US-CERT Current Activity
Internet Systems Consortium (ISC) Releases Security Updates for BIND
https://www.us-cert.gov/ncas/current-activity/2015/09/02/Internet-Systems-Consortium-ISC-Releases-Security-Updates-BIND

概要

ISC BIND 9 には、複数の脆弱性があります。結果として、遠隔の第三者が、サー
ビス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となる製品およびバージョンは以下の通りです。

- BIND 9.0.0 から 9.8.8 まで
- BIND 9.9.0 から 9.9.7-P2 まで
- BIND 9.10.0 から 9.10.2-P3 まで

この問題は、ISC が提供する修正済みのバージョンに BIND 9 を更新すること
で解決します。詳細は、ISC が提供する情報を参照してください。

【2】PowerDNS に脆弱性

情報源

株式会社日本レジストリサービス(JPRS)
PowerDNS Authoritative Serverの脆弱性（DNS応答性能の劣化またはDNSサービスの停止）について（2015年9月3日公開）
http://jprs.jp/tech/security/2015-09-03-powerdns-vuln-packetparsing.html

概要

PowerDNS には、脆弱性があります。結果として、遠隔の第三者が、サービ
ス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは以下の通りです。

- PowerDNS Authoritative Server 3.4.0 から 3.4.5 までのバージョン

この問題は、開発者が提供する修正済みのバージョンに PowerDNS を更新する
ことで解決します。詳細は、開発者が提供する情報を参照してください。

【3】PHP に複数の脆弱性

情報源

PHP Group
PHP 5.6.13 is available
http://php.net/archive/2015.php#id2015-09-04-2

PHP Group
PHP 5.5.29 is available
http://php.net/archive/2015.php#id2015-09-04-3

PHP Group
PHP 5.4.45 Released
http://php.net/archive/2015.php#id2015-09-04-4

概要

PHP には、複数の脆弱性があります。結果として、遠隔の第三者が、任意のコー
ドを実行するなどの可能性があります。

対象となるバージョンは以下の通りです。

- PHP 5.6.13 より前のバージョン
- PHP 5.5.29 より前のバージョン
- PHP 5.4.45 より前のバージョン

この問題は、開発者や配布元が提供する修正済みのバージョンに PHP を更新
することで解決します。詳細は、開発者や配布元が提供する情報を参照してく
ださい。

【4】Apache Struts にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#88408929
Apache Struts におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN88408929/

Japan Vulnerability Notes JVN#95989300
Apache Struts におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN95989300/

概要

Apache Struts には、クロスサイトスクリプティングの脆弱性があります。結
果として、遠隔の第三者が、ユーザのブラウザ上で任意のスクリプトを実行す
る可能性があります。

対象となるバージョンは以下の通りです。

- Apache Struts 2.0.0 から 2.3.16.3 まで

この問題は、Apache Struts Project が提供する修正済みのバージョンに Apache
Struts を更新することで解決します。詳細は、Apache Struts Project が提
供する情報を参照してください。

【5】複数の Cisco 製品に脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2015/09/03/Cisco-Releases-Security-Updates

概要

複数の Cisco 製品には、任意のファイルを上書き可能な脆弱性があります。
結果として、遠隔の第三者が、サービス運用妨害 (DoS) 攻撃を行うなどの可
能性があります。

対象となる製品およびバージョンは以下の通りです。

- Cisco IMC Supervisor 1.0.0.1 より前のバージョン
- Cisco UCS Director 5.2.0.1 より前のバージョン

この問題は、Cisco が提供する修正済みのバージョンに該当する製品を更新す
ることで解決します。詳細は、Cisco が提供する情報を参照してください。

【6】UPnP を実装した複数のルータ製品にセキュリティ機能の実装が不十分な問題

情報源

CERT/CC Vulnerability Note VU#361684
Router devices do not implement sufficient UPnP authentication and security
http://www.kb.cert.org/vuls/id/361684

概要

UPnP を実装した複数のルータ製品には、セキュリティ機能の実装が不十分な
問題があります。結果として、遠隔の第三者が、任意の操作を行うなどの可能
性があります。

対象となる製品およびバージョンは複数存在します。なお、本件の報告者が独
自に調査した結果を公開しています。

詳細は、各開発者が提供する情報を参照してください。以下の回避策を適用す
ることで、本脆弱性の影響を軽減することが可能です。

- 不明な URL にアクセスしない
- 当該製品の UPnP を無効にする

【7】Seagate wireless hard-drive 製品に複数の脆弱性

情報源

CERT/CC Vulnerability Note VU#903500
Seagate wireless hard-drives contain multiple vulnerabilities
https://www.kb.cert.org/vuls/id/903500

概要

Seagate wireless hard-drive 製品には、複数の脆弱性があります。結果とし
て、遠隔の第三者が、任意の操作を行うなどの可能性があります。

対象となる製品およびバージョンは以下の通りです。他のバージョンのファー
ムウェアもこの問題の影響を受ける可能性があります。

- Seagate Wireless Plus Mobile Storage
  (ファームウェアバージョン 2.2.0.005 および 2.3.0.014)
- Seagate Wireless Mobile Storage
  (ファームウェアバージョン 2.2.0.005 および 2.3.0.014)
- LaCie FUEL
  (ファームウェアバージョン 2.2.0.005 および 2.3.0.014)

この問題は、Seagate Technology LLC が提供する修正済みのバージョンにファー
ムウェアを更新することで解決します。詳細は、Seagate Technology LLC が
提供する情報を参照してください。

【8】desknet's NEO にディレクトリトラバーサルの脆弱性

情報源

Japan Vulnerability Notes JVN#09283606
desknet's NEO におけるディレクトリトラバーサルの脆弱性
https://jvn.jp/jp/JVN09283606/

概要

株式会社ネオジャパンが提供する desknet's NEO には、ディレクトリトラバー
サルの脆弱性があります。結果として、遠隔の第三者が、サーバ上の任意の
ファイルにアクセスする可能性があります。

対象となるバージョンは以下の通りです。

- desknet's NEO V2.0R1.0 から V2.5R1.4 まで

この問題は、株式会社ネオジャパンが提供する修正済みのバージョンに
desknet's NEO を更新することで解決します。詳細は、株式会社ネオジャパン
が提供する情報を参照してください。

【9】OrientDB および OrientDB Studio に複数の脆弱性

情報源

CERT/CC Vulnerability Note VU#845332
OrientDB and Studio prior to version 2.1.1 contain multiple vulnerabilities
https://www.kb.cert.org/vuls/id/845332

概要

OrientDB および OrientDB Studio には、複数の脆弱性があります。結果とし
て、遠隔の第三者がユーザの意図しない操作を行ったり、管理者権限を持って
いないユーザが管理者権限を取得したりするなどの可能性があります。

対象となるバージョンは以下の通りです。

- OrientDB Server Community Edition 2.1.1 より前のバージョンにバンドルされた Studio
- OrientDB Server Community Edition 2.0.15 より前のバージョンにバンドルされた Studio

この問題は、Orient Technologies が提供する修正済みのバージョンに該当製
品を更新し、以下の対策を適用することで解決します。

- X-Frame-Options ヘッダを追加する

詳細は、Orient Technologies が提供する情報を参照してください。

【10】OpenDocMan におけるクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#00015036
OpenDocMan におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN00015036/

概要

OpenDocMan には、クロスサイトスクリプティングの脆弱性があります。結果と
して、遠隔の第三者が、ユーザのブラウザ上で任意のスクリプトを実行する可
能性があります。

対象となるバージョンは以下の通りです。

- OpenDocMan 1.3.4 より前のバージョン

この問題は、OpenDocMan が提供する修正済みのバージョンに OpenDocMan を
更新することで解決します。詳細は、OpenDocMan が提供する情報を参照して
ください。

■今週のひとくちメモ

○警察庁「平成27年上半期のインターネットバンキンクに係る不正送金事犯の発生状況等について」公開

2015年9月3日、警察庁は、「平成27年上半期のインターネットバンキンクに係
る不正送金事犯の発生状況等について」を公開しました。このレポートによる
と、平成27年上半期は、信用金庫、信用組合、農業協同組合、労働金庫を利用
した不正送金の被害が拡大しており、特に信用金庫の法人口座の被害が急増し
ているとのことです。

参考文献 (日本語)

警察庁
平成27年上半期のインターネットバンキングに係る不正送金事犯の発生状況等について
https://www.npa.go.jp/cyber/pdf/H270903_banking.pdf

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2015-09-09号

<<< JPCERT/CC WEEKLY REPORT 2015-09-09 >>>

■08/30(日)〜09/05(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

○警察庁「平成27年上半期のインターネットバンキンクに係る不正送金事犯の発生状況等について」公開

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次