JPCERT-WR-2018-50012018-12-272018-12-162018-12-22Microsoft Internet Explorer にスクリプトエンジンのメモリ破損の脆弱性
Microsoft Internet Explorer には、スクリプトエンジンのメモリ破損の脆弱
性があります。結果として、遠隔の第三者が任意のコードを実行する可能性が
あります。
対象となる製品およびバージョンは次のとおりです。
- Internet Explorer 11
- Windows 10 Version 1703 for 32-bit Systems
- Windows 10 Version 1703 for x64-based Systems
- Windows 10 Version 1803 for 32-bit Systems
- Windows 10 Version 1803 for x64-based Systems
- Windows 10 Version 1803 for ARM64-based Systems
- Windows 10 Version 1809 for 32-bit Systems
- Windows 10 Version 1809 for x64-based Systems
- Windows 10 Version 1809 for ARM64-based Systems
- Windows Server 2019
- Windows 10 Version 1709 for 32-bit Systems
- Windows 10 Version 1709 for 64-based Systems
- Windows 10 Version 1709 for ARM64-based Systems
- Windows 10 for 32-bit Systems
- Windows 10 for x64-based Systems
- Windows 10 Version 1607 for 32-bit Systems
- Windows 10 Version 1607 for x64-based Systems
- Windows Server 2016
- Windows 7 for 32-bit Systems Service Pack 1
- Windows 7 for x64-based Systems Service Pack 1
- Windows 8.1 for 32-bit systems
- Windows 8.1 for x64-based systems
- Windows RT 8.1
- Windows Server 2008 R2 for x64-based Systems Service Pack 1
- Windows Server 2012 R2
- Internet Explorer 10
- Windows Server 2012
- Internet Explorer 9
- Windows Server 2008 for 32-bit Systems Service Pack 2
- Windows Server 2008 for x64-based Systems Service Pack 2
この問題は、Microsoft Update 等を用いて、更新プログラムを適用すること
で解決します。詳細は、Microsoft が提供する情報を参照してください。
MicrosoftCVE-2018-8653 | スクリプト エンジンのメモリ破損の脆弱性https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/CVE-2018-8653JPCERT/CC Alert 2018-12-20Microsoft Internet Explorer の脆弱性 (CVE-2018-8653) に関する注意喚起https://www.jpcert.or.jp/at/2018/at180051.htmlCERT/CC Vulnerability Note VU#573168Microsoft Internet Explorer scripting engine JScript memory corruption vulnerabilityhttps://kb.cert.org/vuls/id/573168/Cisco Adaptive Security Appliance (ASA) に権限昇格の脆弱性
Cisco Adaptive Security Appliance (ASA) には、権限昇格の脆弱性がありま
す。結果として、遠隔の第三者が Web 管理インターフェイスを使用して、当
該製品から設定ファイルを取得するなどの可能性があります。
対象となるバージョンは次のとおりです。
- Cisco Adaptive Security Appliance (ASA) 9.4.4.29 より前のバージョン
- Cisco Adaptive Security Appliance (ASA) 9.6.4.20 より前のバージョン
- Cisco Adaptive Security Appliance (ASA) 9.8.3.18 より前のバージョン
- Cisco Adaptive Security Appliance (ASA) 9.9.2.36 より前のバージョン
- Cisco Adaptive Security Appliance (ASA) 9.10.1.7 より前のバージョン
なお、既にサポートが終了している Cisco Adaptive Security Appliance
(ASA) 9.4 系より前のバージョン、9.5 系および 9.7 系も、本脆弱性の影響
を受けるとのことです。該当のバージョンを使用している場合は、サポート対
象のバージョンをご使用ください。
この脆弱性は、該当する製品で Web 管理アクセスが有効な場合にのみ、影響
を受けるとのことです。
この問題は、Cisco Adaptive Security Appliance (ASA) を Cisco が提供す
る修正済みのバージョンに更新することで解決します。詳細は、Cisco が提供
する情報を参照してください。
Cisco Security AdvisoryCisco Adaptive Security Appliance Software Privilege Escalation Vulnerabilityhttps://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20181219-asa-privesc東芝ライテック製ホームゲートウェイに複数の脆弱性
東芝ライテック株式会社が提供するホームゲートウェイには、複数の脆弱性が
あります。結果として、第三者が当該製品を root 権限で操作するなどの可能
性があります。
対象となる製品およびバージョンは次のとおりです。
- 東芝ホームゲートウェイ HEM-GW16A 1.2.9 およびそれ以前
- 東芝ホームゲートウェイ HEM-GW26A 1.2.9 およびそれ以前
この問題は、該当する製品を東芝ライテック株式会社が提供する修正済みのバー
ジョンに更新することで解決します。詳細は、東芝ライテック株式会社が提供
する情報を参照してください。
東芝ライテック株式会社東芝ホームゲートウェイの脆弱性についてhttps://www.tlt.co.jp/tlt/information/seihin/notice/defect/20181219/20181219.htm横河電機製 Vnet/IP オープン通信ドライバにサービス運用妨害 (DoS) の脆弱性
横河電機株式会社が提供する Vnet/IP オープン通信ドライバには、サービス
運用妨害 (DoS) の脆弱性があります。結果として、遠隔の第三者が Vnet/IP
オープン通信ドライバの通信機能を停止させる可能性があります。
対象となる製品およびバージョンは次のとおりです。
- CENTUM CS 3000 (R3.05.00 から R3.09.50 まで)
- CENTUM CS 3000 Small (R3.05.00 から R3.09.50 まで)
- CENTUM VP (R4.01.00 から R6.03.10 まで)
- CENTUM VP Small (R4.01.00 から R6.03.10 まで)
- CENTUM VP Basic (R4.01.00 から R6.03.10 まで)
- Exaopc (R3.10.00 から R3.75.00 まで)
- PRM (R2.06.00 から R3.31.00 まで)
- ProSafe-RS (R1.02.00 から R4.02.00 まで)
- FAST/TOOLS (R9.02.00 から R10.02.00 まで)
- B/M9000VP (R6.03.01 から R8.01.90 まで)
この問題は、該当する製品を横河電機株式会社が提供する修正済みのバージョン
に更新するか、パッチを適用することで解決します。詳細は、横河電機株式会
社が提供する情報を参照してください。
横河電機株式会社YSAR-18-0008: Vnet/IPオープン通信ドライバにサービス運用妨害(DoS)の脆弱性https://web-material3.yokogawa.com/YSAR-18-0008-J.jp.pdfファイルシステムドライバ Dokan にスタックバッファオーバーフローの脆弱性
オープンソースのファイルシステムドライバである Dokan には、スタックベー
スのバッファオーバーフローの脆弱性があります。結果として、第三者が権限
を昇格する可能性があります。
対象となるバージョンは次のとおりです。
- Dokan version 1.0.0.5000 から 1.2.0.1000 まで
この問題は、Dokan を開発者が提供する修正済みのバージョンに更新すること
で解決します。詳細は、開発者が提供する情報を参照してください。
DokanRelease 1.2.1.1000 - dokan-dev/dokany - GitHubhttps://github.com/dokan-dev/dokany/releases/tag/v1.2.1.1000Dokansys - Fix Buffer Overflow by adding mount length path checkhttps://github.com/dokan-dev/dokany/commit/4954cc0a3299b20274ac64bf52d6c285a1f40b0fcordova-plugin-ionic-webview にパストラバーサルの脆弱性
Ionic が提供する cordova-plugin-ionic-webview には、パストラバーサルの
脆弱性があります。結果として、遠隔の第三者が、本脆弱性の影響を受ける
cordova-plugin-ionic-webview を使用する iOS アプリケーションを介して、
機微な情報を取得する可能性があります。
対象となるバージョンは次のとおりです。
- cordova-plugin-ionic-webview 2.2.0 より前のバージョン
ただし、開発者によると次のバージョンは影響を受けないとのことです。
- 2.0.0-beta.0
- 2.0.0-beta.1
- 2.0.0-beta.2
- 2.1.0-0
この問題は、Ionic が提供する修正済みの cordova-plugin-ionic-webview を
取り込み、iOS アプリケーションを作成することで解決します。詳細は、
npm, Inc. が提供するアドバイザリを参照してください。
npm, Inc. Path Traversal cordova-plugin-ionic-webviewhttps://www.npmjs.com/advisories/746ionic-teamGithub: ionic-team/cordova-plugin-ionic-webviewhttps://github.com/ionic-team/cordova-plugin-ionic-webviewPgpoolAdmin にアクセス制限不備の脆弱性
PgPool Global Development Group が提供する PgpoolAdmin には、アクセス
制限不備の脆弱性があります。結果として、当該製品にアクセス可能な第三者
が、ログイン認証を回避し、PostgreSQL データベースの管理者権限を取得す
る可能性があります。
対象となるバージョンは次のとおりです。
- PgpoolAdmin 4.0 およびそれ以前
この問題は、該当する製品を PgPool Global Development Group が提供する
修正済みのバージョンに更新することで解決します。詳細は、PgPool Global
Development Group が提供する情報を参照してください。
PgPool Global Development Grouppgpool Wikihttps://pgpool.net/jp/MsiAdvertiseProduct に権限昇格の脆弱性
Microsoft が提供する MsiAdvertiseProduct には、競合状態に起因する権限
昇格の脆弱性があります。結果として、本脆弱性の影響を受ける製品にログイ
ン可能な第三者が ACL で保護されているファイルを読み取る可能性があります。
対象となる製品は次のとおりです。
- Microsoft Windows
2018年12月26日現在、この問題に対する解決策は提供されていません。
Microsoft からの情報に注意し、対策済みのバージョンが公開された場合は速
やかに適用することをおすすめします。
JPCERT/CC が「2017年度 CSIRT構築および運用における実態調査」を公開
2018年12月18日(火)、JPCERT/CC は「2017年度 CSIRT構築および運用における
実態調査」に関する報告書を公開しました。この報告書は、日本シーサート協
議会(NCA)の協力のもと、NCA に加盟している CSIRT を対象に、アンケート
形式による CSIRT 構築および運用における実態調査を実施し、その調査結果
に対する分析をまとめたものです。
新たに CSIRT を構築しようとしている方々だけではなく、既に CSIRT を運用
している組織においても、次の段階に向けた検討、活動の改善の参考資料とし
てご活用ください。 JPCERT/CCCSIRT構築および運用における実態調査https://www.jpcert.or.jp/research/CSIRT-survey.html