JPCERT-WR-2016-4401

JPCERT/CC

2016-11-09

<<< JPCERT/CC WEEKLY REPORT 2016-11-09 >>>

■10/30(日)〜11/05(土) のセキュリティ関連情報

目　次

【1】ISC BIND 9 にサービス運用妨害 (DoS) の脆弱性

【2】複数の Cisco 製品に脆弱性

【3】複数の Apple 製品に脆弱性

【4】Windows 版公的個人認証サービス　利用者クライアントソフトに脆弱性

【5】WFS-SR01 に複数の脆弱性

【6】スマートフォンアプリ「mobiGate」に SSL サーバ証明書の検証不備の脆弱性

【7】(再掲) Internet Week 2016 のお知らせ

【今週のひとくちメモ】IPA が「セキュア・プログラミング講座　(2016年10月)」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2016/wr164401.txt
https://www.jpcert.or.jp/wr/2016/wr164401.xml

【1】ISC BIND 9 にサービス運用妨害 (DoS) の脆弱性

情報源

US-CERT Current Activity
ISC Releases Security Updates for BIND
https://www.us-cert.gov/ncas/current-activity/2016/11/01/ISC-Releases-Security-Updates-BIND

概要

ISC BIND 9 には、脆弱性があります。結果として、遠隔の第三者がサービス
運用妨害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは以下の通りです。

- BIND 9.0.x から 9.8.x まで
- BIND 9.9.0 から 9.9.9-P3 まで
- BIND 9.9.3-S1 から 9.9.9-S5 まで
- BIND 9.10.0 から 9.10.4-P3 まで
- BIND 9.11.0

この問題は、BIND 9 を ISC が提供する修正済みのバージョンに更新すること
で解決します。詳細は、ISC が提供する情報を参照してください。

【2】複数の Cisco 製品に脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.us-cert.gov/ncas/current-activity/2016/11/02/Cisco-Releases-Security-Updates-Multiple-Products

概要

複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするな
どの可能性があります。

対象となる製品およびバージョンは以下の通りです。

- Acano Meeting Apps 1.8.35 より前のバージョン
- Acano Server 1.8.17 より前のバージョン
- Acano Server 1.9.5 より前のバージョン
- Cisco Application Policy Infrastructure Controller (APIC)
- Cisco AsyncOS Software for Cisco Email Security Appliances (ESA)
- Cisco AsyncOS Software for Web Security Appliances (WSA)
- Cisco IOS XE Software 3.17.0S, 3.17.1S, 3.17.2S, 3.18.0S, 3.18.1S が稼働している Cisco ASR 900 Series Aggregation Services Routers
- Cisco Meeting App 1.9.8 より前のバージョン
- Cisco Meeting Server 2.0.3 より前のバージョン
- Cisco Nexus 9000 Series Leaf Switches (TOR) - ACI Mode
- Cisco Prime Home versions 5.1.1.6 およびそれ以前
- Cisco Prime Home versions 5.2.2.2 およびそれ以前
- StarOS 18.0 およびそれ以降が稼働している Cisco ASR 5500 devices with Data Processing Card 2 (DPC2)
- TelePresence CE software
- TelePresence TC software

この問題は、該当する製品を、Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

【3】複数の Apple 製品に脆弱性

情報源

Japan Vulnerability Notes JVNVU#97557859
複数の Apple 製品における脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU97557859/

概要

複数の Apple 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、情報を取得したりする可能性があります。

対象となる製品およびバージョンは以下の通りです。

- Xcode 8.1 より前のバージョン
- iCloud for Windows 6.0.1 より前のバージョン
- Windows 版 iTunes 12.5.2 より前のバージョン

この問題は、該当する製品を、Apple が提供する修正済みのバージョンに更新
することで解決します。詳細は、Apple が提供する情報を参照してください。

【4】Windows 版公的個人認証サービス　利用者クライアントソフトに脆弱性

情報源

Japan Vulnerability Notes JVN#91002412
Windows 版公的個人認証サービス　利用者クライアントソフトのインストーラにおける DLL 読み込みに関する脆弱性
https://jvn.jp/jp/JVN91002412/

概要

Windows 版 公的個人認証サービス　利用者クライアントソフトのインストー
ラには、DLL 読み込みに関する脆弱性があります。結果として、第三者が任意
のコードを実行する可能性があります。

対象となるバージョンは以下の通りです。

- 公的個人認証サービス　利用者クライアントソフト Ver3.0.1（Windows7以降対応版）およびそれ以前の Ver3 系
- 公的個人認証サービス　利用者クライアントソフト Ver3.0.1（Vista対応版）およびそれ以前の Ver3 系
- 公的個人認証サービス　利用者クライアントソフト Ver2.6 およびそれ以前

この問題は、地方公共団体情報システム機構が提供する修正済みのインストー
ラを使用することで解決します。詳細は、地方公共団体情報システム機構が提
供する情報を参照してください。

【5】WFS-SR01 に複数の脆弱性

情報源

Japan Vulnerability Notes JVN#18228200
WFS-SR01 における複数の脆弱性
https://jvn.jp/jp/JVN18228200/

概要

WFS-SR01 には、複数の脆弱性があります。結果として、遠隔の第三者が、任
意のコードを実行したり、挿入された SD カード等にアクセスしたりする可能
性があります。

対象となるバージョンは以下の通りです。

-WFS-SR01 ファームウェアバージョン 1.10 およびそれ以前

2016年11月8日現在、対策済みのファームウェアは公開されていません。以下
の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

- ポケットルーター機能を使用しない

詳細は、株式会社アイ・オー・データ機器が提供する情報を参照してください。

【6】スマートフォンアプリ「mobiGate」に SSL サーバ証明書の検証不備の脆弱性

情報源

Japan Vulnerability Notes JVN#27260483
スマートフォンアプリ「mobiGate」における SSL サーバ証明書の検証不備の脆弱性
https://jvn.jp/jp/JVN27260483/

概要

スマートフォンアプリ「mobiGate」には、SSL サーバ証明書の検証不備の脆弱
性があります。結果として、遠隔の第三者が、中間者攻撃によって暗号通信を
盗聴するなどの可能性があります。

対象となるバージョンは以下の通りです。

- Android アプリ「mobiGate」 バージョン 2.2.1.2 およびそれ以前
- iOS アプリ「mobiGate」 バージョン 2.2.4.1 およびそれ以前

この問題は、「mobiGate」を、日本ユニシス株式会社が提供する修正済みのバー
ジョンに更新することで解決します。詳細は、日本ユニシス株式会社が提供す
る情報を参照してください。

【7】(再掲) Internet Week 2016 のお知らせ

情報源

Internet Week 2016
https://internetweek.jp/

概要

2016年11月29日(火) から 12月2日(金) まで、浅草橋のヒューリックホール＆
ヒューリックカンファレンスにおいて JPNIC 主催の Internet Week 2016 が
開催されます。JPCERT/CC は企画・運営の協力と後援をしており、11月30日の
「T9 実践インシデント対応〜侵入された痕跡を発見せよ〜」、12月1日の
「D3-1 脆弱性情報と賢く付き合う〜発見から対策までの最前線〜」では講師
を務めています。

事前申込みの締め切りは 11月18日(金) 17:00 ですが、定員に達し次第、受付
を終了いたします。定員間近のセッションもございますので、参加を検討され
ている方はお早めにお申し込みください。

■今週のひとくちメモ

○IPA が「セキュア・プログラミング講座　(2016年10月)」を公開

2016年10月31日、情報処理推進機構 (IPA) は「セキュア・プログラミング講
座　(2016年10月)」を公開しました。この講座は、これまで IPA が公開して
きた「Webプログラマコース」、「製品プログラマコース」、「Webアプリケー
ション編」、「C/C++編」に共通する原則をまとめて再編したものです。「脅
威モデリング」や「計画すべきセキュリティ機能」など、5つの章で構成され
ています。

参考文献 (日本語)

情報処理推進機構 (IPA)
IPA セキュア・プログラミング講座
https://www.ipa.go.jp/security/awareness/vendor/programming/index.html

情報処理推進機構 (IPA)
セキュア・プログラミング講座　(2016年10月)
https://www.ipa.go.jp/files/000055265.pdf

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2016-11-09号

<<< JPCERT/CC WEEKLY REPORT 2016-11-09 >>>

■10/30(日)〜11/05(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

情報源

概要

関連文書 (日本語)

○IPA が「セキュア・プログラミング講座 (2016年10月)」を公開

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次

○IPA が「セキュア・プログラミング講座　(2016年10月)」を公開