-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2019-3501 JPCERT/CC 2019-09-11 <<< JPCERT/CC WEEKLY REPORT 2019-09-11 >>> ―――――――――――――――――――――――――――――――――――――― ■09/01(日)〜09/07(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】複数の Cisco 製品に脆弱性 【2】PHP に複数の脆弱性 【3】WordPress に複数の脆弱性 【4】Samba に複数の脆弱性 【5】Mozilla Firefox に複数の脆弱性 【6】Exim にバッファオーバーフローの脆弱性 【7】Supermicro 製 Baseboard Management Controller に複数の脆弱性 【8】GitLab に複数の脆弱性 【9】ISC Kea DHCP サーバに複数の脆弱性 【10】パナソニック製 Video Insight VMS に SQL インジェクションの脆弱性 【今週のひとくちメモ】NICT が NICTER観測レポート2019上半期を公開 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2019/wr193501.html https://www.jpcert.or.jp/wr/2019/wr193501.xml ============================================================================ 【1】複数の Cisco 製品に脆弱性 情報源 US-CERT Current Activity Cisco Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2019/09/05/cisco-releases-security-updates 概要 Cisco が提供する複数の Cisco 製品には、脆弱性があります。結果として、 遠隔の第三者が、任意のコマンドを実行したり、情報を窃取する可能性があり ます。 影響度 High の脆弱性情報の対象となる製品は次のとおりです。 - Cisco Webex Teams for Windows - Cisco Industrial Network Director (IND) ※上記製品以外にも、影響度 Medium の複数の脆弱性情報が公開されています。 これらの対象製品の情報は、Cisco が提供するアドバイザリ情報を参照してく ださい。 この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新 することで解決します。詳細は、Cisco が提供する情報を参照してください。 関連文書 (英語) Cisco Security Advisory Cisco Webex Teams Logging Feature Command Execution Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190904-webex-teams Cisco Security Advisory Cisco Industrial Network Director Configuration Data Information Disclosure Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190904-ind Cisco Security Advisory Cisco Security Advisories and Alerts https://tools.cisco.com/security/center/publicationListing.x 【2】PHP に複数の脆弱性 情報源 US-CERT Current Activity MS-ISAC Releases Advisory on PHP Vulnerabilities https://www.us-cert.gov/ncas/current-activity/2019/09/05/ms-isac-releases-advisory-php-vulnerabilities 概要 PHP には、複数の脆弱性があります。結果として、遠隔の第三者が任意のコー ドを実行するなどの可能性があります。 対象となるバージョンは次のとおりです。 - PHP 7.3.9 より前のバージョン - PHP 7.2.22 より前のバージョン - PHP 7.1.32 より前のバージョン この問題は、PHP を開発者や配布元が提供する修正済みのバージョンに更新す ることで解決します。詳細は、開発者や配布元が提供する情報を参照してくだ さい。 関連文書 (英語) Center for Internet Security Multiple Vulnerabilities in PHP Could Allow for Arbitrary Code Execution https://www.cisecurity.org/advisory/multiple-vulnerabilities-in-php-could-allow-for-arbitrary-code-execution_2019-087/ The PHP Group PHP 7 ChangeLog Version 7.3.9 https://www.php.net/ChangeLog-7.php#7.3.9 The PHP Group PHP 7 ChangeLog Version 7.2.22 https://www.php.net/ChangeLog-7.php#7.2.22 The PHP Group PHP 7 ChangeLog Version 7.1.32 https://www.php.net/ChangeLog-7.php#7.1.32 【3】WordPress に複数の脆弱性 情報源 US-CERT Current Activity WordPress Releases Security Update https://www.us-cert.gov/ncas/current-activity/2019/09/06/wordpress-releases-security-update 概要 WordPress には、複数の脆弱性があります。結果として、遠隔の第三者がユー ザのブラウザ上で任意のスクリプトを実行する可能性があります。 対象となるバージョンは次のとおりです。 - WordPress 5.2.3 より前のバージョン この問題は、WordPress を WordPress が提供する修正済みのバージョンに更 新することで解決します。詳細は、WordPress が提供する情報を参照してくだ さい。 関連文書 (英語) WordPress WordPress 5.2.3 Security and Maintenance Release https://wordpress.org/news/2019/09/wordpress-5-2-3-security-and-maintenance-release/ 【4】Samba に複数の脆弱性 情報源 US-CERT Current Activity Samba Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2019/09/04/samba-releases-security-updates 概要 Samba には、複数の脆弱性があります。結果として、遠隔の第三者が情報を窃 取する可能性があります。 対象となるバージョンは次のとおりです。 - Samba 4.10.8 より前の 4.10 系のバージョン - Samba 4.9.13 より前の 4.9 系のバージョン この問題は、Samba を The Samba Team が提供する修正済みのバージョンに更 新することで解決します。詳細は、The Samba Team が提供する情報を参照し てください。 関連文書 (英語) The Samba Team Combination of parameters and permissions can allow user to escape from the share path definition. https://www.samba.org/samba/security/CVE-2019-10197.html The Samba Team Samba Security Releases https://www.samba.org/samba/history/security.html 【5】Mozilla Firefox に複数の脆弱性 情報源 US-CERT Current Activity Mozilla Releases Security Updates for Firefox and Firefox ESR https://www.us-cert.gov/ncas/current-activity/2019/09/04/mozilla-releases-security-updates-firefox-and-firefox-esr 概要 Mozilla Firefox には、複数の脆弱性があります。結果として、遠隔の第三者 が、任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりす るなどの可能性があります。 対象となるバージョンは次のとおりです。 - Firefox 69 より前のバージョン - Firefox ESR 68.1 より前のバージョン - Firefox ESR 60.9 より前のバージョン この問題は、Mozilla Firefox を Mozilla が提供する修正済みのバージョン に更新することで解決します。詳細は、Mozilla が提供する情報を参照してく ださい。 関連文書 (英語) Mozilla Security vulnerabilities fixed in Firefox 69 https://www.mozilla.org/en-US/security/advisories/mfsa2019-25/ Mozilla Security vulnerabilities fixed in Firefox ESR 68.1 https://www.mozilla.org/en-US/security/advisories/mfsa2019-26/ Mozilla Security vulnerabilities fixed in Firefox ESR 60.9 https://www.mozilla.org/en-US/security/advisories/mfsa2019-27/ 【6】Exim にバッファオーバーフローの脆弱性 情報源 Vulnerability Note VU#672565 Exim fails to properly handle peer DN and SNI in TLS handshakes https://kb.cert.org/vuls/id/672565/ 概要 Exim には、バッファオーバーフローの脆弱性があります。結果として、当該 製品にアクセス可能な第三者が認証を回避し、root 権限で任意のコードを実 行する可能性があります。 対象となるバージョンは次のとおりです。 - Exim 4.92.1 およびそれ以前のバージョン この問題は、Exim を開発者や配布元が提供する修正済みのバージョンに更新 することで解決します。詳細は、開発者や配布元が提供する情報を参照してく ださい。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#98867516 Exim に TLS ハンドシェイク中の DN および SNI の処理が適切に行われない問題 https://jvn.jp/vu/JVNVU98867516/ 関連文書 (英語) US-CERT Current Activity Exim Releases Security Patches https://www.us-cert.gov/ncas/current-activity/2019/09/06/exim-releases-security-patches Exim CVE-2019-15846 https://exim.org/static/doc/security/CVE-2019-15846.txt 【7】Supermicro 製 Baseboard Management Controller に複数の脆弱性 情報源 US-CERT Current Activity Supermicro Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2019/09/04/supermicro-releases-security-updates 概要 Supermicro が提供する Baseboard Management Controller (BMC) には、複数 の脆弱性があります。結果として、遠隔の第三者が、サーバの情報を窃取した り、当該製品が動作するサーバの認証を回避し、サーバを操作したりする可能 性があります。 次にあげる Supermicro 製マザーボードを搭載したシステム上で動作する BMC コンポーネントが影響をうけます。 - Supermicro 製マザーボード X11 世代 - Supermicro 製マザーボード X10 世代 - Supermicro 製マザーボード X9 世代 この問題は、BMC を Supermicro が提供する修正済みのバージョンに更新する ことで解決します。詳細は、Supermicro が提供する情報を参照してください。 関連文書 (日本語) Supermicro BMC/IPMI Security Vulnerability https://www.supermicro.com/support/security_BMC_virtual_media.cfm Supermicro Security Vulnerabilities Table https://www.supermicro.com/support/security_Intel-SA.cfm 【8】GitLab に複数の脆弱性 情報源 GitLab GitLab Security Release: 12.2.3, 12.1.8, and 12.0.8 https://about.gitlab.com/2019/08/29/security-release-gitlab-12-dot-2-dot-3-released/ 概要 GitLab には、複数の脆弱性があります。結果として、第三者が、情報を窃取 したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可能性がありま す。 対象となるバージョンは次のとおりです。 - GitLab 12.2.3 より前のバージョン - GitLab 12.1.8 より前のバージョン - GitLab 12.0.8 より前のバージョン ※情報源によると、上記に記載されていない GitLab 11系以前のバージョンに おいても、影響を受ける脆弱性があるとのことです。 この問題は、GitLab を GitLab が提供する修正済みのバージョンに更新する ことで解決します。詳細は、GitLab が提供する情報を参照してください。 【9】ISC Kea DHCP サーバに複数の脆弱性 情報源 Japan Vulnerability Notes JVNVU#93863470 ISC Kea DHCP サーバにおける複数の脆弱性 https://jvn.jp/vu/JVNVU93863470/ 概要 ISC Kea DHCP サーバには、複数の脆弱性があります。結果として、当該製品 にアクセス可能な第三者がサービス運用妨害 (DoS) 攻撃を行う可能性があり ます。 対象となるバージョンは次のとおりです。 - ISC Kea 1.4.0 から 1.5.0 までのバージョン この問題は、ISC Kea を ISC が提供する修正済みのバージョンに更新するこ とで解決します。詳細は、ISC が提供する情報を参照してください。 関連文書 (英語) ISC Knowledge Base CVE-2019-6472: A packet containing a malformed DUID can cause the kea-dhcp6 server to terminate https://kb.isc.org/docs/cve-2019-6472 ISC Knowledge Base CVE-2019-6473: An invalid hostname option can cause the kea-dhcp4 server to terminate https://kb.isc.org/docs/cve-2019-6473 ISC Knowledge Base CVE-2019-6474: An oversight when validating incoming client requests can lead to a situation where the Kea server will exit when trying to restart https://kb.isc.org/docs/cve-2019-6474 【10】パナソニック製 Video Insight VMS に SQL インジェクションの脆弱性 情報源 Japan Vulnerability Notes JVN#93833849 パナソニック Video Insight VMS における SQL インジェクションの脆弱性 https://jvn.jp/jp/JVN93833849/ 概要 パナソニック株式会社が提供する Video Insight VMS には、SQL インジェク ションの脆弱性があります。結果として、当該製品にログイン可能な第三者が データベースに対し任意の SQL 文を実行する可能性があります。 対象となるバージョンは次のとおりです。 - Video Insight 7.3.2.5 VMS この問題は、パナソニック株式会社が提供する修正済みのバージョンに更新す ることで解決します。詳細は、パナソニック株式会社が提供する情報を参照し てください。 関連文書 (英語) パナソニック株式会社 Release Notes -Video Insight IP Server 7.5 Minor Release http://downloadvi.com/downloads/IPServer/v7.5/75089/v75089RN.pdf ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○NICT が NICTER観測レポート2019上半期を公開 情報通信研究機構 (NICT) は 2019年9月4日、「NICTER観測レポート2019上半 期」を公開しました。2019年1月1日から 2019年6月30日にかけて、NICTER プ ロジェクトの大規模サイバー攻撃観測網 (ダークネット観測網) における観測 結果をまとめています。 参考文献 (日本語) 情報通信研究機構 (NICT) NICTER観測レポート2019上半期 https://blog.nicter.jp/2019/09/nicter-darknet-2019-1h/ ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ -----BEGIN PGP SIGNATURE----- iQIcBAEBCAAGBQJdeD+iAAoJEKntH+qu5CT/cv8QAJCqyobGNpnpiqsgzEzMPCFd zMRYp3XyRxLREOhhFs5S7+0Sy3ZNyrIPUZW3W+PSbwGI25C7Shv0jt0YFWARjytn 6blxejrNdFHi1z+h5yqDCnFul2JiH4fmIfTsG+lnASWCE5yfJptL0GIFr+VsUlBR JsElLnqMIZZe5tXVqLfMDPJB/o9RAU3CpKUgLyn1mG9fMRDxC1LsolAcdWa97y97 qjN6YOyG/r1dATPlxyuoHZ/7nGPGuaAeTArauY6fKIfIDoGye72Df+jFr6gOwc3u q9UY6DE+1SQ7arqPSzVymrVYOH+/vYcM5Ne5JJqByUEa0aqKwy42gJ15nY6SWDtq 82sB2IGqJO4RE+yCTxbRemNsjFGUMUeqsimC1y+FEo3KCsOuGFKAh4g/sJUKQ345 mJGiwngbgDNw3/nkwihGyvMxEPStTtBQvVzt2BYEMpPqlhoMskc3jIP+eoCkOV5f EVmwXrRFe/iccxULilaJMPgB4yfjTnRy+anVB9kFgxJUZ4Db5vvxYaDzfYCwO2eq VkZ/mGHBf588uX+XPxuT08kAGi4Xb+rXaCwHQyKtctf11jNjrdWcWkJSyh/xJ1mC N4PnnLnpoXct3C47mr252eSCiyVuHrukfAKNMAw6wsPBT5Q1IZ6bBPsflHTDu8lu aV+oRuyexoZu8hQHTpbw =C/8A -----END PGP SIGNATURE-----