JPCERT コーディネーションセンター

Weekly Report 2016-07-21号

JPCERT-WR-2016-2801
JPCERT/CC
2016-07-21

<<< JPCERT/CC WEEKLY REPORT 2016-07-21 >>>

■07/10(日)〜07/16(土) のセキュリティ関連情報

目 次

【1】複数の Microsoft 製品に脆弱性

【2】複数の Adobe 製品に脆弱性

【3】複数の Cisco 製品に脆弱性

【4】libbpg に任意のコードを実行可能な脆弱性

【5】Android 版「WAONサービスアプリ」に SSL サーバ証明書の検証不備の脆弱性

【6】「フィッシング対策ガイドライン実践セミナー」開催のお知らせ

【今週のひとくちメモ】IPA が「ウイルス感染したという警告でアプリのインストールを誘導する手口が急増」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2016/wr162801.txt
https://www.jpcert.or.jp/wr/2016/wr162801.xml

【1】複数の Microsoft 製品に脆弱性

情報源

US-CERT Current Activity
Microsoft Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2016/07/12/Microsoft-Releases-Security-Updates

概要

複数の Microsoft 製品には脆弱性があります。結果として、遠隔の第三者が
任意のコードを実行するなどの可能性があります。

対象となる製品は以下の通りです。

- Microsoft Windows
- Internet Explorer
- Microsoft Edge
- Microsoft Office
- Microsoft Office Services および Web Apps
- Microsoft .NET Framework

この問題は、Microsoft Update 等を用いて、更新プログラムを適用すること
で解決します。詳細は、Microsoft が提供する情報を参照してください。

関連文書 (日本語)

マイクロソフト株式会社
2016 年 7 月のマイクロソフト セキュリティ情報の概要
https://technet.microsoft.com/ja-jp/library/security/ms16-jul

JPCERT/CC Alert 2016-07-13
2016年 7月 Microsoft セキュリティ情報 (緊急 6件含) に関する注意喚起
https://www.jpcert.or.jp/at/2016/at160028.html

【2】複数の Adobe 製品に脆弱性

情報源

US-CERT Current Activity
Adobe Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2016/07/12/Adobe-Releases-Security-Updates

概要

複数の Adobe 製品には、脆弱性があります。結果として、遠隔の第三者が任
意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは以下の通りです。

- Adobe Flash Player デスクトップランタイム 22.0.0.192 およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Flash Player 継続サポートリリース 18.0.0.360 およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Flash Player 11.2.202.626 およびそれ以前 (Linux 版)
- Adobe Acrobat DC 連続トラック 15.016.20045 およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Acrobat Reader DC 連続トラック 15.016.20045 およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Acrobat DC クラシック 15.006.30174 およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Acrobat Reader DC クラシック 15.006.30174 およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Acrobat XI 11.0.16 およびそれ以前 (Windows 版、Macintosh 版)
- Adobe Reader XI 11.0.16 およびそれ以前 (Windows 版、Macintosh 版)
- Adobe XMP Tooklit for Java 5.1.2 およびそれ以前

この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新
することで解決します。詳細は、Adobe が提供する情報を参照してください。

関連文書 (日本語)

Adobe セキュリティ情報
Adobe Flash Player に関するセキュリティアップデート公開
https://helpx.adobe.com/jp/security/products/flash-player/apsb16-25.html

Adobe セキュリティ情報
Adobe Acrobat および Reader に関するセキュリティアップデート公開
https://helpx.adobe.com/jp/security/products/acrobat/apsb16-26.html

Adobe セキュリティ情報
Adobe XMP Toolkit for Java に関するセキュリティアップデート公開
https://helpx.adobe.com/jp/security/products/xmpcore/apsb16-24.html

JPCERT/CC Alert 2016-07-13
Adobe Flash Player の脆弱性 (APSB16-25) に関する注意喚起
https://www.jpcert.or.jp/at/2016/at160029.html

JPCERT/CC Alert 2016-07-13
Adobe Reader および Acrobat の脆弱性 (APSB16-26) に関する注意喚起
https://www.jpcert.or.jp/at/2016/at160030.html

【3】複数の Cisco 製品に脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2016/07/14/Cisco-Releases-Security-Updates

概要

複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、
SNMP コミュニティストリングを取得したり、サービス運用妨害 (DoS) 攻撃を
行ったりする可能性があります。

対象となる製品およびバージョンは以下の通りです。

- Cisco NCS 6000
- Cisco ASR 5000 シリーズ 19.4 より前のバージョン
- Cisco ASR 5000 シリーズ 20.1 より前のバージョン

この問題は、該当する製品のファームウェアを Cisco が提供する修正済みの
バージョンに更新することで解決します。詳細は、Cisco が提供する情報を参
照してください。

関連文書 (英語)

Cisco Security Advisory
Cisco ASR 5000 Series SNMP Community String Disclosure Vulnerability
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160713-asr

Cisco Security Advisory
Cisco IOS XR for NCS 6000 Packet Timer Leak Denial of Service Vulnerability
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160713-ncs6k

【4】libbpg に任意のコードを実行可能な脆弱性

情報源

CERT/CC Vulnerability Note VU#123799
libbpg contains a type confusion vulnerability that leads to out of bounds write
https://www.kb.cert.org/vuls/id/123799

概要

libbpg には、メモリ境界外への書き込みを行う脆弱性があります。結果とし
て、遠隔の第三者が細工した BPG ファイルを処理させることで、任意のコー
ドを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があり
ます。

対象となるバージョンは以下の通りです。他のバージョンでも本脆弱性の影響
を受ける可能性があります。

- libbpg 0.9.5 から 0.9.7 まで

2016年7月20日現在、対策済みのバージョンは公開されていません。ImageMagick
で libbpg を使用している場合には、以下の回避策を適用することで、本脆弱
性の影響を軽減することが可能です。

- BPG ファイルを拒否するよう、policy.xml を変更する
- BPG に関する要素を delegate.xml から削除する

詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#96627087
libbpg にメモリ境界外への書き込みを行う脆弱性
https://jvn.jp/vu/JVNVU96627087/

関連文書 (英語)

ImageMagick
Security Policy
https://www.imagemagick.org/script/security-policy.php

【5】Android 版「WAONサービスアプリ」に SSL サーバ証明書の検証不備の脆弱性

情報源

Japan Vulnerability Notes JVN#68364327
Android アプリ「WAONサービスアプリ」における SSL サーバ証明書の検証不備の脆弱性
https://jvn.jp/jp/JVN68364327/

概要

Android 版「WAONサービスアプリ」には、SSL サーバ証明書の検証不備の脆弱
性があります。結果として、遠隔の第三者が中間者攻撃によって暗号通信を盗
聴するなどの可能性があります。

対象となるバージョンは以下の通りです。

- Android 版「WAONサービスアプリ」 V1.4.1 およびそれ以前

この問題は、Android 版「WAONサービスアプリ」を、イオン株式会社が提供す
る修正済みのバージョンに更新することで解決します。詳細は、イオン株式会
社が提供する情報を参照してください。

【6】「フィッシング対策ガイドライン実践セミナー」開催のお知らせ

情報源

フィッシング対策協議会
フィッシング対策ガイドライン実践セミナー開催のご案内
https://www.antiphishing.jp/news/event/antiphishing_guideline_seminar2016.html

概要

フィッシング対策協議会は「フィッシング対策ガイドライン実践セミナー」を
開催いたします。本セミナーでは、フィッシングサイトやフィッシングメール
などへの対応ノウハウをセミナー形式で解説します。また、欧州におけるフィッ
シングの現状についての紹介も予定しております。

参加費は無料です。ただし、事前に参加申し込みが必要です。満席になり次第、
受付終了とさせていただきますので、ご了承ください。

日時および場所:
    2016年8月10日(水) 14:00-17:00 (受付開始 13:30)
    日立システムズ  ソリューションスクエア東京
    東京都品川区大崎1-2-1 大崎フロントタワー
    http://www.hitachi-systems.com/ss/sst/guide/index.html

■今週のひとくちメモ

○IPA が「ウイルス感染したという警告でアプリのインストールを誘導する手口が急増」を公開

2016年7月11日、情報処理推進機構 (IPA) は、「安心相談窓口だより ウイル
ス感染したという警告でアプリのインストールを誘導する手口が急増」を公開
しました。この報告によると、Android 端末でウェブサイトを閲覧中に、端末
がウイルス感染したという警告画面が表示され、特定のアプリをインストール
させようとする事例が急増しているとのことで、警告画面が現れたら、警告メッ
セージを鵜呑みにせずにブラウザのタブを閉じるように呼びかけています。

参考文献 (日本語)

情報処理推進機構 (IPA)
安心相談窓口だより ウイルス感染したという警告でアプリのインストールを誘導する手口が急増
https://www.ipa.go.jp/security/anshin/mgdayori20160711.html

■JPCERT/CC からのお願い

  • 本レポートに関するお問い合わせは editor@jpcert.or.jp 宛 にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
    https://www.jpcert.or.jp/wr/
  • 本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
    https://www.jpcert.or.jp/announce.html
  • JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
    https://www.jpcert.or.jp/form/

Topへ

Topへ
最新情報(RSSメーリングリストTwitter