-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2016-4201 JPCERT/CC 2016-10-26 <<< JPCERT/CC WEEKLY REPORT 2016-10-26 >>> ―――――――――――――――――――――――――――――――――――――― ■10/16(日)〜10/22(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】Linux Kernel に競合状態が発生する脆弱性 【2】2016年10月 Oracle Critical Patch Update について 【3】Mozilla Firefox に複数の脆弱性 【4】ISC BIND 9 にサービス運用妨害 (DoS) の脆弱性 【5】複数の Cisco 製品に脆弱性 【6】e-Taxソフトのインストーラに脆弱性 【7】Evernote for Windows のインストーラに脆弱性 【8】WordPress 用プラグイン WP-OliveCart に複数の脆弱性 【9】ASUS RP-AC52 に複数の脆弱性 【10】Synology 製の複数の NAS サーバに機器共通の認証情報が設定されている問題 【11】(再掲)「フィッシング対策セミナー 2016」開催のお知らせ 【今週のひとくちメモ】第9回 日・ASEAN 情報セキュリティ政策会議 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2016/wr164201.html https://www.jpcert.or.jp/wr/2016/wr164201.xml ============================================================================ 【1】Linux Kernel に競合状態が発生する脆弱性 情報源 US-CERT Current Activity Linux Kernel Vulnerability https://www.us-cert.gov/ncas/current-activity/2016/10/21/Linux-Kernel-Vulnerability 概要 Linux Kernel には、競合状態が発生する脆弱性があります。結果として、一 般ユーザが root 権限を取得する可能性があります。 対象となるバージョンは以下の通りです。 - Linux Kernel 2.6.22 から 4.8.3 より前のバージョンまで - Linux Kernel 2.6.22 から 4.7.9 より前のバージョンまで - Linux Kernel 2.6.22 から 4.4.26 より前のバージョンまで この問題は、該当する製品を、使用している OS のベンダや配布元が提供する 修正済みのバージョンに更新することで解決します。詳細は、OS のベンダや 配布元が提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#91983575 Linux カーネルのメモリサブシステムに実装されている copy-on-write 機構に競合状態が発生する脆弱性 https://jvn.jp/vu/JVNVU91983575/ 関連文書 (英語) CERT/CC Vulnerability Note VU#243144 Linux kernel memory subsystem copy on write mechanism contains a race condition vulnerability https://www.kb.cert.org/vuls/id/243144 Red Hat, Inc. CVE-2016-5195 https://access.redhat.com/security/cve/cve-2016-5195 Debian GNU/Linux CVE-2016-5195 https://security-tracker.debian.org/tracker/CVE-2016-5195 Ubuntu CVE-2016-5195 in Ubuntu https://people.canonical.com/~ubuntu-security/cve/2016/CVE-2016-5195.html 【2】2016年10月 Oracle Critical Patch Update について 情報源 US-CERT Current Activity Oracle Releases Security Bulletin https://www.us-cert.gov/ncas/current-activity/2016/10/18/Oracle-Releases-Security-Bulletin 概要 Oracle から複数の製品およびコンポーネントの脆弱性に対応した Oracle Critical Patch Update Advisory が公開されました。 詳細は、Oracle が提供する情報を参照してください。 関連文書 (日本語) JPCERT/CC Alert 2016-10-19 2016年10月 Oracle Java SE のクリティカルパッチアップデートに関する注意喚起 https://www.jpcert.or.jp/at/2016/at160042.html 関連文書 (英語) Oracle Oracle Critical Patch Update Advisory - October 2016 http://www.oracle.com/technetwork/security-advisory/cpuoct2016-2881722.html 【3】Mozilla Firefox に複数の脆弱性 情報源 US-CERT Current Activity Mozilla Releases Security Update for Firefox https://www.us-cert.gov/ncas/current-activity/2016/10/20/Mozilla-Releases-Security-Update-Firefox 概要 Mozilla Firefox には、複数の脆弱性があります。結果として、遠隔の第三者 が、サービス運用妨害 (DoS) 攻撃を行ったり、情報を取得したりする可能性 があります。 対象となるバージョンは以下の通りです。 - Firefox 49.0.2 より前のバージョン この問題は、Firefox を Mozilla が提供する修正済みのバージョンに更新す ることで解決します。詳細は、Mozilla が提供する情報を参照してください。 関連文書 (日本語) Mozilla Japan MFSA 2016-87: Firefox 49.0.2 で修正されたセキュリティ脆弱性 http://www.mozilla-japan.org/security/announce/2016/mfsa2016-87.html 【4】ISC BIND 9 にサービス運用妨害 (DoS) の脆弱性 情報源 US-CERT Current Activity ISC Releases Security Advisory https://www.us-cert.gov/ncas/current-activity/2016/10/20/ISC-Releases-Security-Advisory 概要 ISC BIND 9 には、脆弱性があります。結果として、遠隔の第三者が、細工し たオプション情報を含むパケットを送信することで、サービス運用妨害 (DoS) 攻撃を行う可能性があります。 対象となるバージョンは以下の通りです。 - BIND 9.1.0 から 9.8.4-P2 まで - BIND 9.9.0 から 9.9.2-P2 まで この問題は、BIND 9 を ISC が提供する修正済みのバージョンに更新すること で解決します。詳細は、ISC が提供する情報を参照してください。 関連文書 (日本語) 株式会社日本レジストリサービス (JPRS) （緊急）BIND 9.xの脆弱性（DNSサービスの停止）について（CVE-2016-2848） https://jprs.jp/tech/security/2016-10-21-bind9-vuln-malformed-options.html 一般社団法人日本ネットワークインフォメーションセンター (JPNIC) BIND 9における不正なパケットによるサーバ停止の脆弱性について(2016年10月) https://www.nic.ad.jp/ja/topics/2016/20161021-01.html Japan Vulnerability Notes JVNVU#95603997 ISC BIND 9 にサービス運用妨害 (DoS) の脆弱性 https://jvn.jp/vu/JVNVU95603997/ 関連文書 (英語) ISC Knowledge Base CVE-2016-2848: A packet with malformed options can trigger an assertion failure in ISC BIND versions released prior to May 2013 and in packages derived from releases prior to that date. https://kb.isc.org/article/AA-01433 【5】複数の Cisco 製品に脆弱性 情報源 US-CERT Current Activity Cisco Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2016/10/19/Cisco-Releases-Security-Updates 概要 複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするな どの可能性があります。 対象となる製品およびバージョンは以下の通りです。 - Cisco ASA 5500 Series Adaptive Security Appliances - Cisco ASA 5500-X Series Next-Generation Firewalls - Cisco ASA 5500-X Series with FirePOWER Services 5.4.1.5 - Cisco ASA 5500-X Series with FirePOWER Services 6.0 - Cisco ASA 5500-X Series with FirePOWER Services 6.0.0.1 - Cisco Catalyst 6500 Series/7600 Series ASA Services Module - Cisco ASA 1000V Cloud Firewall - Cisco Adaptive Security Virtual Appliance (ASAv) - Cisco ASA for Firepower 9300 Series - Cisco ASA for Firepower 4100 Series - Cisco ISA 3000 Industrial Security Appliance - Cisco Advanced Malware Protection (AMP) for Networks, 7000 Series Appliances 5.4.1.5 - Cisco Advanced Malware Protection (AMP) for Networks, 7000 Series Appliances 6.0 - Cisco Advanced Malware Protection (AMP) for Networks, 7000 Series Appliances 6.0.0.1 - Cisco Advanced Malware Protection (AMP) for Networks, 8000 Series Appliances 5.4.1.5 - Cisco Advanced Malware Protection (AMP) for Networks, 8000 Series Appliances 6.0 - Cisco Advanced Malware Protection (AMP) for Networks, 8000 Series Appliances 6.0.0.1 - Cisco Firepower 4100 Series Security Appliances 5.4.1.5 - Cisco Firepower 4100 Series Security Appliances 6.0 - Cisco Firepower 4100 Series Security Appliances 6.0.0.1 - Cisco FirePOWER 7000 Series Appliances 5.4.1.5 - Cisco FirePOWER 7000 Series Appliances 6.0 - Cisco FirePOWER 7000 Series Appliances 6.0.0.1 - Cisco FirePOWER 8000 Series Appliances 5.4.1.5 - Cisco FirePOWER 8000 Series Appliances 6.0 - Cisco FirePOWER 8000 Series Appliances 6.0.0.1 - Cisco Firepower 9300 Series Security Appliances 5.4.1.5 - Cisco Firepower 9300 Series Security Appliances 6.0 - Cisco Firepower 9300 Series Security Appliances 6.0.0.1 - Cisco FirePOWER Threat Defense for Integrated Services Routers (ISRs) 5.4.1.5 - Cisco FirePOWER Threat Defense for Integrated Services Routers (ISRs) 6.0 - Cisco FirePOWER Threat Defense for Integrated Services Routers (ISRs) 6.0.0.1 - Cisco Sourcefire 3D System Appliances 5.4.1.5 - Cisco Sourcefire 3D System Appliances 6.0 - Cisco Sourcefire 3D System Appliances 6.0.0.1 - Cisco Virtual Next-Generation Intrusion Prevention System (NGIPSv) for VMware 5.4.1.5 - Cisco Virtual Next-Generation Intrusion Prevention System (NGIPSv) for VMware 6.0 - Cisco Virtual Next-Generation Intrusion Prevention System (NGIPSv) for VMware 6.0.0.1 - Cisco Meeting Server この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新 することで解決します。詳細は、Cisco が提供する情報を参照してください。 関連文書 (英語) Cisco Security Advisory Cisco ASA Software Identity Firewall Feature Buffer Overflow Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20161019-asa-idfw Cisco Security Advisory Cisco Firepower Detection Engine HTTP Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20161019-fpsnort Cisco Security Advisory Cisco ASA Software Local Certificate Authority Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20161019-asa-ca Cisco Security Advisory Cisco Meeting Server Information Disclosure Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20161019-cms1 Cisco Security Advisory Cisco Meeting Server Cross-Site Request Forgery Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20161019-cms 【6】e-Taxソフトのインストーラに脆弱性 情報源 Japan Vulnerability Notes JVN#63012325 e-Taxソフトのインストーラにおける DLL 読み込みに関する脆弱性 https://jvn.jp/jp/JVN63012325/ 概要 e-Taxソフトのインストーラには、DLL 読み込みに関する脆弱性があります。 結果として、第三者が任意のコードを実行する可能性があります。 対象となる製品は以下の通りです。 - e-Taxソフトのインストーラ この問題は、国税庁が提供する修正済みのインストーラを使用することで解決 します。詳細は、国税庁が提供する情報を参照してください。 関連文書 (日本語) e-Tax e-Taxソフト等の一部ダウンロード及びバージョンアップの再開について http://www.e-tax.nta.go.jp/topics/topics_281014.htm 【7】Evernote for Windows のインストーラに脆弱性 情報源 Japan Vulnerability Notes JVN#03251132 Evernote for Windows のインストーラにおける任意の DLL 読み込みに関する脆弱性 https://jvn.jp/jp/JVN03251132/ 概要 Evernote for Windows のインストーラには、任意の DLL 読み込みに関する脆 弱性があります。結果として、第三者が任意のコードを実行する可能性があり ます。 対象となるバージョンは以下の通りです。 - Evernote for Windows 6.3 より前のバージョンのインストーラ この問題は、Evernote が提供する修正済みのインストーラを使用することで 解決します。詳細は、Evernote が提供する情報を参照してください。 関連文書 (英語) Evernote Product Security Updates Evernote for Windows https://evernote.com/security/updates/#win 【8】WordPress 用プラグイン WP-OliveCart に複数の脆弱性 情報源 Japan Vulnerability Notes JVN#14567604 WordPress 用プラグイン WP-OliveCart における複数の脆弱性 https://jvn.jp/jp/JVN14567604/ 概要 WordPress 用プラグイン WP-OliveCart には、複数の脆弱性があります。結果 として、遠隔の第三者が、ユーザのブラウザ上で任意のスクリプトを実行した り、ユーザの意図しない操作を行ったりするなどの可能性があります。 対象となるバージョンは以下の通りです。 - WP-OliveCart 3.1.3 より前のバージョン - WP-OliveCartPro 3.1.8 より前のバージョン この問題は、WP-OliveCart をオリーブデザインが提供する修正済みのバージョン に更新することで解決します。詳細は、オリーブデザインが提供する情報を参 照してください。 関連文書 (日本語) WP-OliveCart WP-OliveCart、WP-OliveCartProの脆弱性の修正 http://www.wp-olivecart.com/news/20160925.html 【9】ASUS RP-AC52 に複数の脆弱性 情報源 CERT/CC Vulnerability Note VU#763843 ASUS RP-AC52 contains multiple vulnerabilities https://www.kb.cert.org/vuls/id/763843 概要 ASUS RP-AC52 には、複数の脆弱性があります。結果として、遠隔の第三者が、 ユーザの意図しない操作を行ったり、任意のコマンドを実行したりする可能性 があります。 対象となるバージョンは以下の通りです。 - RP-AC52 ファームウェアバージョン 1.0.1.1s およびそれ以前 2016年10月25日現在、対策済みのバージョンは公開されていません。以下の回 避策を適用することで、本脆弱性の影響を軽減することが可能です。 - ウェブインターフェースにログインしている間は、他のサイトにアクセスしない 詳細は、ASUS が提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#96741452 ASUS RP-AC52 に複数の脆弱性 https://jvn.jp/vu/JVNVU96741452/ 【10】Synology 製の複数の NAS サーバに機器共通の認証情報が設定されている問題 情報源 CERT/CC Vulnerability Note VU#404187 Synology NAS servers contain insecure default credentials https://www.kb.cert.org/vuls/id/404187 概要 Synology 製の複数の NAS サーバには、機器共通の認証情報が設定されている 問題があります。結果として、遠隔の第三者が管理者権限で機器にアクセスす る可能性があります。 対象となる製品およびバージョンは以下の通りです。 - Disk Station DS107 - DiskStation DS116 firmware version 5.2-5644-1 より前のバージョン - DiskStation DS213 firmware version 5.2-5644-1 より前のバージョン DS116 および DS213 は、ファームウェアを、Synology Inc. が提供する修正 済みのバージョンに更新し、アカウント「guest」を無効にすることで解決し ます。DS107 は、2016年10月25日現在、対策済みのバージョンは公開されてい ません。以下の回避策を適用することで、本脆弱性の影響を軽減することが可 能です。 - 初期設定で存在しているアカウントを無効にする 詳細は、Synology Inc. が提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#93774715 Synology 製の複数の NAS サーバに機器共通の認証情報が設定されている問題 https://jvn.jp/vu/JVNVU93774715/ 関連文書 (英語) Synology Inc. DS213 - Release Notes https://www.synology.com/en-global/releaseNote/DS213 【11】(再掲)「フィッシング対策セミナー 2016」開催のお知らせ 情報源 フィッシング対策協議会 フィッシング対策セミナー 2016 開催のご案内 https://www.antiphishing.jp/news/event/antiphishing_seminar2016.html 概要 フィッシング対策協議会では、「フィッシング対策セミナー 2016」を開催い たします。本セミナーではフィッシング詐欺に関連する法執行機関、E コマー ス、金融機関、学術機関の 4者それぞれの専門的な立場から、最新の情報と詐 欺の傾向、その対応策などをご紹介いたします。 多数のお申込みをいただいており、まもなく満席となります。参加を希望され る方はお早めにお申込みください。 日時および場所: 2016年11月22日(火) 13:00 - 18:00 (受付開始 12:15) 大崎ブライトコア (JR 大崎駅 新東口) 〒141-0001 東京都品川区北品川5丁目5番15号 大崎ブライトコア3階 http://osaki-hall.jp/access/ ※参加費は無料です。ただし、事前に参加申込みが必要となります。満席にな り次第、受付終了とさせていただきますので、ご了承ください。 ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○第9回 日・ASEAN 情報セキュリティ政策会議 2016年10月20日から 21日にかけて、日本政府と ASEAN 諸国は、「第9回 日・ ASEAN 情報セキュリティ政策会議」を行いました。この会議は、サイバーセキュ リティ分野において日本と ASEAN 諸国との連携を強化するためのものです。 今回の会議では、「重要インフラ防護に関するガイドライン」が承認されまし た。また、このガイドラインに基づき ASEAN 各国における重要インフラ防護 政策の導入・実施に向けた、今後の協力について合意しました。 参考文献 (日本語) 内閣官房内閣サイバーセキュリティセンター (NISC) 第９回 日・ASEAN 情報セキュリティ政策会議の結果 http://www.nisc.go.jp/press/pdf/aseanj_meeting20161021.pdf 総務省 第9回 日・ASEAN情報セキュリティ政策会議の結果 http://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000111.html ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2016 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJYD/iAAAoJEDF9l6Rp7OBItccIAIJNabdYRlkOhKlVoU93FjoK VtQeNCXEGuv970udaNmLBXirx5YYOMbhToZjmKzBCDA6V/eDLWFPwbeuW7xiUn5q U1zYJrJmbhHpT5bquUlHK73S03KXXl/p1V9e1xq/zno4wTkYYD63ckICheK7P3Io P5K7bAsqyVRO5lTm6hnu9ebQYWhzhKkUcunH6NLYpVEyGML26EqbaHcPSFAChjVx 0EL0tXM1LufA4O7JL6OMhmO+IiZBUfqtJDmhdVcGkyNcEYKyfG94f+McPIzZIA9N BGjygct8wWJR/ZsHd3FOjJJgfm4K/dxmNVJtjvqACOqIaBeJUbW3lXsw0O6eFDE= =zzSx -----END PGP SIGNATURE-----