulnerabilities https://www.kb.cert.org/vuls/id/485324 概要 複数の ANTLabs InnGate 製品には、SQL インジェクションとクロスサイトス クリプティングの脆弱性があります。結果として、遠隔の第三者が、データベー スに対して任意のクエリを実行したり、ユーザのブラウザ上で任意のスクリプ トを実行したりする可能性があります。 対象となる製品は以下の通りです。 - IG3100 model 3100, model 3101 - InnGate 3.00 E-Series, 3.01 E-Series, 3.02 E-Series, 3.10 E-Series - InnGate 3.01 G-Series, 3.10 G-Series - SSG 4 - SG 4 この問題は、ANTLabs が提供する修正済みのバージョンに該当する製品のファー ムウェアを更新することで解決します。詳細は、ANTLabs が提供する情報を参 照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#92209185 ANTLabs InnGate に複数の脆弱性 https://jvn.jp/vu/JVNVU92209185/ 関連文書 (英語) ANTLabs Advisory: SQL Injection and Reflected Cross Site Scripting Vulnerabilities (CVE-201502849 and CVE-2015-2850) http://www.antlabs.com/advisory-sql-injection-reflected-cross-site-scripting-vulnerabilities/ 【10】Cacti に複数の脆弱性 情報源 Japan Vulnerability Notes JVN#78187936 Cacti におけるクロスサイトスクリプティングの脆弱性 https://jvn.jp/jp/JVN78187936/ Japan Vulnerability Notes JVN#55076671 Cacti におけるクロスサイトリクエストフォージェリの脆弱性 https://jvn.jp/jp/JVN55076671/ Japan Vulnerability Notes JVN#09758120 Cacti におけるクロスサイトスクリプティングの脆弱性 https://jvn.jp/jp/JVN09758120/ 概要 Cacti には、クロスサイトスクリプティングおよびクロスサイトリクエストフォー ジェリの脆弱性があります。結果として、遠隔の第三者が、ユーザのブラウザ 上で任意のスクリプトを実行したり、ユーザに意図しない操作をさせたりする 可能性があります。 対象となるバージョンは以下の通りです。 - Cacti 0.8.8c およびそれ以前 この問題は、The Cacti Group が提供する修正済みのバージョンに Cacti を更 新することで解決します。詳細は、The Cacti Group が提供する情報を参照し てください。 関連文書 (英語) The Cacti Group Release Notes - 0.8.8d http://www.cacti.net/release_notes_0_8_8d.php 【11】Grandstream GXV3611_HD に SQL インジェクションの脆弱性 情報源 CERT/CC Vulnerability Note VU#253708 Grandsteam GXV3611_HD camera is vulnerable to SQL injection https://www.kb.cert.org/vuls/id/253708 概要 Grandstream GXV3611_HD には、SQL インジェクションの脆弱性があります。結 果として、遠隔の第三者が任意の SQL コマンドを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Grandstream GXV3611_HD ファームウェアバージョン 1.0.3.6 およびそれ以前 この問題は、Grandstream が提供する修正済みのバージョンに Grandstream GXV3611_HD のファームウェアを更新することで解決します。詳細は、Grandstream が提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#97426101 Grandstream GXV3611_HD カメラに SQL インジェクションの脆弱性 https://jvn.jp/vu/JVNVU97426101/ ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○PHP 5.5 系最後のリリース 2015年7月10日、PHP 5.5 系最後のリリースとなる 5.5.27 が公開されました。 これ以降、5.5 系は約 1 年間、セキュリティ対応のみのサポートを行う体制と なり、5.6 系への移行が推奨されています。 この機会に、お使いの PHP のバージョンや運用体制の確認を行うことをおすす めします。 参考文献 (日本語) The PHP Group PHP 5.5.x から PHP 5.6.x への移行 https://secure.php.net/manual/ja/migration56.php 参考文献 (英語) The PHP Group PHP 5.5.27 released https://secure.php.net/archive/2015.php#id2015-07-10-2 ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2015 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJVpbVPAAoJEDF9l6Rp7OBI0N8H/3XLSbniBSt+ctwd5b6v0rkH LAC8ek5kh302PewtJZItcfCSkNuTyQ+jCUdDWhedV37lYpdqrdUGi8zJEdO1ijux 9TFJanLaMkDwwRBnb4YS1lLVuTHm9stu3ngt7FJUAU2vTzdYTpOhkPP9wOMqeOIe +V6v0ljF4ZhCEjh6YOn+De4J7M6V7pvQBSzQA3kC53v464ZZ4TFmP7fZ6DKL/hKm +fZSJMWZM7hLgHglNIuYOHDrhXnWqrtueg79EvZbkVMEiqP2H5a8jC5l7msv0HRq b+gYJC7h6DPJCjUct8slB9kPA2OMKF0HBBg/RhmR1hTJSRmI0KVUaRNsRa3Ej8s= =aMyc -----END PGP SIGNATURE-----