<<< JPCERT/CC WEEKLY REPORT 2016-04-20 >>>

■04/10(日)〜04/16(土) のセキュリティ関連情報

目　次

【1】複数の Microsoft 製品に脆弱性

【2】Microsoft Windows および Samba の認証機能に脆弱性

【3】複数の Adobe 製品に脆弱性

【4】Cisco UCS Central Software に任意のコマンドを実行可能な脆弱性

【5】複数の Juniper 製品に脆弱性

【6】複数の VMware 製品に脆弱性

【7】QuickTime for Windows に複数のヒープバッファオーバーフローの脆弱性

【8】スマートフォンアプリ「東京スター銀行アプリ」に SSL サーバ証明書の検証不備の脆弱性

【今週のひとくちメモ】ランサムウェア感染を狙った攻撃が急増

【1】複数の Microsoft 製品に脆弱性

情報源

US-CERT Current Activity
Microsoft Releases April 2016 Security Bulletin
https://www.us-cert.gov/ncas/current-activity/2016/04/12/Microsoft-Releases-April-2016-Security-Bulletin

概要

複数の Microsoft 製品には脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行するなどの可能性があります。

対象となる製品は以下の通りです。

- Microsoft Windows
- Internet Explorer
- Microsoft Edge
- Microsoft .NET Framework
- Microsoft Office
- Microsoft Office Services および Web Apps
- Skype for Business
- Microsoft Lync

この問題は、Microsoft Update 等を用いて、更新プログラムを適用すること
で解決します。詳細は、Microsoft が提供する情報を参照してください。

関連文書 (日本語)

マイクロソフト株式会社
2016 年 4 月のマイクロソフト セキュリティ情報の概要
https://technet.microsoft.com/ja-jp/library/security/ms16-apr

JPCERT/CC Alert 2016-04-13
2016年4月 Microsoft セキュリティ情報 (緊急 6件含) に関する注意喚起
https://www.jpcert.or.jp/at/2016/at160017.html

【2】Microsoft Windows および Samba の認証機能に脆弱性

情報源

US-CERT Current Activity
Samba Security Updates Address Badlock Vulnerabilities
https://www.us-cert.gov/ncas/current-activity/2016/04/12/Samba-Security-Updates-Address-Badlock-Vulnerabilities

概要

Microsoft Windows および Samba の認証機能には、脆弱性があります。結果
として、遠隔の第三者が、中間者攻撃によって、認証されたユーザになりすま
したり、SAM データベースにアクセスしたり、サービス運用妨害 (DoS) 攻撃
を行ったりするなどの可能性があります。

対象となる製品およびバージョンは以下の通りです。

- MS16-047 を適用していない Microsoft Windows
- Samba 4.2.10 より前のバージョンの 4.2 系
- Samba 4.3.7 より前のバージョンの 4.3 系
- Samba 4.4.1 より前のバージョンの 4.4 系

この問題は、開発者が提供する修正済みのバージョンに該当する製品を更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。な
お、2016年4月19日現在、Samba 4.1 およびそれ以前のバージョンの開発は終
了しており、修正済みのバージョンはリリースされません。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#92232364
Microsoft Windows および Samba の認証機能に脆弱性 ("Badlock")
https://jvn.jp/vu/JVNVU92232364/

関連文書 (英語)

Samba
Samba 4.4.2, 4.3.8 and 4.2.11 Security Releases Available for Download
https://www.samba.org/samba/latest_news.html#4.4.2

【3】複数の Adobe 製品に脆弱性

情報源

US-CERT Current Activity
Adobe Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2016/04/12/Adobe-Releases-Security-Updates-Creative-Cloud-Desktop-Application

概要

複数の Adobe 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のファイルを読み取ったり、改ざんしたりするなどの可能性があります。

対象となる製品およびバージョンは以下の通りです。

- Creative Cloud デスクトップアプリケーション 3.5.1.209 およびそれ以前 (Windows 版、Macintosh 版)
- RoboHelp Server 9.0.1 (Windows 版)

この問題は、Adobe が提供する修正済みのバージョンに該当する製品を更新す
ることで解決します。詳細は、Adobe が提供する情報を参照してください。

関連文書 (日本語)

Adobe セキュリティ情報
Creative Cloud デスクトップアプリケーションに関するセキュリティアップデート公開
https://helpx.adobe.com/jp/security/products/creative-cloud/apsb16-11.html

Adobe セキュリティ情報
RoboHelp Server 用セキュリティ修正プログラム公開
https://helpx.adobe.com/jp/security/products/robohelp-server/apsb16-12.html

【4】Cisco UCS Central Software に任意のコマンドを実行可能な脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Update
https://www.us-cert.gov/ncas/current-activity/2016/04/13/Cisco-Releases-Security-Update

概要

Cisco UCS Central Software には、入力値を適切に検証しない脆弱性があり
ます。結果として、遠隔の第三者が、任意のコマンドを実行する可能性があり
ます。

対象となるバージョンは以下の通りです。

- Cisco UCS Central Software 1.3(1b) およびそれ以前

この問題は、Cisco が提供する修正済みのバージョンに Cisco UCS Central
Software を更新することで解決します。詳細は、Cisco が提供する情報を参
照してください。

関連文書 (英語)

Cisco Security Advisory
Cisco Unified Computing System Central Software Arbitrary Command Execution Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160413-ucs

【5】複数の Juniper 製品に脆弱性

情報源

AusCERT Security Bulletins
ESB-2016.0956 - [Juniper] Juniper ScreenOS: Multiple vulnerabilities
https://www.auscert.org.au/render.html?it=33514

AusCERT Security Bulletins
ESB-2016.0957 - [Juniper] Juniper Junos: Multiple vulnerabilities
https://www.auscert.org.au/render.html?it=33518

AusCERT Security Bulletins
ESB-2016.0958 - [Juniper] Juniper CTP Series: Multiple vulnerabilities
https://www.auscert.org.au/render.html?it=33522

AusCERT Security Bulletins
ESB-2016.0959 - [Juniper] Juniper QFX Series: Multiple vulnerabilities
https://www.auscert.org.au/render.html?it=33530

概要

複数の Juniper 製品には脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行するなどの可能性があります。

対象となる製品は以下の通りです。対象バージョンは、各脆弱性により異なり
ます。

- Junos
- ScreenOS
- CTPOS
- QFX5100, QFX10002

この問題は、Juniper が提供する修正済みのバージョンに該当する製品を更新
することで解決します。詳細は、Juniper が提供する情報を参照してください。

関連文書 (英語)

Juniper Networks
2016-04 Security Bulletin: Junos: Multiple vulnerabilities in J-Web (CVE-2016-1261)
http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10723&actp=search

Juniper Networks
2016-04 Security Bulletin: Junos: A race condition in the Op script Op URL option allows an authenticated remote attacker to fully compromise the system (CVE-2016-1264)
http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10725&actp=search

Juniper Networks
2016-04 Security Bulletin: Junos Space: Multiple Vulnerabilities in Junos Space (CVE-2016-1265)
http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10727&actp=search

Juniper Networks
2016-04 Security Bulletin: Junos: Lazy race condition in RPC allows an authenticated user to improperly elevate privileges (CVE-2016-1267)
http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10730&actp=search

Juniper Networks
2016-04 Security Bulletin: ScreenOS: Malformed SSL/TLS packet causes Denial of Service (CVE-2016-1268)
http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10732&actp=search

Juniper Networks
2016-04 Security Bulletin: Junos: OpenSSH Client Information Leak and Buffer Overflow in roaming support (CVE-2016-0777, CVE-2016-0778)
http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10734&actp=search

Juniper Networks
2016-04 Security Bulletin: CTP Series: Multiple vulnerabilities in CTP Series
http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10735&actp=search

Juniper Networks
2016-04 Security Bulletin: Junos: Manipulating TCP timestamps can lead to resource exhaustion denial of service (CVE-2016-1269)
http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10736&actp=search

Juniper Networks
2016-04 Security Bulletin: Junos: RPD cores on receiving a crafted L2VPN family BGP update (CVE-2016-1270)
http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10737&actp=search

Juniper Networks
2016-04 Security Bulletin: Junos: Multiple privilege escalation vulnerabilities in Junos CLI (CVE-2016-1271)
http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10739&actp=search

Juniper Networks
2016-04 Security Bulletin: Junos: Multiple vulnerabilities in cURL and libcurl
http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10743&actp=search

Juniper Networks
2016-04 Security Bulletin: QFX Series: Insufficient entropy on QFX systems (CVE-2016-1273)
http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10746&actp=search

Juniper Networks
2016-04 Security Bulletin: QFX Series: PFE panic while processing VXLAN packets (CVE-2016-1274)
http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10747&actp=search

Juniper Networks
2016-04 Security Bulletin: ScreenOS: Multiple Vulnerabilities in OpenSSL
http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10733&actp=search

【6】複数の VMware 製品に脆弱性

情報源

US-CERT Current Activity
VMWare Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2016/04/14/VMWare-Releases-Security-Updates

概要

複数の VMware 製品には、脆弱性があります。結果として、遠隔の第三者が、
中間者攻撃を行ったり、セッションハイジャックを行ったりする可能性があり
ます。

対象となる製品およびバージョンは以下の通りです。

- vCenter Server 6.0 U2 より前の 6.0 系
- vCenter Server 5.5 U3a、U3b、U3c
- vCloud Director 5.5.5
- vRealize Automation Identity Appliance 6.2.4

この問題は、VMware が提供する修正済みのバージョンに該当する製品を更新
することで解決します。詳細は、VMware が提供する情報を参照してください。

関連文書 (英語)

VMware Security Advisories
VMware product updates address a critical security issue in the VMware Client Integration Plugin
https://www.VMware.com/security/advisories/VMSA-2016-0004.html

【7】QuickTime for Windows に複数のヒープバッファオーバーフローの脆弱性

情報源

US-CERT Alert (TA16-105A)
Apple Ends Support for QuickTime for Windows; New Vulnerabilities Announced
https://www.us-cert.gov/ncas/alerts/TA16-105A

概要

QuickTime for Windows には、ヒープバッファオーバーフローの脆弱性があり
ます。結果として、遠隔の第三者が、細工したコンテンツをユーザに開かせる
ことで、任意のコードを実行する可能性があります。

対象となる製品は以下の通りです。

- QuickTime for Windows

QuickTime for Windows のサポートは終了し、この問題に対する修正は行われ
ないとのことです。QuickTime for Windows をアンインストールしてください。

関連文書 (日本語)

Japan Vulnerability Notes JVNTA#92371676
QuickTime for Windows に複数のヒープバッファオーバフローの脆弱性
https://jvn.jp/ta/JVNTA92371676/

【8】スマートフォンアプリ「東京スター銀行アプリ」に SSL サーバ証明書の検証不備の脆弱性

情報源

Japan Vulnerability Notes JVN#00272277
スマートフォンアプリ「東京スター銀行アプリ」における SSL サーバ証明書の検証不備の脆弱性
https://jvn.jp/jp/JVN00272277/

概要

スマートフォンアプリ「東京スター銀行アプリ」には、SSL サーバ証明書の検
証不備の脆弱性があります。結果として、遠隔の第三者が、中間者攻撃によっ
て、暗号通信を盗聴するなどの可能性があります。

対象となるバージョンは以下の通りです。

- iOS アプリ「東京スター銀行アプリ」 1.3 およびそれ以前
- Android アプリ「東京スター銀行アプリ」 1.3 およびそれ以前

この問題は、東京スター銀行が提供する修正済みのバージョンに東京スター銀
行アプリを更新することで解決します。詳細は、東京スター銀行が提供する情
報を参照してください。

関連文書 (日本語)

東京スター銀行
東京スター銀行アプリ（スマートフォンアプリ）アップデートのお知らせ
https://www.tokyostarbank.co.jp/important151222.html

■今週のひとくちメモ

○ランサムウェア感染を狙った攻撃が急増

2016年4月13日、情報処理推進機構 (IPA) は、ランサムウェア感染を狙った攻
撃に関する注意喚起を行いました。この注意喚起によれば、ランサムウェアに
関する相談が、2016年2月は 17件だったのに対し、3月には 96件と急増してお
り、4月に入ってからも相談が相次いでいるとのことです。対策として、セキュ
リティソフトの導入や定義ファイルの更新、重要なファイルの定期的なバック
アップなどを呼びかけています。

参考文献 (日本語)

情報処理推進機構 (IPA)
【注意喚起】ランサムウェア感染を狙った攻撃に注意
https://www.ipa.go.jp/security/topics/alert280413.html

■JPCERT/CC からのお願い