-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2016-2801 JPCERT/CC 2016-07-21 <<< JPCERT/CC WEEKLY REPORT 2016-07-21 >>> ―――――――――――――――――――――――――――――――――――――― ■07/10(日)〜07/16(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】複数の Microsoft 製品に脆弱性 【2】複数の Adobe 製品に脆弱性 【3】複数の Cisco 製品に脆弱性 【4】libbpg に任意のコードを実行可能な脆弱性 【5】Android 版「WAONサービスアプリ」に SSL サーバ証明書の検証不備の脆弱性 【6】「フィッシング対策ガイドライン実践セミナー」開催のお知らせ 【今週のひとくちメモ】IPA が「ウイルス感染したという警告でアプリのインストールを誘導する手口が急増」を公開 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2016/wr162801.html https://www.jpcert.or.jp/wr/2016/wr162801.xml ============================================================================ 【1】複数の Microsoft 製品に脆弱性 情報源 US-CERT Current Activity Microsoft Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2016/07/12/Microsoft-Releases-Security-Updates 概要 複数の Microsoft 製品には脆弱性があります。結果として、遠隔の第三者が 任意のコードを実行するなどの可能性があります。 対象となる製品は以下の通りです。 - Microsoft Windows - Internet Explorer - Microsoft Edge - Microsoft Office - Microsoft Office Services および Web Apps - Microsoft .NET Framework この問題は、Microsoft Update 等を用いて、更新プログラムを適用すること で解決します。詳細は、Microsoft が提供する情報を参照してください。 関連文書 (日本語) マイクロソフト株式会社 2016 年 7 月のマイクロソフト セキュリティ情報の概要 https://technet.microsoft.com/ja-jp/library/security/ms16-jul JPCERT/CC Alert 2016-07-13 2016年 7月 Microsoft セキュリティ情報 (緊急 6件含) に関する注意喚起 https://www.jpcert.or.jp/at/2016/at160028.html 【2】複数の Adobe 製品に脆弱性 情報源 US-CERT Current Activity Adobe Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2016/07/12/Adobe-Releases-Security-Updates 概要 複数の Adobe 製品には、脆弱性があります。結果として、遠隔の第三者が任 意のコードを実行するなどの可能性があります。 対象となる製品およびバージョンは以下の通りです。 - Adobe Flash Player デスクトップランタイム 22.0.0.192 およびそれ以前 (Windows 版、Macintosh 版) - Adobe Flash Player 継続サポートリリース 18.0.0.360 およびそれ以前 (Windows 版、Macintosh 版) - Adobe Flash Player 11.2.202.626 およびそれ以前 (Linux 版) - Adobe Acrobat DC 連続トラック 15.016.20045 およびそれ以前 (Windows 版、Macintosh 版) - Adobe Acrobat Reader DC 連続トラック 15.016.20045 およびそれ以前 (Windows 版、Macintosh 版) - Adobe Acrobat DC クラシック 15.006.30174 およびそれ以前 (Windows 版、Macintosh 版) - Adobe Acrobat Reader DC クラシック 15.006.30174 およびそれ以前 (Windows 版、Macintosh 版) - Adobe Acrobat XI 11.0.16 およびそれ以前 (Windows 版、Macintosh 版) - Adobe Reader XI 11.0.16 およびそれ以前 (Windows 版、Macintosh 版) - Adobe XMP Tooklit for Java 5.1.2 およびそれ以前 この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新 することで解決します。詳細は、Adobe が提供する情報を参照してください。 関連文書 (日本語) Adobe セキュリティ情報 Adobe Flash Player に関するセキュリティアップデート公開 https://helpx.adobe.com/jp/security/products/flash-player/apsb16-25.html Adobe セキュリティ情報 Adobe Acrobat および Reader に関するセキュリティアップデート公開 https://helpx.adobe.com/jp/security/products/acrobat/apsb16-26.html Adobe セキュリティ情報 Adobe XMP Toolkit for Java に関するセキュリティアップデート公開 https://helpx.adobe.com/jp/security/products/xmpcore/apsb16-24.html JPCERT/CC Alert 2016-07-13 Adobe Flash Player の脆弱性 (APSB16-25) に関する注意喚起 https://www.jpcert.or.jp/at/2016/at160029.html JPCERT/CC Alert 2016-07-13 Adobe Reader および Acrobat の脆弱性 (APSB16-26) に関する注意喚起 https://www.jpcert.or.jp/at/2016/at160030.html 【3】複数の Cisco 製品に脆弱性 情報源 US-CERT Current Activity Cisco Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2016/07/14/Cisco-Releases-Security-Updates 概要 複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、 SNMP コミュニティストリングを取得したり、サービス運用妨害 (DoS) 攻撃を 行ったりする可能性があります。 対象となる製品およびバージョンは以下の通りです。 - Cisco NCS 6000 - Cisco ASR 5000 シリーズ 19.4 より前のバージョン - Cisco ASR 5000 シリーズ 20.1 より前のバージョン この問題は、該当する製品のファームウェアを Cisco が提供する修正済みの バージョンに更新することで解決します。詳細は、Cisco が提供する情報を参 照してください。 関連文書 (英語) Cisco Security Advisory Cisco ASR 5000 Series SNMP Community String Disclosure Vulnerability http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160713-asr Cisco Security Advisory Cisco IOS XR for NCS 6000 Packet Timer Leak Denial of Service Vulnerability http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160713-ncs6k 【4】libbpg に任意のコードを実行可能な脆弱性 情報源 CERT/CC Vulnerability Note VU#123799 libbpg contains a type confusion vulnerability that leads to out of bounds write https://www.kb.cert.org/vuls/id/123799 概要 libbpg には、メモリ境界外への書き込みを行う脆弱性があります。結果とし て、遠隔の第三者が細工した BPG ファイルを処理させることで、任意のコー ドを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があり ます。 対象となるバージョンは以下の通りです。他のバージョンでも本脆弱性の影響 を受ける可能性があります。 - libbpg 0.9.5 から 0.9.7 まで 2016年7月20日現在、対策済みのバージョンは公開されていません。ImageMagick で libbpg を使用している場合には、以下の回避策を適用することで、本脆弱 性の影響を軽減することが可能です。 - BPG ファイルを拒否するよう、policy.xml を変更する - BPG に関する要素を delegate.xml から削除する 詳細は、開発者が提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#96627087 libbpg にメモリ境界外への書き込みを行う脆弱性 https://jvn.jp/vu/JVNVU96627087/ 関連文書 (英語) ImageMagick Security Policy https://www.imagemagick.org/script/security-policy.php 【5】Android 版「WAONサービスアプリ」に SSL サーバ証明書の検証不備の脆弱性 情報源 Japan Vulnerability Notes JVN#68364327 Android アプリ「WAONサービスアプリ」における SSL サーバ証明書の検証不備の脆弱性 https://jvn.jp/jp/JVN68364327/ 概要 Android 版「WAONサービスアプリ」には、SSL サーバ証明書の検証不備の脆弱 性があります。結果として、遠隔の第三者が中間者攻撃によって暗号通信を盗 聴するなどの可能性があります。 対象となるバージョンは以下の通りです。 - Android 版「WAONサービスアプリ」 V1.4.1 およびそれ以前 この問題は、Android 版「WAONサービスアプリ」を、イオン株式会社が提供す る修正済みのバージョンに更新することで解決します。詳細は、イオン株式会 社が提供する情報を参照してください。 【6】「フィッシング対策ガイドライン実践セミナー」開催のお知らせ 情報源 フィッシング対策協議会 フィッシング対策ガイドライン実践セミナー開催のご案内 https://www.antiphishing.jp/news/event/antiphishing_guideline_seminar2016.html 概要 フィッシング対策協議会は「フィッシング対策ガイドライン実践セミナー」を 開催いたします。本セミナーでは、フィッシングサイトやフィッシングメール などへの対応ノウハウをセミナー形式で解説します。また、欧州におけるフィッ シングの現状についての紹介も予定しております。 参加費は無料です。ただし、事前に参加申し込みが必要です。満席になり次第、 受付終了とさせていただきますので、ご了承ください。 日時および場所: 2016年8月10日(水) 14:00-17:00 (受付開始 13:30) 日立システムズ ソリューションスクエア東京 東京都品川区大崎1-2-1 大崎フロントタワー http://www.hitachi-systems.com/ss/sst/guide/index.html ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○IPA が「ウイルス感染したという警告でアプリのインストールを誘導する手口が急増」を公開 2016年7月11日、情報処理推進機構 (IPA) は、「安心相談窓口だより ウイル ス感染したという警告でアプリのインストールを誘導する手口が急増」を公開 しました。この報告によると、Android 端末でウェブサイトを閲覧中に、端末 がウイルス感染したという警告画面が表示され、特定のアプリをインストール させようとする事例が急増しているとのことで、警告画面が現れたら、警告メッ セージを鵜呑みにせずにブラウザのタブを閉じるように呼びかけています。 参考文献 (日本語) 情報処理推進機構 (IPA) 安心相談窓口だより ウイルス感染したという警告でアプリのインストールを誘導する手口が急増 https://www.ipa.go.jp/security/anshin/mgdayori20160711.html ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2016 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJXkBR1AAoJEDF9l6Rp7OBIUvQH/14vF0maUZXI5ey4wbwhWamC p3fIADWcnatuVsh1iLJHglukQqHFZQLRF5pPJstZnlH4zHw7Iz1pO7FgCoQqPWIU qsN3BTjLiUVgvl84uiy7nt2JCIuHJodH3V29rzqv/n3+byr1HK0Oqh+kPQAqvQeS 5INtX/jXP4Mz2pwdVPKfdbcpgTr1Gf07ViYwPKZXEgMrxw4peDC/JmGfIU1lOIFi qcuBn7NKTYH37EFC6k9Y6f4Xa4K4GgUTNoaqN1GxlBAgZ81USv3r/Gu0EG3ijEVe M+wcEw2xm0LkV8Jx4Gk0M+xcyHDSvKQa7JMNlKQ8ZMD2xHtWYy5OBKnKougEejE= =GFVz -----END PGP SIGNATURE-----