<<< JPCERT/CC WEEKLY REPORT 2017-10-18 >>>

■10/08(日)〜10/14(土) のセキュリティ関連情報

目　次

【1】複数の Microsoft 製品に脆弱性

【2】Mozilla Thunderbird に複数の脆弱性

【3】サイボウズ Office にアクセス制限不備の脆弱性

【4】秘文 機密ファイル復号プログラムに DLL 読み込みに関する脆弱性

【5】秘文 機密ファイルビューアのインストーラに DLL 読み込みおよび実行ファイル呼び出しに関する脆弱性

【6】NXP Semiconductors 製 MQX RTOS に複数の脆弱性

【今週のひとくちメモ】「CODE BLUE」開催

【1】複数の Microsoft 製品に脆弱性

情報源

US-CERT Current Activity
Microsoft Releases October 2017 Security Updates
https://www.us-cert.gov/ncas/current-activity/2017/10/10/Microsoft-Releases-October-2017-Security-Updates

概要

複数の Microsoft 製品には、脆弱性があります。結果として、遠隔の第三者
が任意のコードを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Internet Explorer
- Microsoft Edge
- Microsoft Windows
- Microsoft Office and Microsoft Office Services および Web Apps
- Skype for Business および Lync
- Chakra Core

この問題は、Microsoft Update 等を用いて、更新プログラムを適用すること
で解決します。詳細は、Microsoft が提供する情報を参照してください。

関連文書 (日本語)

マイクロソフト株式会社
2017 年 10 月のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-jp/security-guidance/releasenotedetail/313ae481-3088-e711-80e2-000d3a32fc99

JPCERT/CC Alert 2017-10-11
2017年 10月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2017/at170039.html

【2】Mozilla Thunderbird に複数の脆弱性

情報源

US-CERT Current Activity
Mozilla Releases Security Update
https://www.us-cert.gov/ncas/current-activity/2017/10/11/Mozilla-Releases-Security-Update

概要

Mozilla Thunderbird には、複数の脆弱性があります。結果として、遠隔の第
三者が、任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行った
りするなどの可能性があります。

対象となるバージョンは次のとおりです。

- Mozilla Thunderbird 52.4 より前のバージョン

この問題は、Mozilla Thunderbird を Mozilla が提供する修正済みのバージョン
に更新することで解決します。詳細は、Mozilla が提供する情報を参照してく
ださい。

関連文書 (英語)

Mozilla
Mozilla Foundation Security Advisories (October 9, 2017)
https://www.mozilla.org/en-US/security/advisories/

【3】サイボウズ Office にアクセス制限不備の脆弱性

情報源

Japan Vulnerability Notes JVN#14658424
サイボウズ Office におけるアクセス制限不備の脆弱性
https://jvn.jp/jp/JVN14658424/

概要

サイボウズ Office には、アクセス制限不備の脆弱性があります。結果として、
当該製品のアカウントを持つユーザが、権限のないフォルダを操作する可能性
があります。

対象となるバージョンは次のとおりです。

- サイボウズ Office 10.0.0 から 10.6.1 まで

この問題は、サイボウズ Office をサイボウズ株式会社が提供する修正済みの
バージョンに更新することで解決します。詳細は、サイボウズ株式会社が提供
する情報を参照してください。

関連文書 (日本語)

サイボウズ株式会社
[CyVDB-1353]ファイル管理に関する操作制限回避の脆弱性
https://support.cybozu.com/ja-jp/article/9811

【4】秘文 機密ファイル復号プログラムに DLL 読み込みに関する脆弱性

情報源

Japan Vulnerability Notes JVN#58909026
秘文 機密ファイル復号プログラムにおける DLL 読み込みに関する脆弱性
https://jvn.jp/jp/JVN58909026/

Japan Vulnerability Notes JVN#55516206
秘文 機密ファイル復号プログラムにおける DLL 読み込みに関する脆弱性
https://jvn.jp/jp/JVN55516206/

概要

秘文 機密ファイル復号プログラムには、DLL 読み込みに関する脆弱性があり
ます。結果として、第三者が任意のコードを実行する可能性があります。

対象となるバージョンは次のとおりです。

- 秘文 機密ファイル復号プログラム 10.50.0.5 より前のバージョン

この問題は、秘文 機密ファイル復号プログラムを株式会社日立ソリューション
ズが提供する修正済みのバージョンに更新することで解決します。詳細は、株
式会社日立ソリューションズが提供する情報を参照してください。

関連文書 (日本語)

株式会社日立ソリューションズ
サポート情報 - 秘文のDLL読み込み問題への対応について 重要度：AA
http://www.hitachi-solutions.co.jp/hibun/sp/support/importance/20170929.html

【5】秘文 機密ファイルビューアのインストーラに DLL 読み込みおよび実行ファイル呼び出しに関する脆弱性

情報源

Japan Vulnerability Notes JVN#94056834
秘文 機密ファイルビューアのインストーラにおける DLL 読み込みおよび実行ファイル呼び出しに関する脆弱性
https://jvn.jp/jp/JVN94056834/

概要

秘文 機密ファイルビューアのインストーラには、DLL 読み込みおよび実行ファ
イル呼び出しに関する脆弱性があります。結果として、第三者が任意のコード
を実行する可能性があります。

対象となるバージョンは次のとおりです。

- 秘文 機密ファイルビューア 11.20.0001 より前のバージョン

この問題は、株式会社日立ソリューションズが提供する最新のインストーラで
は解決しています。なお、すでに秘文 機密ファイルビューアをインストール
している場合には、この問題の影響はありません。詳細は、株式会社日立ソリュー
ションズが提供する情報を参照してください。

関連文書 (日本語)

株式会社日立ソリューションズ
サポート情報 - 秘文のDLL読み込み問題への対応について 重要度：AA
http://www.hitachi-solutions.co.jp/hibun/sp/support/importance/20170929.html

【6】NXP Semiconductors 製 MQX RTOS に複数の脆弱性

情報源

CERT/CC Vulnerability Note VU#590639
NXP Semiconductors MQX RTOS contains multiple vulnerabilities
https://www.kb.cert.org/vuls/id/590639

概要

NXP Semiconductors 製 MQX RTOS には、複数の脆弱性があります。結果とし
て、遠隔の第三者が、細工した DHCP パケットを送信することで任意のコード
を実行したり、細工した DNS パケットを送信することでサービス運用妨害 (DoS)
攻撃を行ったりする可能性があります。

対象となるバージョンは次のとおりです。

- MQX RTOS version 5.0
- MQX RTOS version 4.1 およびそれ以前

この問題は、MQX RTOS version 5.0 については、NXP Semiconductors Inc.
が提供するパッチを適用することで解決します。MQX RTOS version 4.1 およ
びそれ以前のバージョンについては、MQX RTOS を NXP Semiconductors Inc.
が提供する修正済みのバージョンに更新することで解決します。詳細は、NXP
Semiconductors Inc. が提供する情報を参照してください。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#96796469
NXP Semiconductors 製 MQX RTOS における複数の脆弱性
https://jvn.jp/vu/JVNVU96796469/

■今週のひとくちメモ

○「CODE BLUE」開催

2017年11月7日から 10日にかけて、「CODE BLUE」が開催されます。CODE BLUE
実行委員会が主催する本イベントは、情報セキュリティ専門家による講演およ
び情報交換・交流の機会を提供する国際会議です。JPCERT/CC はこのイベント
を後援しております。また、JPCERT/CC のアナリストが「日本を狙うAPT攻撃
の全体像 - APT攻撃インシデントSTIXデータベース -」と「攻撃者の行動を追
跡せよ -行動パターンに基づく横断的侵害の把握と調査-」と題した講演も行
います。

参加には事前登録が必要です。参加申し込みの詳細は、「CODE BLUE」の Web
サイトをご参照ください。

日程および場所:
 日程：2017年11月7日(火) 〜 10日(金)
 会場：ベルサール新宿グランド
       https://codeblue.jp/2017/access_map/

参考文献 (日本語)

CODE BLUE 実行委員会
CODE BLUE
https://codeblue.jp/2017/

■JPCERT/CC からのお願い