-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2016-4801 JPCERT/CC 2016-12-07 <<< JPCERT/CC WEEKLY REPORT 2016-12-07 >>> ―――――――――――――――――――――――――――――――――――――― ■11/27(日)〜12/03(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】Mozilla 製品群に複数の脆弱性 【2】複数のアイ・オー・データ製のネットワークカメラ製品に脆弱性 【3】複数のソニー製のネットワークカメラ製品に脆弱性 【4】複数の日本年金機構製品のインストーラに脆弱性 【5】Android アプリ「kintone mobile for Android」に SSL サーバ証明書の検証不備の脆弱性 【6】WNC01WH に複数の脆弱性 【今週のひとくちメモ】LDAP サーバを探索するアクセスの増加 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2016/wr164801.html https://www.jpcert.or.jp/wr/2016/wr164801.xml ============================================================================ 【1】Mozilla 製品群に複数の脆弱性 情報源 US-CERT Current Activity Mozilla Releases Security Update https://www.us-cert.gov/ncas/current-activity/2016/11/28/Mozilla-Releases-Security-Update US-CERT Current Activity Mozilla Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2016/11/30/Mozilla-Releases-Security-Updates 概要 Mozilla 製品群には、複数の脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可 能性があります。 対象となる製品およびバージョンは以下の通りです。 - Mozilla Firefox 50.0.2 より前のバージョン - Mozilla Firefox ESR 45.5.1 より前のバージョン - Mozilla Thunderbird 45.5.1 より前のバージョン この問題は、該当する製品を Mozilla が提供する修正済みのバージョンに更 新することで解決します。また、以下の回避策を適用することで、本脆弱性の 影響を軽減することが可能です。 - JavaScript を無効化する - Microsoft Enhanced Mitigation Experience Toolkit (EMET) を利用する 詳細は、Mozilla が提供する情報を参照してください。 また、Mozilla Firefox を組み込んでいる以下の製品にも同様の脆弱性があり ます。 - Tor Browser バージョン 6.0.7 より前のバージョン この問題は、該当する製品を Tor が提供する修正済みのバージョンに更新す ることで解決します。詳細は、Tor が提供する情報を参照してください。 関連文書 (日本語) Mozilla Japan Mozilla Foundation セキュリティアドバイザリ (2016 年 11 月 28 日 および 2016 年 11 月 30 日) http://www.mozilla-japan.org/security/announce/ Japan Vulnerability Notes JVNVU#93847769 Mozilla Firefox における解放済みメモリ使用 (use-after-free) の脆弱性 https://jvn.jp/vu/JVNVU93847769/ 関連文書 (英語) Tor Tor Browser 6.0.7 is released https://blog.torproject.org/blog/tor-browser-607-released 【2】複数のアイ・オー・データ製のネットワークカメラ製品に脆弱性 情報源 Japan Vulnerability Notes JVN#25059363 アイ・オー・データ製の複数のネットワークカメラ製品に複数の脆弱性 https://jvn.jp/jp/JVN25059363/ 概要 アイ・オー・データ製の複数のネットワークカメラ製品には、複数の脆弱性が あります。結果として、製品にログイン可能な攻撃者が、任意のコードを実行 したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があります。 対象となる製品およびバージョンは以下の通りです。 - TS-WRLP ファームウェア バージョン 1.01.02 およびそれ以前 - TS-WRLA ファームウェア バージョン 1.01.02 およびそれ以前 この問題は、該当する製品のファームウェアを、株式会社アイ・オー・データ 機器が提供する修正済みのバージョンに更新することで解決します。詳細は、 株式会社アイ・オー・データ機器が提供する情報を参照してください。 関連文書 (日本語) 株式会社アイ・オー・データ機器 ネットワークカメラ「TS-WRLP」「TS-WRLA」における複数の脆弱性について http://www.iodata.jp/support/information/2016/ts-wrlap_2/ 【3】複数のソニー製のネットワークカメラ製品に脆弱性 情報源 Japan Vulnerability Notes JVNVU#96435227 ソニー製の複数のネットワークカメラ製品に脆弱性 https://jvn.jp/vu/JVNVU96435227/ 概要 ソニー製の複数のネットワークカメラ製品には、脆弱性があります。結果とし て、当該製品にアクセス可能な第三者がシステム権限を取得する可能性があり ます。 対象となる製品は複数存在します。 この問題は、該当する製品のファームウェアを、ソニー株式会社が提供する修 正済みのバージョンに更新することで解決します。詳細は、ソニー株式会社が 提供する情報を参照してください。 関連文書 (日本語) ソニー株式会社 ネットワークカメラをご愛用のお客様へ セキュリティー対策ファームウェアバージョンアップのお願い https://www.sony.jp/snc/info/20161128.html 【4】複数の日本年金機構製品のインストーラに脆弱性 情報源 Japan Vulnerability Notes JVN#08868688 日本年金機構製の複数のインストーラにおける DLL 読み込みに関する脆弱性 https://jvn.jp/jp/JVN08868688/ 概要 日本年金機構製の複数のインストーラには、DLL 読み込みに関する脆弱性があ ります。結果として、第三者が任意のコードを実行する可能性があります。 対象となる製品およびバージョンは以下の通りです。 - 仕様チェックプログラム(社会保険) Ver. 9.00 およびそれ以前 - 届書印刷プログラム Ver. 5.00 およびそれ以前 - 媒体データパスワード設定プログラム Ver. 1.00 およびそれ以前 - 届書作成プログラム Ver. 15.00 およびそれ以前 この問題は、日本年金機構が提供する最新のインストーラを使用することで解 決します。詳細は、日本年金機構が提供する情報を参照してください。 関連文書 (日本語) 日本年金機構 仕様チェックプログラム（社会保険） https://www.nenkin.go.jp/denshibenri/setsumei/20150415.html#cmscheck 日本年金機構 届書印刷プログラム https://www.nenkin.go.jp/denshibenri/setsumei/20140630.html 日本年金機構 媒体データパスワード設定プログラム https://www.nenkin.go.jp/denshibenri/setsumei/0104.html 日本年金機構 届書作成プログラム https://www.nenkin.go.jp/denshibenri/setsumei/20150105-03.html 【5】Android アプリ「kintone mobile for Android」に SSL サーバ証明書の検証不備の脆弱性 情報源 Japan Vulnerability Notes JVN#20252219 Android アプリ「kintone mobile for Android」における SSL サーバ証明書の検証不備の脆弱性 https://jvn.jp/jp/JVN20252219/ 概要 Android アプリ「kintone mobile for Android」には、SSL サーバ証明書の検 証不備の脆弱性があります。結果として、遠隔の第三者が、中間者攻撃によっ て暗号通信を盗聴するなどの可能性があります。 対象となるバージョンは以下の通りです。 - Android アプリ「kintone mobile for Android」 1.0.6 およびそれ以前 この問題は、kintone mobile for Android を、サイボウズ株式会社が提供す る修正済みのバージョンに更新することで解決します。詳細は、サイボウズ株 式会社が提供する情報を参照してください。 関連文書 (日本語) サイボウズ株式会社 [CyVDB-1230]ユーザーログイン後の通信に関する SSLサーバー証明書の検証不備の脆弱性 https://support.cybozu.com/ja-jp/article/9719 【6】WNC01WH に複数の脆弱性 情報源 Japan Vulnerability Notes JVN#40613060 WNC01WH における複数の脆弱性 https://jvn.jp/jp/JVN40613060/ 概要 WNC01WH には、複数の脆弱性があります。結果として、遠隔の第三者が、ユー ザのブラウザ上で任意のスクリプトを実行したり、ユーザの意図しない操作を 実行したりするなどの可能性があります。 対象となるバージョンは以下の通りです。 - WNC01WH ファームウェア バージョン 1.0.0.8 およびそれ以前 この問題は、WNC01WH のファームウェアを、株式会社バッファローが提供する 修正済みのバージョンに更新することで解決します。詳細は、株式会社バッファ ローが提供する情報を参照してください。 関連文書 (日本語) 株式会社バッファロー ネットワークカメラ WNC01WH に関する複数の脆弱性 http://buffalo.jp/support_s/s20161201.html ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○LDAP サーバを探索するアクセスの増加 2016年11月29日、警察庁は「リフレクター攻撃の踏み台となる機器の探索行為 と考えられるアクセスの増加等について」と題したドキュメントを公開しまし た。このドキュメントによると、特定ベンダのルータに対するアクセス増加と ともに、10月中旬から LDAP サーバを狙った「SearchRequest」メッセージの 送信が観測されているとのことです。「SearchRequest」メッセージに応答す る LDAP サーバはリフレクター攻撃の踏み台となる可能性があるため、このド キュメントでは管理者に対し、機器の適切な設定を行うよう呼びかけています。 参考文献 (日本語) 警察庁 リフレクター攻撃の踏み台となる機器の探索行為と考えられるアクセスの増加等について https://www.npa.go.jp/cyberpolice/detect/pdf/20161129.pdf 参考文献 (英語) US-CERT Alert (TA14-017A) UDP-Based Amplification Attacks https://www.us-cert.gov/ncas/alerts/TA14-017A ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2016 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJYR1BMAAoJEDF9l6Rp7OBIJmYH/2npo+1IthLUX4qyyWcW4m7o yTKJDGqCZXNZuRCdQcqwP3hEfDlr3nNeLCyDRton+n2djx6U+OExJVrEXEqI3yo7 1B7J4f1P2G1NWOoYnIuApXjv4KAawmSSl150Tf6ISMTJZTa+gvOlpy92nRSTSRdp fRke3TilT6XY0GMAylALAdkLBt8sVt3RfVs5bNxf7y0njsy0/OlmkcqFn4YinjbK /4ngT0/1dGVEMN61IaQEWFOZNmxueUb+tFy140cj9YN1dMRD9jP6En7XsGEyoOhr svY8Uju7oOouVPbmiviLeDxuebh1ScwR+oWcKKsvmlA5yhjkm1Gn7qLUCKqgJTI= =prup -----END PGP SIGNATURE-----