-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2016-4401 JPCERT/CC 2016-11-09 <<< JPCERT/CC WEEKLY REPORT 2016-11-09 >>> ―――――――――――――――――――――――――――――――――――――― ■10/30(日)〜11/05(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】ISC BIND 9 にサービス運用妨害 (DoS) の脆弱性 【2】複数の Cisco 製品に脆弱性 【3】複数の Apple 製品に脆弱性 【4】Windows 版 公的個人認証サービス　利用者クライアントソフトに脆弱性 【5】WFS-SR01 に複数の脆弱性 【6】スマートフォンアプリ「mobiGate」に SSL サーバ証明書の検証不備の脆弱性 【7】(再掲) Internet Week 2016 のお知らせ 【今週のひとくちメモ】IPA が「セキュア・プログラミング講座　(2016年10月)」を公開 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2016/wr164401.html https://www.jpcert.or.jp/wr/2016/wr164401.xml ============================================================================ 【1】ISC BIND 9 にサービス運用妨害 (DoS) の脆弱性 情報源 US-CERT Current Activity ISC Releases Security Updates for BIND https://www.us-cert.gov/ncas/current-activity/2016/11/01/ISC-Releases-Security-Updates-BIND 概要 ISC BIND 9 には、脆弱性があります。結果として、遠隔の第三者がサービス 運用妨害 (DoS) 攻撃を行う可能性があります。 対象となるバージョンは以下の通りです。 - BIND 9.0.x から 9.8.x まで - BIND 9.9.0 から 9.9.9-P3 まで - BIND 9.9.3-S1 から 9.9.9-S5 まで - BIND 9.10.0 から 9.10.4-P3 まで - BIND 9.11.0 この問題は、BIND 9 を ISC が提供する修正済みのバージョンに更新すること で解決します。詳細は、ISC が提供する情報を参照してください。 関連文書 (日本語) 株式会社日本レジストリサービス (JPRS) （緊急）BIND 9.xの脆弱性（DNSサービスの停止）について（CVE-2016-8864） https://jprs.jp/tech/security/2016-11-02-bind9-vuln-dname.html 一般社団法人日本ネットワークインフォメーションセンター (JPNIC) DNAMEを含む応答の処理に関わるBIND 9の脆弱性について(2016年11月) https://www.nic.ad.jp/ja/topics/2016/20161102-01.html Japan Vulnerability Notes JVNVU#92683474 ISC BIND の DNAME レコードを含む応答パケットの処理に脆弱性 https://jvn.jp/vu/JVNVU92683474/ JPCERT/CC Alert 2016-11-02 ISC BIND 9 サービス運用妨害の脆弱性 (CVE-2016-8864) に関する注意喚起 https://www.jpcert.or.jp/at/2016/at160044.html 関連文書 (英語) ISC Knowledge Base CVE-2016-8864: A problem handling responses containing a DNAME answer can lead to an assertion failure https://kb.isc.org/article/AA-01434/ 【2】複数の Cisco 製品に脆弱性 情報源 US-CERT Current Activity Cisco Releases Security Updates for Multiple Products https://www.us-cert.gov/ncas/current-activity/2016/11/02/Cisco-Releases-Security-Updates-Multiple-Products 概要 複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするな どの可能性があります。 対象となる製品およびバージョンは以下の通りです。 - Acano Meeting Apps 1.8.35 より前のバージョン - Acano Server 1.8.17 より前のバージョン - Acano Server 1.9.5 より前のバージョン - Cisco Application Policy Infrastructure Controller (APIC) - Cisco AsyncOS Software for Cisco Email Security Appliances (ESA) - Cisco AsyncOS Software for Web Security Appliances (WSA) - Cisco IOS XE Software 3.17.0S, 3.17.1S, 3.17.2S, 3.18.0S, 3.18.1S が稼働している Cisco ASR 900 Series Aggregation Services Routers - Cisco Meeting App 1.9.8 より前のバージョン - Cisco Meeting Server 2.0.3 より前のバージョン - Cisco Nexus 9000 Series Leaf Switches (TOR) - ACI Mode - Cisco Prime Home versions 5.1.1.6 およびそれ以前 - Cisco Prime Home versions 5.2.2.2 およびそれ以前 - StarOS 18.0 およびそれ以降が稼働している Cisco ASR 5500 devices with Data Processing Card 2 (DPC2) - TelePresence CE software - TelePresence TC software この問題は、該当する製品を、Cisco が提供する修正済みのバージョンに更新 することで解決します。詳細は、Cisco が提供する情報を参照してください。 関連文書 (英語) Cisco Cisco Security Advisories and Alerts https://tools.cisco.com/security/center/publicationListing.x 【3】複数の Apple 製品に脆弱性 情報源 Japan Vulnerability Notes JVNVU#97557859 複数の Apple 製品における脆弱性に対するアップデート https://jvn.jp/vu/JVNVU97557859/ 概要 複数の Apple 製品には、脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行したり、情報を取得したりする可能性があります。 対象となる製品およびバージョンは以下の通りです。 - Xcode 8.1 より前のバージョン - iCloud for Windows 6.0.1 より前のバージョン - Windows 版 iTunes 12.5.2 より前のバージョン この問題は、該当する製品を、Apple が提供する修正済みのバージョンに更新 することで解決します。詳細は、Apple が提供する情報を参照してください。 関連文書 (日本語) Apple Xcode 8.1 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT207268 Apple Windows 用 iCloud 6.0.1 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT207273 Apple iTunes for Windows 12.5.2 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT207274 【4】Windows 版 公的個人認証サービス　利用者クライアントソフトに脆弱性 情報源 Japan Vulnerability Notes JVN#91002412 Windows 版 公的個人認証サービス　利用者クライアントソフトのインストーラにおける DLL 読み込みに関する脆弱性 https://jvn.jp/jp/JVN91002412/ 概要 Windows 版 公的個人認証サービス　利用者クライアントソフトのインストー ラには、DLL 読み込みに関する脆弱性があります。結果として、第三者が任意 のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - 公的個人認証サービス　利用者クライアントソフト Ver3.0.1（Windows7以降対応版）およびそれ以前の Ver3 系 - 公的個人認証サービス　利用者クライアントソフト Ver3.0.1（Vista対応版）およびそれ以前の Ver3 系 - 公的個人認証サービス　利用者クライアントソフト Ver2.6 およびそれ以前 この問題は、地方公共団体情報システム機構が提供する修正済みのインストー ラを使用することで解決します。詳細は、地方公共団体情報システム機構が提 供する情報を参照してください。 関連文書 (日本語) 公的個人認証サービス ポータルサイト 利用者クライアントソフトのダウンロード https://www.jpki.go.jp/download/win.html#dl 【5】WFS-SR01 に複数の脆弱性 情報源 Japan Vulnerability Notes JVN#18228200 WFS-SR01 における複数の脆弱性 https://jvn.jp/jp/JVN18228200/ 概要 WFS-SR01 には、複数の脆弱性があります。結果として、遠隔の第三者が、任 意のコードを実行したり、挿入された SD カード等にアクセスしたりする可能 性があります。 対象となるバージョンは以下の通りです。 -WFS-SR01 ファームウェアバージョン 1.10 およびそれ以前 2016年11月8日現在、対策済みのファームウェアは公開されていません。以下 の回避策を適用することで、本脆弱性の影響を軽減することが可能です。 - ポケットルーター機能を使用しない 詳細は、株式会社アイ・オー・データ機器が提供する情報を参照してください。 関連文書 (日本語) 株式会社アイ・オー・データ機器 Wi-Fiストレージ「WFS-SR01」セキュリティの脆弱性につきまして http://www.iodata.jp/support/information/2016/wfs-sr01/ 【6】スマートフォンアプリ「mobiGate」に SSL サーバ証明書の検証不備の脆弱性 情報源 Japan Vulnerability Notes JVN#27260483 スマートフォンアプリ「mobiGate」における SSL サーバ証明書の検証不備の脆弱性 https://jvn.jp/jp/JVN27260483/ 概要 スマートフォンアプリ「mobiGate」には、SSL サーバ証明書の検証不備の脆弱 性があります。結果として、遠隔の第三者が、中間者攻撃によって暗号通信を 盗聴するなどの可能性があります。 対象となるバージョンは以下の通りです。 - Android アプリ「mobiGate」 バージョン 2.2.1.2 およびそれ以前 - iOS アプリ「mobiGate」 バージョン 2.2.4.1 およびそれ以前 この問題は、「mobiGate」を、日本ユニシス株式会社が提供する修正済みのバー ジョンに更新することで解決します。詳細は、日本ユニシス株式会社が提供す る情報を参照してください。 【7】(再掲) Internet Week 2016 のお知らせ 情報源 Internet Week 2016 https://internetweek.jp/ 概要 2016年11月29日(火) から 12月2日(金) まで、浅草橋のヒューリックホール＆ ヒューリックカンファレンスにおいて JPNIC 主催の Internet Week 2016 が 開催されます。JPCERT/CC は企画・運営の協力と後援をしており、11月30日の 「T9 実践インシデント対応〜侵入された痕跡を発見せよ〜」、12月1日の 「D3-1 脆弱性情報と賢く付き合う〜発見から対策までの最前線〜」では講師 を務めています。 事前申込みの締め切りは 11月18日(金) 17:00 ですが、定員に達し次第、受付 を終了いたします。定員間近のセッションもございますので、参加を検討され ている方はお早めにお申し込みください。 関連文書 (日本語) Internet Week 2016 参加申込 https://internetweek.jp/apply/ Internet Week 2016 T9 実践インシデント対応〜侵入された痕跡を発見せよ〜 https://internetweek.jp/program/t09/ Internet Week 2016 D3-1 脆弱性情報と賢く付き合う〜発見から対策までの最前線〜 https://internetweek.jp/program/d3/d3-1.html ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○IPA が「セキュア・プログラミング講座　(2016年10月)」を公開 2016年10月31日、情報処理推進機構 (IPA) は「セキュア・プログラミング講 座　(2016年10月)」を公開しました。この講座は、これまで IPA が公開して きた「Webプログラマコース」、「製品プログラマコース」、「Webアプリケー ション編」、「C/C++編」に共通する原則をまとめて再編したものです。「脅 威モデリング」や「計画すべきセキュリティ機能」など、5つの章で構成され ています。 参考文献 (日本語) 情報処理推進機構 (IPA) IPA セキュア・プログラミング講座 https://www.ipa.go.jp/security/awareness/vendor/programming/index.html 情報処理推進機構 (IPA) セキュア・プログラミング講座　(2016年10月) https://www.ipa.go.jp/files/000055265.pdf ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2016 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJYJYAeAAoJEDF9l6Rp7OBIo9cH/ieRZOpf3CnmoNR4wIiBK03n DlYiNHw7/B8gPZkIbAJrQx6HQHHUqsyGOcEgG1l6k96vKScE/8RLjUjNOlLaVq+M P37QT8iSJP7yFqPMH6o6/HXAPbNjOlbbiglV8/ZvcSxJQQ8san4gFxnUsgctQpnU P1IpoEMIuYimi0o1JsOWKN1nZYv1JdkN+gno5ggOgvouPoKrAWq3CvrrJU8Z9SvO 2Y7qqz+DqoPcGI1iIC1epik6N6+qjJ9IJAJQb5W+Eqv6GM6dnfxVkb8agSYbiEb1 5f39y11bgzQBTJrxnrEfWSSgHNTFGtR9Cra8uigmmmhJfDgn2vyebpcCJ722ssw= =8bg4 -----END PGP SIGNATURE-----