<<< JPCERT/CC WEEKLY REPORT 2015-05-13 >>>
■04/26(日)〜05/09(土) のセキュリティ関連情報
目 次
【1】Apple の Safari に複数の脆弱性
【2】WordPress に複数のクロスサイトスクリプティングの脆弱性
【3】Cisco UCS Central Software に任意のコードが実行可能な脆弱性
【4】Barracuda Web Filter に複数の脆弱性
【5】ICU4C ライブラリに複数の脆弱性
【6】Bomgar Remote Support に脆弱性
【7】Subrion CMS に SQL インジェクションの脆弱性
【8】EMC AutoStart に任意のコードが実行可能な脆弱性
【9】EasyCTF に複数の脆弱性
【今週のひとくちメモ】US-CERT「Top 30 Targeted High Risk Vulnerabilities」を公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2015/wr151801.txt
https://www.jpcert.or.jp/wr/2015/wr151801.xml
【1】Apple の Safari に複数の脆弱性
情報源
US-CERT Current Activity
Apple Releases Security Updates for Safari
https://www.us-cert.gov/ncas/current-activity/2015/05/07/Apple-Releases-Security-Updates-Safari
概要
Apple の Safari には、複数の脆弱性があります。結果として、遠隔の第三者 が、任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりす る可能性があります。 対象となるバージョンは以下の通りです。 - Safari 8.0.6 より前のバージョン - Safari 7.1.6 より前のバージョン - Safari 6.2.6 より前のバージョン この問題は、Apple が提供する修正済みのバージョンに Safari を更新するこ とで解決します。詳細については、Apple が提供する情報を参照してください。
関連文書 (日本語)
Japan Vulnerability Notes JVNVU#94416388
Apple Safari における複数の脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU94416388/
関連文書 (英語)
Apple
About the security content of Safari 8.0.6, Safari 7.1.6, and Safari 6.2.6
https://support.apple.com/en-us/HT204826
【2】WordPress に複数のクロスサイトスクリプティングの脆弱性
情報源
US-CERT Current Activity
WordPress Releases Security Update
https://www.us-cert.gov/ncas/current-activity/2015/04/27/WordPress-Releases-Security-UpdateUS-CERT Current Activity
WordPress Security and Maintenance Release
https://www.us-cert.gov/ncas/current-activity/2015/05/07/WordPress-Security-and-Maintenance-Release
概要
WordPress には、複数のクロスサイトスクリプティングの脆弱性があります。 結果として、遠隔の第三者が、ユーザのブラウザ上で任意のスクリプトを実行 する可能性があります。 対象となるバージョンは以下の通りです。 - WordPress 4.2.2 より前のバージョン この問題は、WordPress が提供する修正済みのバージョンに WordPress を更 新することで解決します。詳細については、WordPress が提供する情報を参照 してください。
関連文書 (日本語)
WordPress
WordPress 4.2.1 セキュリティリリース
https://ja.wordpress.org/2015/04/28/wordpress-4-2-1/WordPress
WordPress 4.2.2 セキュリティとメンテナンスのリリース
https://ja.wordpress.org/2015/05/07/wordpress-4-2-2/
【3】Cisco UCS Central Software に任意のコードが実行可能な脆弱性
情報源
US-CERT Current Activity
Cisco UCS Central Software Vulnerability
https://www.us-cert.gov/ncas/current-activity/2015/05/08/Cisco-UCS-Central-Software-Vulnerability
概要
Cisco UCS Central Software には、脆弱性があります。結果として、遠隔の 第三者が、細工した HTTP リクエストを送信することで、任意のコードを実行 する可能性があります。 対象となるバージョンは以下の通りです。 - Cisco UCS Central Software バージョン 1.2 およびそれ以前 この問題は、Cisco が提供する修正済みのバージョンに Cisco UCS Central Software を更新することで解決します。詳細については、Cisco が提供する 情報を参照してください。
関連文書 (日本語)
Cisco
Cisco UCS Central Software Arbitrary Command Execution Vulnerability
http://www.cisco.com/cisco/web/support/JP/112/1129/1129342_cisco-sa-20150506-ucsc-j.html
【4】Barracuda Web Filter に複数の脆弱性
情報源
CERT/CC Vulnerability Note VU#534407
Barracuda Web Filter insecurely performs SSL inspection
http://www.kb.cert.org/vuls/id/534407
概要
Barracuda Web Filter には、証明書を適切に検証しない等の脆弱性がありま す。結果として、遠隔の第三者が、中間者攻撃を行うことで、暗号通信を盗聴 する可能性があります。 対象となるバージョンは以下の通りです。 - Barracuda Web Filter version 8.1.0.005 より前のバージョン この問題は、Barracuda Networks, Inc. が提供する修正済みのバージョンに Barracuda Web Filter を更新し、Barracuda Web Filter によってインストー ルされたルート CA 証明書を削除する必要があります。詳細については、 Barracuda Networks, Inc. が提供する情報を参照してください。
関連文書 (日本語)
Barracuda Networks, Inc.
Barracuda Web FilterのSSLインスペクション機能に対する脆弱性対策について
http://www.barracuda.co.jp/news/detail/33Japan Vulnerability Notes JVNVU#99597998
Barracuda Web Filter にサーバ証明書を適切に検証しない脆弱性
https://jvn.jp/vu/JVNVU99597998/
【5】ICU4C ライブラリに複数の脆弱性
情報源
CERT/CC Vulnerability Note VU#602540
ICU Project ICU4C library contains multiple overflow vulnerabilities
http://www.kb.cert.org/vuls/id/602540
概要
ICU4C ライブラリには、複数の脆弱性があります。結果として、攻撃者が、任 意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能 性があります。 対象となるバージョンは以下の通りです。 - ICU4C ライブラリ バージョン 52 から 54 まで この問題は、開発者が提供する修正済みのバージョンに ICU4C ライブラリを更 新することで解決します。詳細については、開発者が提供する情報を参照して ください。
関連文書 (日本語)
Japan Vulnerability Notes JVNVU#97322697
ICU4C ライブラリに複数の脆弱性
https://jvn.jp/vu/JVNVU97322697/
関連文書 (英語)
ICU Project
Download ICU 55
http://site.icu-project.org/download/55
【6】Bomgar Remote Support に脆弱性
情報源
CERT/CC Vulnerability Note VU#978652
Bomgar Remote Support Portal deserializes untrusted data
http://www.kb.cert.org/vuls/id/978652
概要
Bomgar Remote Support には、脆弱性があります。結果として、遠隔の第三者 が、Bomgar Remote Support の権限で任意の PHP コードを実行する可能性があ ります。 対象となるバージョンは以下の通りです。 - Bomgar Remote Support バージョン 14.3.1 およびそれ以前 この問題は、Bomgar Corporation が提供する修正済みのバージョンに Bomgar Remote Supportを更新するか、パッチを適用することで解決します。 詳細については、Bomgar Corporation が提供する情報を参照してください。
関連文書 (日本語)
Japan Vulnerability Notes JVNVU#98387218
Bomgar Remote Support に信頼していないデータをデシリアライズする脆弱性
https://jvn.jp/vu/JVNVU98387218/
【7】Subrion CMS に SQL インジェクションの脆弱性
情報源
CERT/CC Vulnerability Note VU#110532
Subrion CMS vulnerable to SQL injection by an authenticated user
http://www.kb.cert.org/vuls/id/110532
概要
Subrion CMS には、SQL インジェクションの脆弱性があります。結果として、 当該製品にログイン可能なユーザが、任意の SQL コマンドを実行する可能性 があります。 対象となるバージョンは以下の通りです。 - Subrion CMS 3.3.3 より前のバージョン この問題は、Subrion が提供する修正済みのバージョンに Subrion CMS を更 新することで解決します。詳細については、Subrion が提供する情報を参照し てください。
関連文書 (日本語)
Japan Vulnerability Notes JVNVU#94699739
Subrion CMS に SQL インジェクションの脆弱性
https://jvn.jp/vu/JVNVU94699739/
関連文書 (英語)
Subrion
Subrion CMS 3.3.3 is available!
http://www.subrion.org/forums/threads/subrion-cms-3-3-3-is-available.2024/
【8】EMC AutoStart に任意のコードが実行可能な脆弱性
情報源
CERT/CC Vulnerability Note VU#581276
EMC AutoStart is vulnerable to remote code execution via specially crafted packets
http://www.kb.cert.org/vuls/id/581276
概要
EMC AutoStart には、脆弱性があります。結果として、遠隔の第三者が、細工 したパケットを送信することで、任意のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - EMC AutoStart version 5.5.0 およびそれ以前 この問題は、EMC Corporation が提供する修正済みのバージョンに EMC AutoStart を更新することで解決します。詳細については、EMC Corporation が提供する情報を参照してください。
関連文書 (日本語)
Japan Vulnerability Notes JVNVU#94201974
EMC AutoStart に任意のコマンド実行が可能な脆弱性
https://jvn.jp/vu/JVNVU94201974/
【9】EasyCTF に複数の脆弱性
情報源
Japan Vulnerability Notes JVN#67520407
EasyCTF における任意のファイルを作成される脆弱性
https://jvn.jp/jp/JVN67520407/Japan Vulnerability Notes JVN#07538357
EasyCTF におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN07538357/Japan Vulnerability Notes JVN#96439865
EasyCTF におけるセッション管理不備の脆弱性
https://jvn.jp/jp/JVN96439865/
概要
EasyCTF には、複数の脆弱性があります。結果として、遠隔の第三者が、任意 のコードを実行したり、ユーザのブラウザ上で任意のスクリプトを実行したり するなどの可能性があります。 対象となるバージョンは以下の通りです。 - EasyCTF-1.3 およびそれ以前 この問題は、開発者が提供する修正済みのバージョンに EasyCTF を更新するこ とで解決します。詳細については、開発者が提供する情報を参照してください。
関連文書 (日本語)
kozos.jp
簡易CTFスコアサーバ用CGI(EasyCTF)
http://kozos.jp/software/index.html
■今週のひとくちメモ
○US-CERT「Top 30 Targeted High Risk Vulnerabilities」を公開
2015年4月29日、US-CERT は「Top 30 Targeted High Risk Vulnerabilities」 を公開しました。これは Canadian Cyber Incident Response Centre (CCIRC) による検証をもとに、カナダ、ニュージーランド、UK およびオーストラリア の各組織が協力して作成したもので、標的型攻撃に使用されるリスクの高い脆 弱性 30個について、対象製品や提供情報の一覧が掲載されています。なお、 Japan Vulnerability Notes で、日本語訳が公開されています。
参考文献 (日本語)
Japan Vulnerability Notes JVNTA#99041988
標的型攻撃に使用されるリスクの高い脆弱性 Top 30
https://jvn.jp/ta/JVNTA99041988/
参考文献 (英語)
US-CERT Alert (TA15-119A)
Top 30 Targeted High Risk Vulnerabilities
https://www.us-cert.gov/ncas/alerts/TA15-119A
■JPCERT/CC からのお願い
-
本レポートに関するお問い合わせは
editor@jpcert.or.jp 宛
にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/ -
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html -
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/