-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2018-4101 JPCERT/CC 2018-10-24 <<< JPCERT/CC WEEKLY REPORT 2018-10-24 >>> ―――――――――――――――――――――――――――――――――――――― ■10/14(日)〜10/20(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】2018年 10月 Oracle Critical Patch Update について 【2】複数の VMware 製品に脆弱性 【3】複数の Cisco 製品に脆弱性 【4】Google Chrome に複数の脆弱性 【5】Ruby に複数の脆弱性 【6】Drupal に複数の脆弱性 【7】libssh に認証回避の脆弱性 【8】FileZen に複数の脆弱性 【9】オムロン製 CX-Supervisor に複数の脆弱性 【10】Symantec Web Isolation にクロスサイトスクリプティングの脆弱性 【11】YukiWiki に複数の脆弱性 【12】「第18回迷惑メール対策カンファレンス」開催のご案内 【今週のひとくちメモ】PHP 5.6 系および 7.0 系が年内にサポート終了 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2018/wr184101.html https://www.jpcert.or.jp/wr/2018/wr184101.xml ============================================================================ 【1】2018年 10月 Oracle Critical Patch Update について 情報源 US-CERT Current Activity Oracle Releases October 2018 Security Bulletin https://www.us-cert.gov/ncas/current-activity/2018/10/16/Oracle-Releases-October-2018-Security-Bulletin 概要 Oracle から複数の製品およびコンポーネントに含まれる脆弱性に対応した Oracle Critical Patch Update Advisory が公開されました。 詳細は、Oracle が提供する情報を参照してください。 関連文書 (日本語) JPCERT/CC Alert 2018-10-17 2018年10月 Oracle 製品のクリティカルパッチアップデートに関する注意喚起 https://www.jpcert.or.jp/at/2018/at180042.html 関連文書 (英語) Oracle Oracle Critical Patch Update Advisory - October 2018 https://www.oracle.com/technetwork/security-advisory/cpuoct2018-4428296.html 【2】複数の VMware 製品に脆弱性 情報源 US-CERT Current Activity VMware Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2018/10/16/VMware-Releases-Security-Updates 概要 複数の VMware 製品には、脆弱性があります。結果として、ゲスト OS のユー ザがホスト OS 上で任意のコードを実行する可能性があります。 対象となる製品およびバージョンは次のとおりです。 - VMware vSphere ESXi 6.7 系のバージョン - VMware vSphere ESXi 6.5 系のバージョン - VMware vSphere ESXi 6.0 系のバージョン - VMware Workstation Pro / Player 14 系のバージョン - VMware Fusion Pro / Fusion 10 系のバージョン この問題は、該当する製品を VMware が提供する修正済みのバージョンに更新 するか、パッチを適用することで解決します。詳細は、VMware が提供する情 報を参照してください。 関連文書 (英語) VMware Security Advisories VMSA-2018-0026 https://www.vmware.com/security/advisories/VMSA-2018-0026.html 【3】複数の Cisco 製品に脆弱性 情報源 US-CERT Current Activity Cisco Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2018/10/17/Cisco-Releases-Security-Updates 概要 複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者がサー ビス運用妨害 (DoS) 攻撃を行うなどの可能性があります。 影響度 High の脆弱性情報の対象となる製品は次のとおりです。 - Cisco Wireless LAN Controllers - Cisco Firepower 4100 Series Next-Generation Firewall - Cisco Firepower 9300 Security Appliance - Cisco MDS 9000 Series Multilayer Switches - Cisco Nexus 2000 Series Switches - Cisco Nexus 3000 Series Switches - Cisco Nexus 3500 Platform Switches - Cisco Nexus 3600 Platform Switches - Cisco Nexus 5500 Platform Switches - Cisco Nexus 5600 Platform Switches - Cisco Nexus 6000 Platform Switches - Cisco Nexus 7000 Series Switches - Cisco Nexus 7700 Series Switches - Cisco Nexus 9000 Series Switches in standalone NX-OS mode - Cisco Nexus 9000 Series Fabric Switches in Application Centric Infrastructure (ACI) mode - Cisco Nexus 9500 R-Series Line Cards and Fabric Modules - Cisco Unified Computing System (UCS) 6100 Series Fabric Interconnects - Cisco UCS 6200 Series Fabric Interconnects - Cisco UCS 6300 Series Fabric Interconnects - Cisco Access Points 上記製品以外にも、影響度 Medium の複数の脆弱性情報が公開されています。 こちらの対象製品の情報は、Cisco が提供するアドバイザリ情報を参照してく ださい。また、影響度 Critical の脆弱性情報が 1件公開されていますが、 2018年10月23日時点では、対象となる製品は調査中となっております。 この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新 することで解決します。詳細は、Cisco が提供する情報を参照してください。 関連文書 (英語) Cisco Security Advisory libssh Authentication Bypass Vulnerability Affecting Cisco Products: October 2018 https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181019-libssh Cisco Security Advisory Cisco Wireless LAN Controller Software GUI Privilege Escalation Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181017-wlc-gui-privesc Cisco Security Advisory Cisco Wireless LAN Controller Software Control and Provisioning of Wireless Access Points Protocol Information Disclosure Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181017-wlc-capwap-memory-leak Cisco Security Advisory Cisco Wireless LAN Controller Software Control and Provisioning of Wireless Access Points Protocol Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181017-wlc-capwap-dos Cisco Security Advisory Cisco NX-OS Software Authenticated Simple Network Management Protocol Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181017-nxos-snmp Cisco Security Advisory Cisco NX-OS Software for Nexus 5500, 5600, and 6000 Series Switches Precision Time Protocol Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181017-nexus-ptp-dos Cisco Security Advisory Cisco FXOS and NX-OS Software Link Layer Discovery Protocol Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181017-fxnx-os-dos Cisco Security Advisory Cisco IOS Access Points Software 802.11r Fast Transition Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181017-ap-ft-dos 【4】Google Chrome に複数の脆弱性 情報源 US-CERT Current Activity Google Releases Security Update for Chrome https://www.us-cert.gov/ncas/current-activity/2018/10/16/Google-Releases-Security-Update-Chrome 概要 Google Chrome には、複数の脆弱性があります。結果として、遠隔の第三者が 任意のコードを実行するなどの可能性があります。 対象となるバージョンは次のとおりです。 - Google Chrome 70.0.3538.67 より前のバージョン この問題は、Google Chrome を Google が提供する修正済みのバージョンに更 新することで解決します。詳細は、Google が提供する情報を参照してくださ い。 関連文書 (英語) Google Stable Channel Update for Desktop https://chromereleases.googleblog.com/2018/10/stable-channel-update-for-desktop.html 【5】Ruby に複数の脆弱性 情報源 Ruby Ruby 2.3.8 リリース https://www.ruby-lang.org/ja/news/2018/10/17/ruby-2-3-8-released/ Ruby Ruby 2.4.5 リリース https://www.ruby-lang.org/ja/news/2018/10/17/ruby-2-4-5-released/ Ruby Ruby 2.5.2 リリース https://www.ruby-lang.org/ja/news/2018/10/17/ruby-2-5-2-released/ 概要 Ruby には、複数の脆弱性があります。 対象となるバージョンは次のとおりです。 - Ruby 2.3.7 およびそれ以前の 2.3 系のバージョン - Ruby 2.4.4 およびそれ以前の 2.4 系のバージョン - Ruby 2.5.1 およびそれ以前の 2.5 系のバージョン - Ruby 2.6.0-preview2 およびそれ以前の Ruby 2.6 プレビュー - revision 65139 より前の開発版 この問題は、Ruby を Ruby が提供する修正済みのバージョンに更新すること で解決します。なお、Ruby 2.5 系の修正済みバージョンである Ruby 2.5.2 にはパッケージの問題があるとのことで、Ruby 2.5.3 が続いて公開されてい ます。詳細は、Ruby が提供する情報を参照してください。 関連文書 (日本語) Ruby CVE-2018-16395: OpenSSL::X509::Name の同一性判定が機能していない脆弱性について https://www.ruby-lang.org/ja/news/2018/10/17/openssl-x509-name-equality-check-does-not-work-correctly-cve-2018-16395/ Ruby CVE-2018-16396: Array#pack および String#unpack の一部のフォーマット指定においてtaintフラグが伝播しない脆弱性について https://www.ruby-lang.org/ja/news/2018/10/17/not-propagated-taint-flag-in-some-formats-of-pack-cve-2018-16396/ Ruby Ruby 2.5.3 リリース https://www.ruby-lang.org/ja/news/2018/10/18/ruby-2-5-3-released/ 【6】Drupal に複数の脆弱性 情報源 US-CERT Current Activity Drupal Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2018/10/18/Drupal-Releases-Security-Updates 概要 Drupal には、複数の脆弱性があります。結果として、遠隔の第三者が任意の コードを実行するなどの可能性があります。 対象となるバージョンは次のとおりです。 - Drupal 8.6.2 より前のバージョン - Drupal 8.5.8 より前のバージョン - Drupal 7.60 より前のバージョン なお、すでにサポートが終了している Drupal 8.5 系より前の Drupal 8 のマ イナーバージョンにおいても本脆弱性の影響を受けるとのことです。 この問題は、Drupal を Drupal が提供する修正済みのバージョンに更新する ことで解決します。詳細は、Drupal が提供する情報を参照してください。 関連文書 (英語) Drupal Drupal Core - Multiple Vulnerabilities - SA-CORE-2018-006 https://www.drupal.org/sa-core-2018-006 【7】libssh に認証回避の脆弱性 情報源 US-CERT Current Activity libssh Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2018/10/19/libssh-Releases-Security-Updates 概要 libssh には、認証回避の脆弱性があります。結果として、遠隔の第三者が認 証を回避する可能性があります。 対象となるバージョンは次のとおりです。 - libssh version 0.8.4 より前の 0.8 系のバージョン - libssh version 0.7.6 より前の 0.7 系のバージョン - libssh version 0.6 系のバージョン この問題は、libssh を The libssh team が提供する修正済みのバージョンに 更新することで解決します。詳細は、The libssh team が提供する情報を参照 してください。 関連文書 (英語) The libssh team libssh 0.8.4 and 0.7.6 security and bugfix release https://www.libssh.org/2018/10/16/libssh-0-8-4-and-0-7-6-security-and-bugfix-release/ The libssh team Authentication bypass in server code https://www.libssh.org/security/advisories/CVE-2018-10933.txt 【8】FileZen に複数の脆弱性 情報源 Japan Vulnerability Notes JVN#95355683 FileZen における複数の脆弱性 https://jvn.jp/jp/JVN95355683/ 概要 FileZen には、複数の脆弱性があります。結果として、遠隔の第三者が任意の OS コマンドを実行するなどの可能性があります。 対象となるバージョンは次のとおりです。 - FileZen V3.0.0 から V4.2.1 まで この問題は、FileZen を株式会社ソリトンシステムズが提供する修正済みのバー ジョンに更新することで解決します。詳細は、株式会社ソリトンシステムズが 提供する情報を参照してください。 関連文書 (日本語) 株式会社ソリトンシステムズ FileZenのための緊急パッチ(V4.2.2)適用のお願い https://www.soliton.co.jp/support/2018/003328.html 【9】オムロン製 CX-Supervisor に複数の脆弱性 情報源 Japan Vulnerability Notes JVNVU#99213938 オムロン製 CX-Supervisor に複数の脆弱性 https://jvn.jp/vu/JVNVU99213938/ 概要 オムロン株式会社が提供する CX-Supervisor には、複数の脆弱性があります。 結果として、遠隔の第三者が任意のコードを実行する可能性があります。 対象となるバージョンは次のとおりです。 - CX-Supervisor Version 3.4.1 およびそれ以前 この問題は、CX-Supervisor をオムロン株式会社が提供する修正済みのバージョン に更新することで解決します。詳細は、オムロン株式会社が提供する情報を参 照してください。 関連文書 (英語) オムロン株式会社 Release Notes For CX-Supervisor 3.4.2 https://www.myomron.com/index.php?article=1709&action=kb 【10】Symantec Web Isolation にクロスサイトスクリプティングの脆弱性 情報源 Japan Vulnerability Notes JVN#58005743 Symantec Web Isolation におけるクロスサイトスクリプティングの脆弱性 https://jvn.jp/jp/JVN58005743/ 概要 Symantec Web Isolation には、クロスサイトスクリプティングの脆弱性があ ります。結果として、遠隔の第三者が、ユーザのブラウザ上で任意のスクリプ トを実行する可能性があります。 対象となるバージョンは次のとおりです。 - Web Isolation 1.11 なお、Portal Isolation モードの設定がされている場合のみ、本脆弱性の影 響を受けるとのことです。 この問題は、Symantec Web Isolation を Symantec Corporation が提供する 修正済みのバージョンに更新することで解決します。詳細は、Symantec Corporation が提供する情報を参照してください。 関連文書 (英語) Symantec Corporation Reflected XSS Vulnerability in Web Isolation https://support.symantec.com/en_US/article.SYMSA1464.html 【11】YukiWiki に複数の脆弱性 情報源 Japan Vulnerability Notes JVN#36343375 YukiWiki における複数の脆弱性 https://jvn.jp/jp/JVN36343375/ 概要 YukiWiki には、複数の脆弱性があります。結果として、遠隔の第三者が、任 意のスクリプトを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする 可能性があります。 対象となるバージョンは次のとおりです。 - YukiWiki 2.1.3 およびそれ以前 YukiWiki の開発は終了しています。YukiWiki の使用を停止してください。 関連文書 (日本語) 結城浩 YukiWikiの運用終了のお知らせ http://www.hyuki.com/yukiwiki/ 【12】「第18回迷惑メール対策カンファレンス」開催のご案内 情報源 一般財団法人インターネット協会 IAjapan 第18回 迷惑メール対策カンファレンス https://www.iajapan.org/anti_spam/event/2018/conf_18th/ 概要 11月8日に「第18回迷惑メール対策カンファレンス」が開催されます。一般財 団法人インターネット協会 迷惑メール対策委員会が主催する今回のカンファ レンスは、国際的なセキュリティ対策団体である M3AAWG (Messaging, Malware and Mobile Anti-Abuse Working Group) の日本の地域ワーキンググ ループ JPAAWG (Japan Anti-Abuse Working Group) の立ち上げイベントとの 同時開催となります。JPCERT/CC は本カンファレンスを後援しています。 10月22日 (月) から一般登録の受付を開始しています。詳細は、一般財団法人 インターネット協会が提供する情報を参照してください。 ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○PHP 5.6 系および 7.0 系が年内にサポート終了 PHP 5.6 系および 7.0 系のサポートは年内に終了します。The PHP Group に よると、PHP 5.6 系のサポートは 2018年12月31日まで、PHP 7.0 系のサポー トは 2018年12月3日までとなっています。 該当の PHP のバージョンを使用している場合、サポート期間が終了する前に、 サポート対象のバージョンへ移行することをおすすめします。詳細は、The PHP Group が提供する情報を参照してください。 参考文献 (英語) The PHP Group Supported Versions https://secure.php.net/supported-versions.php ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2018 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJbz7bqAAoJEDF9l6Rp7OBIubAH/3ScIinA8ym8QwPGxtcTbI0B 6jVBuUeVHWRK9igXhmhbRHs8otnfT/oIbDNG43cMJUX3ppTO9Fj+IrNjMhJW5YpQ Ln6SyFpG0QQNMdpmR2KLejYrsAb5nA4zYLk/XdyT1ejjpLfoF0tYshQAQlyjisIP F+Lu1glV6YDZ+KDl7wJDCTzOpGEeP3nd6zeFFa+xgORuqX7esRu3356f/ni62Weq kviupIVdfYkS7nKA42gNkAnjWTZE+QWkLmnKp2dFuM7BTrxe50JdnphKr4koMNwX 06jEUc6qBqsgaudVVttIM22OAOrH0biMhAgfCrNUcwnzyA3yPfM2eXx+cBbtNtU= =BNNG -----END PGP SIGNATURE-----