-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2016-1701 JPCERT/CC 2016-04-27 <<< JPCERT/CC WEEKLY REPORT 2016-04-27 >>> ―――――――――――――――――――――――――――――――――――――― ■04/17(日)〜04/23(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】2016年4月 Oracle Critical Patch Update について 【2】複数の Cisco 製品にサービス運用妨害 (DoS) の脆弱性 【3】Symantec Messaging Gateway に複数の脆弱性 【4】HP Data Protector に任意のコードが実行可能な脆弱性 【5】Electron に Node モジュール読み込みに関する問題 【6】スマートフォンアプリ「Photopt」に SSL サーバ証明書の検証不備の脆弱性 【今週のひとくちメモ】デジタル・フォレンジック研究会が「証拠保全ガイドライン第５版」公開 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2016/wr161701.html https://www.jpcert.or.jp/wr/2016/wr161701.xml ============================================================================ 【1】2016年4月 Oracle Critical Patch Update について 情報源 US-CERT Current Activity Oracle Releases Security Bulletin https://www.us-cert.gov/ncas/current-activity/2016/04/19/Oracle-Releases-Security-Bulletin 概要 Oracle から Oracle Java SE を含む複数の製品およびコンポーネントの脆弱 性に対応した Oracle Critical Patch Update Advisory が公開されました。 詳細は、Oracle が提供する情報を参照してください。 関連文書 (日本語) Oracle Oracle Critical Patch Update Advisory - April 2016 http://www.oracle.com/technetwork/jp/topics/ojkbcpuapr2016-2995215-ja.html JPCERT/CC Alert 2016-04-20 2016年4月 Oracle Java SE のクリティカルパッチアップデートに関する注意喚起 https://www.jpcert.or.jp/at/2016/at160018.html 【2】複数の Cisco 製品にサービス運用妨害 (DoS) の脆弱性 情報源 US-CERT Current Activity Cisco Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2016/04/20/Cisco-Releases-Security-Updates 概要 複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、 サービス運用妨害 (DoS) 攻撃を行う可能性があります。 対象となる製品およびバージョンは以下の通りです。 - Cisco AireOS 4.1 から 7.4.120.0 まで - Cisco AireOS 7.5 系のバージョン - Cisco AireOS 7.6.100.0 - Cisco ASA 5500-X シリーズ次世代ファイアウォール - Cisco Catalyst 6500 シリーズ / 7600 シリーズ向け ASA サービス モジュール - Cisco 適応型セキュリティ仮想アプライアンス (ASAv) - Cisco WLC 7.2 系のバージョン - Cisco WLC 7.3 系のバージョン - Cisco WLC 7.4.140.0(MD) より前の 7.4 系のバージョン - Cisco WLC 7.5 系のバージョン - Cisco WLC 7.6 系のバージョン - Cisco WLC 8.0.115.0(ED) より前の 8.0 系のバージョン - Cisco WebEx Meetings Server 1.x 系のバージョン - Cisco WebEx Meetings Server 2.x 系のバージョン - Cisco Jabber - Cisco Adaptive Security Appliance (ASA) ソフトウェア - Cisco IOS XE ソフトウェア - Cisco IP Phone 88x1 シリーズ - Cisco DX シリーズ IP Phone - Cisco IP Phone 88x5 シリーズ - Cisco Unified 7800 シリーズ IP Phone - Cisco Unified 8831 シリーズ IP Conference Phone - Cisco Unified 8961 IP Phone - Cisco Unified 9951 IP Phone - Cisco Unified 9971 IP Phone - Cisco Unified Communications Manager (UCM) - Cisco Unified Communications Manager Session Management Edition (SME) - Cisco Unified IP Phone 7900 シリーズ - Cisco Unified IP Phone 8941 および 8945 (SIP) - Cisco Unified Wireless IP Phone - Cisco Unity Connection (UC) この問題は、Cisco が提供する修正済みのバージョンに、該当する製品を更新 することで解決します。詳細は、Cisco が提供する情報を参照してください。 関連文書 (英語) Cisco Security Advisory Cisco Wireless LAN Controller Management Interface Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160420-wlc Cisco Security Advisory Cisco Adaptive Security Appliance Software DHCPv6 Relay Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160420-asa-dhcpv6 Cisco Security Advisory Cisco Wireless LAN Controller Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160420-bdos Cisco Security Advisory Cisco Wireless LAN Controller HTTP Parsing Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160420-htrd Cisco Security Advisory Multiple Cisco Products libSRTP Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160420-libsrtp 【3】Symantec Messaging Gateway に複数の脆弱性 情報源 US-CERT Current Activity Symantec Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2016/04/19/Symantec-Releases-Security-Updates 概要 Symantec Messaging Gateway には、複数の脆弱性があります。結果として、 遠隔の第三者が、任意のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Symantec Messaging Gateway 10.6.0-7 およびそれ以前 この問題は、Symantec が提供する修正済みのバージョンに、Symantec Messaging Gateway を更新することで解決します。詳細は、Symantec が提供 する情報を参照してください。 関連文書 (英語) Symantec Security Advisories Relating to Symantec Products - Symantec Messaging Gateway Multiple Security Issues https://www.symantec.com/security_response/securityupdates/detail.jsp?fid=security_advisory&pvid=security_advisory&year=&suid=20160418_00 【4】HP Data Protector に任意のコードが実行可能な脆弱性 情報源 CERT/CC Vulnerability Note VU#267328 HP Data Protector does not perform authentication and contains an embedded SSL private key https://www.kb.cert.org/vuls/id/267328 概要 HP Data Protector には、複数の脆弱性があります。結果として、遠隔の第三 者が、任意のコードを実行したり、中間者攻撃を行ったりするなどの可能性が あります。 対象となるバージョンは以下の通りです。他のバージョンでもこの問題の影響 を受ける可能性があります。 - HP Data Protector 7.03_108 より前の 7 系のバージョン - HP Data Protector 8.15 より前の 8 系のバージョン - HP Data Protector 9.06 より前の 9 系のバージョン この問題は、HP が提供する修正済みのバージョンに、HP Data Protector を 更新することで解決します。詳細は、HP が提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#97620397 HP Data Protector に複数の脆弱性 https://jvn.jp/vu/JVNVU97620397/ 関連文書 (英語) HP HPSBGN03580 rev.1 - HP Data Protector, Remote Code Execution, Remote Unauthorized Disclosure of Information https://h20564.www2.hpe.com/hpsc/doc/public/display?docId=emr_na-c05085988 【5】Electron に Node モジュール読み込みに関する問題 情報源 Japan Vulnerability Notes JVN#00324715 Electron における Node モジュール読み込みに関する問題 https://jvn.jp/jp/JVN00324715/ 概要 Electron には、Node モジュール読み込みに関する問題があります。結果とし て、遠隔の第三者が、細工された Node モジュールを読み込ませることで、ア プリケーションが持つ権限で任意の JavaScript を実行する可能性があります。 対象となるバージョンは以下の通りです。 - Electron 0.33.5 より前のバージョン この問題は、開発者が提供する修正済みのバージョンに、Electron を更新し、 アプリケーションをリビルドすることで解決します。詳細は、開発者が提供す る情報を参照してください。 関連文書 (英語) Electron Prevent Node from adding paths outside the app to search paths #2976 https://github.com/electron/electron/pull/2976 【6】スマートフォンアプリ「Photopt」に SSL サーバ証明書の検証不備の脆弱性 情報源 Japan Vulnerability Notes JVN#11815655 スマートフォンアプリ「Photopt」における SSL サーバ証明書の検証不備の脆弱性 https://jvn.jp/jp/JVN11815655/ 概要 スマートフォンアプリ「Photopt」には、SSL サーバ証明書の検証不備の脆弱 性があります。結果として、遠隔の第三者が、中間者攻撃を行うことで、暗号 通信を盗聴する可能性があります。 対象となるバージョンは以下の通りです。 - Android アプリ「Photopt」 1.0.0 および 1.1.0 この問題は、エヌ・ティ・ティ・コミュニケーションズ株式会社が提供する修 正済みのバージョンに、Photopt を更新することで解決します。詳細は、エヌ・ ティ・ティ・コミュニケーションズ株式会社が提供する情報を参照してくださ い。 関連文書 (日本語) エヌ・ティ・ティ・コミュニケーションズ株式会社 Androidアプリをご利用のお客様へアップデートのお願い https://mypocket.ntt.com/photopt/info/info_001.html ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○デジタル・フォレンジック研究会が「証拠保全ガイドライン第５版」公開 2016年4月21日、デジタル・フォレンジック研究会は、「証拠保全ガイドライン 第５版」を公開しました。このガイドラインは、インシデント発生時に最初に 電磁的記録を保全する実務者向けに書かれたもので、事前準備やインシデント 発生直後の対応、対象物の収集・取得・保全など、証拠保全のための手順を解 説しています。 参考文献 (日本語) デジタル・フォレンジック研究会 「証拠保全ガイドライン第５版」公開のお知らせ https://digitalforensic.jp/2016/04/21/df-guidline-5th/ ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2016 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJXIAduAAoJEDF9l6Rp7OBIQj4H/j6N/z0iKToHjk1Ha7nE+wME bwXEDLlcBlt1yaYqpCh17qcoAprm005yGvOQ4JEVqV8JdQorPieFyqshWkUBqTjf in8P36eywQx49zELEcvIHTuWn27mIMQ8iP+WghNO/C3lwsvzzPZN49J9cTXwY+X9 CyWIA+W1G0Qs6m9PXpoklNb/kqiZ+FCYM6/4hOk297X56iZeeUuS6P5TRK3Jy7He MeyQPM4qVYzietHdGcWrwZNZfyV08kggpMIRBwrVS7ZXltYM/dtFby0JZjI32WiF rW0+ccz4sUnm/oOKbGE/oBk4jb5Ow+3nMvE4am33YnH/kcMrXgoDrW09qzCw3bA= =RzRb -----END PGP SIGNATURE-----