<<< JPCERT/CC WEEKLY REPORT 2016-08-17 >>>

■08/07(日)〜08/13(土) のセキュリティ関連情報

目　次

【1】複数の Microsoft 製品に脆弱性

【2】複数の D-Link 製ルータにバッファオーバーフローの脆弱性

【3】Cisco ASR 9001 Aggregation Services Router にサービス運用妨害 (DoS) の脆弱性

【4】アイ・オー・データ製の複数のレコーディングハードディスクにクロスサイトリクエストフォージェリの脆弱性

【5】UltraVNC repeater の初期設定に接続先 IP アドレスやポートの制限が行われない問題

【今週のひとくちメモ】FIRST、奨励金プログラムを「Suguru Yamaguchi Fellowship Program」に改名

【1】複数の Microsoft 製品に脆弱性

情報源

US-CERT Current Activity
Microsoft Releases August 2016 Security Bulletin
https://www.us-cert.gov/ncas/current-activity/2016/08/09/Microsoft-Releases-August-2016-Security-Bulletin

概要

複数の Microsoft 製品には脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行するなどの可能性があります。

対象となる製品は以下の通りです。

- Microsoft Windows
- Internet Explorer
- Microsoft Edge
- Microsoft Office
- Microsoft コミュニケーション プラットフォームおよびソフトウェア

この問題は、Microsoft Update 等を用いて、更新プログラムを適用すること
で解決します。詳細は、Microsoft が提供する情報を参照してください。
          

関連文書 (日本語)

マイクロソフト株式会社
2016 年 8 月のマイクロソフト セキュリティ情報の概要
https://technet.microsoft.com/ja-jp/library/security/ms16-Aug

JPCERT/CC Alert 2016-08-10
2016年 8月 Microsoft セキュリティ情報 (緊急 5件含) に関する注意喚起
https://www.jpcert.or.jp/at/2016/at160033.html

【2】複数の D-Link 製ルータにバッファオーバーフローの脆弱性

情報源

CERT/CC Vulnerability Note VU#332115
D-Link routers contain buffer overflow vulnerability
https://www.kb.cert.org/vuls/id/332115

概要

複数の D-Link 製ルータには、バッファオーバーフローの脆弱性があります。
結果として、遠隔の第三者が任意のコードを実行する可能性があります。

対象となる製品およびバージョンは以下の通りです。

- DIR-850L Rev. B1、Official FW v2.07 (v2.07WWB05) より前のバージョン
- DIR-822 Rev. A1、Official FW v3.01 (v3.01WWb02) より前のバージョン
- DIR-823 Rev. A1、Official FW v1.00 (v1.00WWb05) より前のバージョン
- DIR-895L Rev. A1、Official FW v1.11 (v1.11WWb04) より前のバージョン
- DIR-890L Rev  A1、Official FW v1.09 (v1.09b14) より前のバージョン
- DIR-885L Rev. A1、Official FW v1.11 (v1.11WWb07) より前のバージョン
- DIR-880L Rev. A1、Official FW v1.07 (v1.07WWb08) より前のバージョン
- DIR-868L Rev. B1、Official FW v2.03 (v2.03WWb01) より前のバージョン
- DIR-868L Rev. C1、Official FW v3.00 (v3.00WWb01) より前のバージョン
- DIR-817L(W) Rev. Ax
- DIR-818L(W) Rev. Ax

この問題は、該当する製品のファームウェアを、D-Link Systems が提供する
修正済みのバージョンに更新することで解決します。なお、DIR-817L および
DIR-818L については、8月末に公開予定とのことです。詳細は、D-Link Systems
が提供する情報を参照してください。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#94906777
複数の D-Link 製ルータにバッファオーバーフローの脆弱性
https://jvn.jp/vu/JVNVU94906777/

関連文書 (英語)

D-Link Technical Support
CVE-2016-5681 - VU#332115 - Some D-Link routers are vulnerable to buffer overflow exploit.
http://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10063

【3】Cisco ASR 9001 Aggregation Services Router にサービス運用妨害 (DoS) の脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Update
https://www.us-cert.gov/ncas/current-activity/2016/08/12/Cisco-Releases-Security-Update-0

概要

Cisco ASR 9001 Aggregation Services Router には、サービス運用妨害 (DoS)
の脆弱性があります。結果として、遠隔の第三者がサービス運用妨害 (DoS)
攻撃を行う可能性があります。

対象となる製品は以下の通りです。

- Cisco ASR 9001 Aggregation Services Router

この問題は、Cisco ASR 9001 Aggregation Services Router のソフトウェア
を、Cisco が提供する修正済みのバージョンに更新することで解決します。詳
細は、Cisco が提供する情報を参照してください。

関連文書 (英語)

Cisco Security Advisory
Cisco IOS XR Software for Cisco ASR 9001 Aggregation Services Routers Fragmented Packet Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160810-iosxr

【4】アイ・オー・データ製の複数のレコーディングハードディスクにクロスサイトリクエストフォージェリの脆弱性

情報源

Japan Vulnerability Notes JVN#35062083
アイ・オー・データ製の複数のレコーディングハードディスクにおけるクロスサイトリクエストフォージェリの脆弱性
https://jvn.jp/jp/JVN35062083/

概要

株式会社アイ・オー・データ機器製の複数のレコーディングハードディスクに
は、クロスサイトリクエストフォージェリの脆弱性があります。結果として、
遠隔の第三者が任意のコンテンツを削除する可能性があります。

対象となる製品およびバージョンは以下の通りです。

- HVL-A2.0 ファームウェア バージョン 2.04 より前のバージョン
- HVL-A3.0 ファームウェア バージョン 2.04 より前のバージョン
- HVL-A4.0 ファームウェア バージョン 2.04 より前のバージョン
- HVL-AT1.0S ファームウェア バージョン 2.04 より前のバージョン
- HVL-AT2.0 ファームウェア バージョン 2.04 より前のバージョン
- HVL-AT3.0 ファームウェア バージョン 2.04 より前のバージョン
- HVL-AT4.0 ファームウェア バージョン 2.04 より前のバージョン
- HVL-AT2.0A ファームウェア バージョン 2.04 より前のバージョン
- HVL-AT3.0A ファームウェア バージョン 2.04 より前のバージョン
- HVL-AT4.0A ファームウェア バージョン 2.04 より前のバージョン

この問題は、該当する製品のファームウェアを、株式会社アイ・オー・データ
機器が提供する修正済みのバージョンに更新することで解決します。詳細は、
株式会社アイ・オー・データ機器が提供する情報を参照してください。

関連文書 (日本語)

株式会社アイ・オー・データ機器
クロスサイトリクエストフォージェリの脆弱性について
http://www.iodata.jp/support/information/2016/hvl-a_csrf/

【5】UltraVNC repeater の初期設定に接続先 IP アドレスやポートの制限が行われない問題

情報源

CERT/CC Vulnerability Note VU#735416
UltraVNC repeater does not restrict IP addresses or ports by default
https://www.kb.cert.org/vuls/id/735416

概要

UltraVNC repeater の初期設定には、接続先 IP アドレスやポートの制限が行
われていません。結果として、遠隔の第三者が、UltraVNC repeater を任意の
ホストやポートに接続させる可能性があります。

対象となるバージョンは以下の通りです。

- UltraVNC repeater 1.3.0.0 (ultravnc_repeater_1300) より前のバージョン

開発者は、接続可能な IP アドレスやポートを制限するよう推奨しています。
詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#97741939
UltraVNC repeater の初期設定において接続先 IP アドレスやポートの制限が行われない問題
https://jvn.jp/vu/JVNVU97741939/

関連文書 (英語)

UltraVnc repeater
Don't forget to restrict mode1 access in theuvncrepeater.ini from the linux port.
http://www.uvnc.com/downloads/repeater/83-repeater-downloads.html

■今週のひとくちメモ

○FIRST、奨励金プログラムを「Suguru Yamaguchi Fellowship Program」に改名

2016年8月11日、FIRST (Forum of Incident Response and Security Teams)
は、奨励金プログラム「Fellowship Program」を「Suguru Yamaguchi Fellowship
Program」に改名することを発表しました。この奨励金プログラムは、FIRST
未加盟の CSIRT を対象に、FIRST への加盟や年次会合参加の支援を目的とし
ています。故山口英氏は、2011年から 2013年まで FIRST の理事を務め、アジ
アやアフリカ地域の CSIRT 育成に尽力したことから、その功績を称えて奨励
金プログラムに名前を冠することになりました。

参考文献 (英語)

FIRST
FIRST announces the Suguru Yamaguchi Fellowship Program
https://www.first.org/newsroom/releases/20160811

■JPCERT/CC からのお願い