-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2016-1801 JPCERT/CC 2016-05-11 <<< JPCERT/CC WEEKLY REPORT 2016-05-11 >>> ―――――――――――――――――――――――――――――――――――――― ■04/24(日)〜05/07(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】OpenSSL に複数の脆弱性 【2】ImageMagick に任意のコードを実行可能な脆弱性 【3】Apache Struts2 に任意のコードを実行可能な脆弱性 【4】ケータイキット for Movable Type に OS コマンドインジェクションの脆弱性 【5】Firefox に複数の脆弱性 【6】NTP daemon (ntpd) に複数の脆弱性 【7】PHP に複数の脆弱性 【8】WordPress に複数の脆弱性 【9】複数の Cisco 製品に脆弱性 【10】Xcode にバッファオーバーフローの脆弱性 【11】libarchive にバッファオーバーフローの脆弱性 【12】Little CMS 2 に double-free の脆弱性 【13】Accellion File Transfer Appliance (FTA) に複数の脆弱性 【14】ManageEngine Password Manager Pro にアクセス制限不備の脆弱性 【15】SaAT Netizen にダウンロードファイル検証不備の脆弱性 【16】Allround Automations PL/SQL Developer が HTTP 経由でアップデートする問題 【17】Android アプリ「kintone mobile for Android」に複数の脆弱性 【今週のひとくちメモ】Apache Struts 2 の脆弱性を標的としたアクセスが増加 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2016/wr161801.html https://www.jpcert.or.jp/wr/2016/wr161801.xml ============================================================================ 【1】OpenSSL に複数の脆弱性 情報源 US-CERT Current Activity OpenSSL Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2016/05/03/OpenSSL-Releases-Security-Advisory 概要 OpenSSL には、複数の脆弱性があります。結果として、遠隔の第三者が、任意 のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの 可能性があります。 対象となるバージョンは以下の通りです。 - OpenSSL 1.0.2h より前のバージョン - OpenSSL 1.0.1t より前のバージョン この問題は、使用している OS のベンダや配布元が提供する修正済みのバージョン に OpenSSL を更新することで解決します。詳細は、開発者が提供する情報を 参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#93163809 OpenSSL に複数の脆弱性 https://jvn.jp/vu/JVNVU93163809/ 関連文書 (英語) OpenSSL OpenSSL Security Advisory [3rd May 2016] https://www.openssl.org/news/secadv/20160503.txt 【2】ImageMagick に任意のコードを実行可能な脆弱性 情報源 US-CERT Current Activity ImageMagick Vulnerability https://www.us-cert.gov/ncas/current-activity/2016/05/04/ImageMagick-Vulnerability 概要 ImageMagick には、入力値検証不備に起因する脆弱性があります。結果として、 遠隔の第三者が、細工したコンテンツをユーザに開かせることで、任意のコー ドを実行する可能性があります。 対象となるバージョンは以下の通りです。 - ImageMagick 6.9.3-10 より前のバージョン - ImageMagick 7.0.1-1 より前のバージョン この問題は、ImageMagick が提供する修正済みのバージョンに ImageMagick を更新することで解決します。なお、2016年5月10日現在、本件とは別の脆弱 性の修正を行った ImageMagick 6.9.4-0 および 7.0.1-2 がリリースされてい ます。詳細は、ImageMagick が提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#92998929 ImageMagick に入力値検証不備の脆弱性 https://jvn.jp/vu/JVNVU92998929/ JPCERT/CC Alert 2016-05-06 ImageMagick の脆弱性 (CVE-2016-3714) に関する注意喚起 https://www.jpcert.or.jp/at/2016/at160021.html 関連文書 (英語) ImageMagick ImageMagick Security Issue http://www.imagemagick.org/discourse-server/viewtopic.php?f=4&t=29588 【3】Apache Struts2 に任意のコードを実行可能な脆弱性 情報源 Japan Vulnerability Notes JVNVU#91375252 Apache Struts2 に任意のコード実行の脆弱性 https://jvn.jp/vu/JVNVU91375252/ 概要 Apache Struts2 には、脆弱性があります。結果として、遠隔の第三者が、任 意のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Struts 2.3.20 から 2.3.28 まで (Struts 2.3.20.3 および Struts 2.3.24.3 を除く) この問題は、Apache が提供する修正済みのバージョンに Struts を更新する ことで解決します。詳細は、Apache が提供する情報を参照してください。 関連文書 (日本語) JPCERT/CC Alert 2016-04-28 Apache Struts 2 の脆弱性 (S2-032) に関する注意喚起 https://www.jpcert.or.jp/at/2016/at160020.html 関連文書 (英語) Apache Apache Struts 2 Documentation S2-032 https://struts.apache.org/docs/s2-032.html 【4】ケータイキット for Movable Type に OS コマンドインジェクションの脆弱性 情報源 Japan Vulnerability Notes JVNVU#92116866 ケータイキット for Movable Type に OS コマンドインジェクションの脆弱性 https://jvn.jp/vu/JVNVU92116866/ 概要 ケータイキット for Movable Type には、OS コマンドインジェクションの脆 弱性があります。結果として、遠隔の第三者が、任意のコードを実行する可能 性があります。 対象となるバージョンは以下の通りです。 - ケータイキット for Movable Type 1.35 から 1.641 まで この問題は、アイデアマンズ株式会社が提供する修正済みのバージョンにケー タイキット for Movable Type を更新することで解決します。なお、2016年5月 10日現在、本件とは別の脆弱性の修正を行ったケータイキット for Movable Type 1.66 がリリースされています。詳細は、アイデアマンズ株式会社が提供 する情報を参照してください。 関連文書 (日本語) アイデアマンズ株式会社 [重要] ケータイキット for Movable Type 1.65 の提供を開始 https://www.ideamans.com/release/20160423/ アイデアマンズ株式会社 ImageMagickの脆弱性に対応したケータイキット for Movable Type Ver.1.66の提供を開始 https://www.ideamans.com/release/20160510/ JPCERT/CC Alert 2016-04-26 ケータイキット for Movable Type の脆弱性 (CVE-2016-1204) に関する注意喚起 https://www.jpcert.or.jp/at/2016/at160019.html 【5】Firefox に複数の脆弱性 情報源 US-CERT Current Activity Mozilla Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2016/04/26/Mozilla-Releases-Security-Updates 概要 Firefox には、複数の脆弱性があります。結果として、遠隔の第三者が、任意 のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの 可能性があります。 対象となるバージョンは以下の通りです。 - Firefox 46 より前のバージョン - Firefox ESR 38.8 より前のバージョン - Firefox ESR 45.1 より前のバージョン この問題は、Mozilla が提供する修正済みのバージョンに Firefox を更新す ることで解決します。詳細は、Mozilla が提供する情報を参照してください。 関連文書 (日本語) Mozilla Japan Mozilla Foundation セキュリティアドバイザリ (2016 年 4 月 26 日) http://www.mozilla-japan.org/security/announce/ 【6】NTP daemon (ntpd) に複数の脆弱性 情報源 CERT/CC Vulnerability Note VU#718152 NTP.org ntpd contains multiple vulnerabilities https://www.kb.cert.org/vuls/id/718152 概要 NTP daemon (ntpd) には、脆弱性があります。結果として、遠隔の第三者が、 細工したパケットを送信することで、サービス運用妨害 (DoS) 攻撃を行った り、設定を変更したりするなどの可能性があります。 対象となるバージョンは以下の通りです。 - ntp-4.2.8p7 より前のバージョン この問題は、Network Time Protocol Project が提供する修正済みのバージョン に ntpd を更新することで解決します。詳細は、Network Time Protocol Project が提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#91176422 NTP daemon (ntpd) に複数の脆弱性 https://jvn.jp/vu/JVNVU91176422/ 関連文書 (英語) Network Time Protocol Project April 2016 NTP-4.2.8p7 Security Vulnerability Announcement (Medium) http://support.ntp.org/bin/view/Main/SecurityNotice#April_2016_NTP_4_2_8p7_Security 【7】PHP に複数の脆弱性 情報源 PHP Group PHP 7.0.6 Released https://secure.php.net/archive/2016.php#id2016-04-29-1 PHP Group PHP 5.6.21 is available https://secure.php.net/archive/2016.php#id2016-04-28-2 PHP Group PHP 5.5.35 Release https://secure.php.net/archive/2016.php#id2016-04-28-1 概要 PHP には、複数の脆弱性があります。結果として、遠隔の第三者が、任意のコー ドを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可能性 があります。 対象となるバージョンは以下の通りです。 - PHP 7.0.6 より前のバージョン - PHP 5.6.21 より前のバージョン - PHP 5.5.35 より前のバージョン この問題は、開発者や配布元が提供する修正済みのバージョンに PHP を更新 することで解決します。詳細は、開発者や配布元が提供する情報を参照してく ださい。 関連文書 (英語) PHP Group PHP 7 ChangeLog Version 7.0.6 https://secure.php.net/ChangeLog-7.php#7.0.6 PHP Group PHP 5 ChangeLog Version 5.6.21 https://secure.php.net/ChangeLog-5.php#5.6.21 PHP Group PHP 5 ChangeLog Version 5.5.35 https://secure.php.net/ChangeLog-5.php#5.5.35 【8】WordPress に複数の脆弱性 情報源 WordPress.org WordPress 4.5.2 セキュリティリリース https://ja.wordpress.org/2016/05/07/wordpress-4-5-2/ 概要 WordPress には、複数の脆弱性があります。結果として、遠隔の第三者が、ユー ザのブラウザ上で任意のスクリプトを実行するなどの可能性があります。 対象となるバージョンは以下の通りです。 - WordPress 4.5.2 より前のバージョン この問題は、WordPress が提供する修正済みのバージョンに WordPress を更 新することで解決します。詳細は、WordPress が提供する情報を参照してくだ さい。 【9】複数の Cisco 製品に脆弱性 情報源 US-CERT Current Activity Cisco Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2016/05/04/Cisco-Releases-Security-Updates 概要 複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、 設定を変更したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があ ります。 対象となる製品およびバージョンは以下の通りです。 - TelePresence EX シリーズ - TelePresence Integrator C シリーズ - TelePresence MX シリーズ - TelePresence Profile シリーズ - TelePresence SX シリーズ - TelePresence SX Quick Set シリーズ - TelePresence VX Clinical Assistant - TelePresence VX Tactical - Cisco ASA 5585-X FirePOWER SSP 向け Firepower System Software - Cisco FirePOWER 7000 シリーズアプライアンス - Cisco FirePOWER 8000 シリーズアプライアンス - Cisco FirePOWER 7000 シリーズアプライアンスのネットワーク向け Cisco AMP（高度なマルウェア防御） - Cisco FirePOWER 8000 シリーズアプライアンスのネットワーク向け Cisco AMP（高度なマルウェア防御） この問題は、Cisco が提供する修正済みのバージョンに該当する製品を更新す ることで解決します。詳細は、Cisco が提供する情報を参照してください。 関連文書 (英語) Cisco Security Advisory Cisco TelePresence XML Application Programming Interface Authentication Bypass Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160504-tpxml Cisco Security Advisory Cisco Adaptive Security Appliance with FirePOWER Services Kernel Logging Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160504-fpkern Cisco Security Advisory Cisco FirePOWER System Software Packet Processing Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160504-firepower 【10】Xcode にバッファオーバーフローの脆弱性 情報源 US-CERT Current Activity Apple Releases Security Update https://www.us-cert.gov/ncas/current-activity/2016/05/03/Apple-Releases-Security-Update 概要 Xcode には、ヒープバッファオーバーフローの脆弱性があります。結果として、 遠隔の第三者が、任意のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Xcode 7.3.1 より前のバージョン この問題は、Apple が提供する修正済みのバージョンに Xcode を更新するこ とで解決します。詳細は、Apple が提供する情報を参照してください。 関連文書 (英語) Apple About the security content of Xcode 7.3.1 https://support.apple.com/en-us/HT206338 【11】libarchive にバッファオーバーフローの脆弱性 情報源 CERT/CC Vulnerability Note VU#862384 libarchive contains a heap-based buffer overflow due to improper input validation https://www.kb.cert.org/vuls/id/862384 概要 libarchive には、入力値検証不備に起因するバッファオーバーフローの脆弱 性があります。結果として、遠隔の第三者が、細工した ZIP ファイルをユー ザに解凍させることで、任意のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - libarchive version 3.2.0 より前のバージョン この問題は、開発者が提供する修正済みのバージョンに libarchive を更新す ることで解決します。詳細は、開発者が提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#93657776 libarchive の入力値検証不備に起因するバッファオーバーフローの脆弱性 https://jvn.jp/vu/JVNVU93657776/ 関連文書 (英語) Github Issue #656: Fix CVE-2016-1541, VU#862384 https://github.com/libarchive/libarchive/commit/d0331e8e5b05b475f20b1f3101fe1ad772d7e7e7 【12】Little CMS 2 に double-free の脆弱性 情報源 CERT/CC Vulnerability Note VU#369800 Little CMS 2 DefaultICCintents double-free vulnerability http://www.kb.cert.org/vuls/id/369800 概要 Little CMS 2 には、double-free の脆弱性があります。結果として、遠隔の 第三者が、細工した ICC プロファイルをユーザに処理させることで、任意の コードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - Little CMS 2.5 およびそれ以前の 2 系 (liblcms2) この問題は、開発者や使用している OS のベンダ、配布元が提供する修正済み のバージョンに Little CMS 2 を更新することで解決します。詳細は、開発者 が提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#92923836 Little CMS 2 の DefaultICCintents 関数に double-free の脆弱性 https://jvn.jp/vu/JVNVU92923836/ Ubuntu USN-2961-1: Little CMS vulnerability http://www.ubuntu.com/usn/usn-2961-1/ 【13】Accellion File Transfer Appliance (FTA) に複数の脆弱性 情報源 CERT/CC Vulnerability Note VU#505560 Accellion File Transfer Appliance (FTA) contains multiple vulnerabilities https://www.kb.cert.org/vuls/id/505560 概要 Accellion File Transfer Appliance (FTA) には、脆弱性があります。結果と して、遠隔の第三者が、任意のコードを実行したり、情報を取得したりする可 能性があります。 対象となるバージョンは以下の通りです。 - Accellion File Transfer Appliance、FTA_9_12_40 より前のバージョン この問題は、Accellion が提供する修正済みのバージョンに FTA を更新する ことで解決します。詳細は、Accellion が提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#92314939 Accellion File Transfer Appliance (FTA) に複数の脆弱性 https://jvn.jp/vu/JVNVU92314939/ 【14】ManageEngine Password Manager Pro にアクセス制限不備の脆弱性 情報源 Japan Vulnerability Notes JVNVU#90405898 ManageEngine Password Manager Pro にアクセス制限不備の脆弱性 https://jvn.jp/vu/JVNVU90405898/ 概要 ManageEngine Password Manager Pro には、アクセス制限不備の脆弱性があり ます。結果として、当該製品のユーザが、他のユーザのパスワード履歴を取得 する可能性があります。 対象となるバージョンは以下の通りです。 - Password Manager Pro 8.3.0 (Build 8303) - Password Manager Pro 8.4.0 (Build 8400, 8401, 8402) この問題は、Zoho Corporation が提供する修正済みのバージョンに Password Manager Pro を更新することで解決します。詳細は、Zoho Corporation が提 供する情報を参照してください。 関連文書 (英語) ManageEngine Password Manager Pro - Release Notes Password Manager Pro Release 8.4 (8403) (April, 2016) https://www.manageengine.com/products/passwordmanagerpro/release-notes.html 【15】SaAT Netizen にダウンロードファイル検証不備の脆弱性 情報源 Japan Vulnerability Notes JVNVU#97339542 SaAT Netizen にダウンロードファイル検証不備の脆弱性 https://jvn.jp/vu/JVNVU97339542/ 概要 SaAT Netizen には、ダウンロードファイル検証不備の脆弱性があります。結 果として、遠隔の第三者が、不正なファイルをユーザにダウンロードさせたり、 実行させたりする可能性があります。 対象となるバージョンは以下の通りです。 - SaAT Netizen インストーラ ver.1.2.0.424 およびそれ以前 - SaAT Netizen ver.1.2.0.8 (Build427) およびそれ以前 この問題は、問題のあるバージョンの SaAT Netizen をアンインストールした 上で、ネットムーブ株式会社が提供する修正済みのバージョンをインストール することで解決します。詳細は、ネットムーブ株式会社が提供する情報を参照 してください。 関連文書 (日本語) ネットムーブ株式会社 SaAT Netizen セキュリティアップデートのお知らせ http://www.saat.jp/information/netizen/2016/0426_security_update_info.php 【16】Allround Automations PL/SQL Developer が HTTP 経由でアップデートする問題 情報源 CERT/CC Vulnerability Note VU#229047 Allround Automations PL/SQL Developer v11 performs updates over HTTP https://www.kb.cert.org/vuls/id/229047 概要 Allround Automations PL/SQL Developer には、HTTP 経由でアップデートす る問題があります。結果として、遠隔の第三者が、中間者攻撃を行うことで、 任意のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - PL/SQL Developer version 11 この問題は、Allround Automations が提供する修正済みのバージョンに PL/SQL Developer を更新することで解決します。詳細は、Allround Automations が提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#95625579 Allround Automations PL/SQL Developer が HTTP 経由でアップデートする問題 https://jvn.jp/vu/JVNVU95625579/ 関連文書 (英語) Allround Automations April 22, 2016 - Version 11.0.6 released https://www.allroundautomations.com/plsqldevnew.html#table68 【17】Android アプリ「kintone mobile for Android」に複数の脆弱性 情報源 Japan Vulnerability Notes JVN#89026267 Android アプリ「kintone mobile for Android」における情報管理不備の脆弱性 https://jvn.jp/jp/JVN89026267/ Japan Vulnerability Notes JVN#91816422 Android アプリ「kintone mobile for Android」における SSL サーバ証明書の検証不備の脆弱性 https://jvn.jp/jp/JVN91816422/ 概要 Android アプリ「kintone mobile for Android」には、複数の脆弱性がありま す。結果として、遠隔の第三者が、認証情報を取得したり、中間者攻撃を行う ことで暗号通信を盗聴したりするなどの可能性があります。 対象となるバージョンは以下の通りです。 - Android アプリ「kintone mobile for Android」 1.0.0 から 1.0.5 まで この問題は、サイボウズ株式会社が提供する修正済みのバージョンに Android アプリ「kintone mobile for Android」を更新することで解決します。詳細は、 サイボウズ株式会社が提供する情報を参照してください。 関連文書 (日本語) サイボウズ [CyVDB-1045]認証情報に関する情報漏えいの脆弱性 https://support.cybozu.com/ja-jp/article/9479 サイボウズ [CyVDB-1114]SSLサーバー証明書の検証不備の脆弱性 https://support.cybozu.com/ja-jp/article/9480 ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○Apache Struts 2 の脆弱性を標的としたアクセスが増加 2016年4月27日、警察庁は、「Apache Struts 2の脆弱性を標的としたアクセス の観測について」を公開しました。この文書によれば、本号【3】で紹介した 「Apache Struts2 に任意のコードを実行可能な脆弱性」を標的としていると 思われるアクセスが増加しているとのことです。修正済みのバージョンに Apache Struts を更新することを強く推奨します。 参考文献 (日本語) 警察庁 Apache Struts 2の脆弱性を標的としたアクセスの観測について https://www.npa.go.jp/cyberpolice/detect/pdf/20160427.pdf ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2016 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJXMowUAAoJEDF9l6Rp7OBIEqMIAIZz/nSD/xLv8iti5rBmEfOk Z1gvNM5f+34gzygtb2Taa6QP/2ScbeeiD2MQwGQtjrVfYBkGV0RUBs3+ohE+lMv6 ZEo2ANHHmnz/Gda3THamxrAMAXWecoMhTq5xTVNe4RpBan45RAdQuL/TxRF2rc35 7/1rVP7jbXVVkDnKsNllEL1z+BgCbCDD68ZE5mJbYam8+mgBq7bhuDZAjT5Uh76w tJ+4R9TI3gstgcUrS4/7s9CUDWKDz2KtbDxcAqduJ6Xv1I5ANnDwwKt+nafNdD57 sRPkfGTbjs30GWya0F+KusxIhKvh9cM/BMTNLY7NFeIKf1a1nZXOHchKNifT9lk= =lVbE -----END PGP SIGNATURE-----