<<< JPCERT/CC WEEKLY REPORT 2015-09-16 >>>

■09/06(日)〜09/12(土) のセキュリティ関連情報

目　次

【1】複数の Microsoft 製品に脆弱性

【2】Adobe Shockwave Player に任意のコードが実行可能な脆弱性

【3】複数の YOKOGAWA 製品の通信機能に脆弱性

【4】PIXUS MG7530 にクロスサイトリクエストフォージェリの脆弱性

【今週のひとくちメモ】フィッシング対策協議会「フィッシングレポート 2015 ― 進む対策、利用者としてできること ―」を公開

【1】複数の Microsoft 製品に脆弱性

情報源

US-CERT Current Activity
Microsoft Releases September 2015 Security Bulletin
https://www.us-cert.gov/ncas/current-activity/2015/09/08/Microsoft-Releases-September-2015-Security-Bulletin

概要

複数の Microsoft 製品には脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行するなどの可能性があります。

対象となる製品は以下の通りです。

- Microsoft Windows
- Internet Explorer
- Microsoft Office
- Microsoft Edge
- Microsoft .NET Framework
- Microsoft Exchange Server
- Microsoft Lync
- Microsoft Lync Server
- Microsoft SharePoint Foundation
- Skype for Business Server

この問題は、Microsoft Update 等を用いて、セキュリティ更新プログラムを
適用することで解決します。詳細は、Microsoft が提供する情報を参照してく
ださい。

関連文書 (日本語)

マイクロソフト株式会社
2015 年 9 月のマイクロソフト セキュリティ情報の概要
https://technet.microsoft.com/ja-jp/library/security/ms15-Sep

JPCERT/CC Alert 2015-09-09
2015年9月 Microsoft セキュリティ情報 (緊急 5件含) に関する注意喚起
https://www.jpcert.or.jp/at/2015/at150032.html

【2】Adobe Shockwave Player に任意のコードが実行可能な脆弱性

情報源

US-CERT Current Activity
Adobe Releases Security Update for Shockwave Player
https://www.us-cert.gov/ncas/current-activity/2015/09/08/Adobe-Releases-Security-Update-Shockwave-Player

概要

Adobe Shockwave Player には、複数の脆弱性があります。結果として、遠隔の
第三者が、ユーザに細工したコンテンツを開かせることで、任意のコードを実
行する可能性があります。

対象となるバージョンは以下の通りです。

- Adobe Shockwave Player 12.1.9.160 およびそれ以前 (Windows 版)

この問題は、Adobe が提供する修正済みのバージョンに Adobe Shockwave Player
を更新することで解決します。詳細は、Adobe が提供する情報を参照してくだ
さい。

関連文書 (日本語)

Adobeセキュリティ情報
Adobe Shockwave Player用セキュリティアップデート公開
https://helpx.adobe.com/jp/security/products/shockwave/apsb15-22.html

【3】複数の YOKOGAWA 製品の通信機能に脆弱性

情報源

Japan Vulnerability Notes JVNVU#92677348
CENTUM を含む複数の YOKOGAWA 製品の通信機能に複数の脆弱性
https://jvn.jp/vu/JVNVU92677348/

概要

複数の YOKOGAWA 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可
能性があります。

対象となる製品およびバージョンは以下の通りです。

- CENTUM CS 1000 (R3.08.70およびそれ以前)
- CENTUM CS 3000 (R3.09.50およびそれ以前)
- CENTUM CS 3000 Small (R3.09.50およびそれ以前)
- CENTUM VP (R5.04.20およびそれ以前)
- CENTUM VP Small (R5.04.20およびそれ以前)
- CENTUM VP Basic (R5.04.20およびそれ以前)
- ProSafe-RS (R3.02.10およびそれ以前)
- Exaopc (R3.72.00およびそれ以前)
- Exaquantum (R2.85.00およびそれ以前)
- Exaquantum/Batch (R2.50.30およびそれ以前)
- Exapilot (R3.96.10およびそれ以前)
- Exaplog (R3.40.00およびそれ以前)
- Exasmoc (R4.03.20およびそれ以前)
- Exarqe (R4.03.20およびそれ以前)
- フィールド無線用OPCサーバ (R2.01.02およびそれ以前)
- PRM (R3.12.00およびそれ以前)
- STARDOM VDS (R7.30.01およびそれ以前)
- STARDOM OPC Server for Windows (R3.40およびそれ以前)
- FAST/TOOLS (R10.01およびそれ以前)
- B/M9000CS (R5.05.01およびそれ以前)
- B/M9000 VP (R7.03.04およびそれ以前)
- FieldMate (R1.01およびR1.02)

この問題は、横河電機株式会社が提供する修正済みのバージョンに該当する製
品を更新することで解決します。詳細は、横河電機株式会社が提供する情報を
参照してください。

関連文書 (日本語)

横河セキュリティ対策情報
YSAR-15-0003: CENTUM を含むYOKOGAWA製品の通信機能に複数の脆弱性
https://www.yokogawa.co.jp/dcs/security/ysar/YSAR-15-0003.pdf

関連文書 (英語)

ICS-CERT Advisory (ICSA-15-253-01)
Yokogawa Multiple Products Buffer Overflow Vulnerabilities
https://ics-cert.us-cert.gov/advisories/ICSA-15-253-01

【4】PIXUS MG7530 にクロスサイトリクエストフォージェリの脆弱性

情報源

Japan Vulnerability Notes JVN#07427376
PIXUS MG7530 におけるクロスサイトリクエストフォージェリの脆弱性
https://jvn.jp/jp/JVN07427376/

概要

PIXUS MG7530 には、クロスサイトリクエストフォージェリの脆弱性があります。
結果として、遠隔の第三者が、リモート UI にログインした状態のユーザを、
細工されたページにアクセスさせることで、ユーザの意図しない操作を行う可
能性があります。

対象となる製品は以下の通りです。

- インクジェットプリンター PIXUS MG7530

2015年9月14日現在、対策済みのバージョンは公開されていません。以下の回避
策を適用することで、本脆弱性の影響を軽減することが可能です。

- リモート UI にログインしている間、他のウェブサイトにアクセスしない

詳細は、キヤノン株式会社が提供する情報を参照してください。

関連文書 (日本語)

キヤノン株式会社
インクジェットプリンター（PIXUS シリーズ）ビジネスインクジェットプリンター（MAXIFY シリーズ）不正アクセス防止対策について
http://cweb.canon.jp/pdf-catalog/pixus/pdf/ij-security.pdf

■今週のひとくちメモ

○フィッシング対策協議会「フィッシングレポート 2015 ― 進む対策、利用者としてできること ―」を公開

2015年9月10日、フィッシング対策協議会は、フィッシングやその対策の動向
などをまとめた「フィッシングレポート 2015 ― 進む対策、利用者としてで
きること ―」を公開しました。このレポートでは、国内外ともにフィッシン
グの被害が増加していること、手口がさらに悪質・巧妙化していることなどが
報告されており、それらに対する金融機関の対策も紹介されています。

参考文献 (日本語)

フィッシング対策協議会
フィッシングレポート 2015 ― 進む対策、利用者としてできること ―
https://www.antiphishing.jp/report/pdf/phishing_report_2015.pdf

■JPCERT/CC からのお願い