-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2017-1501 JPCERT/CC 2017-04-19 <<< JPCERT/CC WEEKLY REPORT 2017-04-19 >>> ―――――――――――――――――――――――――――――――――――――― ■04/09(日)〜04/15(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】複数の Microsoft 製品に脆弱性 【2】ISC BIND 9 に複数の脆弱性 【3】複数の Adobe 製品に脆弱性 【4】VMware vCenter Server に任意のコードが実行可能な脆弱性 【5】Apache Tomcat に複数の脆弱性 【6】サイボウズ Office に複数の脆弱性 【7】ASSETBASE にクロスサイトスクリプティングの脆弱性 【8】CS-Cart日本語版にアクセス制限不備の脆弱性 【9】WordPress 用プラグイン WP Statistics にクロスサイトスクリプティングの脆弱性 【10】東芝製メモリカード関連ソフトウェアの複数のインストーラに任意の DLL 読み込みに関する脆弱性 【11】WN-G300R3 に複数の脆弱性 【12】WN-AC1167GR にクロスサイトスクリプティングの脆弱性 【今週のひとくちメモ】サポート対象外 OS の利用による脅威 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2017/wr171501.html https://www.jpcert.or.jp/wr/2017/wr171501.xml ============================================================================ 【1】複数の Microsoft 製品に脆弱性 情報源 US-CERT Current Activity Microsoft Releases April 2017 Security Updates https://www.us-cert.gov/ncas/current-activity/2017/04/12/Microsoft-Releases-April-2017-Security-Updates 概要 複数の Microsoft 製品には、脆弱性があります。結果として、遠隔の第三者 が任意のコードを実行する可能性があります。 対象となる製品は以下の通りです。 - Internet Explorer - Microsoft Edge - Microsoft Windows - Microsoft Office - Microsoft Office Services および Web Apps - Visual Studio for Mac - .NET Framework - Silverlight この問題は、Microsoft Update 等を用いて、更新プログラムを適用すること で解決します。詳細は、Microsoft が提供する情報を参照してください。 関連文書 (日本語) マイクロソフト株式会社 2017 年 4 月のセキュリティ更新プログラム https://portal.msrc.microsoft.com/ja-jp/security-guidance/releasenotedetail/42b8fa28-9d09-e711-80d9-000d3a32fc99 Japan Vulnerability Notes JVNVU#98665451 Microsoft OLE URL Moniker における遠隔の HTA データに対する不適切な処理 https://jvn.jp/vu/JVNVU98665451/ JPCERT/CC Alert 2017-04-12 2017年 4月マイクロソフトセキュリティ更新プログラムに関する注意喚起 https://www.jpcert.or.jp/at/2017/at170015.html 【2】ISC BIND 9 に複数の脆弱性 情報源 US-CERT Current Activity ISC Releases Security Updates for BIND https://www.us-cert.gov/ncas/current-activity/2017/04/12/ISC-Releases-Security-Updates-BIND 概要 ISC BIND 9 には、複数の脆弱性があります。結果として、遠隔の第三者がサー ビス運用妨害 (DoS) 攻撃を行う可能性があります。 対象となるバージョンは以下の通りです。 - BIND 9.8.0 から 9.8.8-P1 まで - BIND 9.9.0 から 9.9.9-P7 まで - BIND 9.9.10b1 から 9.9.10rc2 まで - BIND 9.10.0 から 9.10.4-P7 まで - BIND 9.10.5b1 から 9.10.5rc2 まで - BIND 9.11.0 から 9.11.0-P4 まで - BIND 9.11.1b1 から 9.11.1rc2 まで - BIND 9.9.3-S1 から 9.9.9-S9 まで この問題は、ISC BIND を ISC が提供する修正済みのバージョンに更新するこ とで解決します。詳細は、ISC が提供する情報を参照してください。 関連文書 (日本語) 株式会社日本レジストリサービス (JPRS) (緊急)BIND 9.xの脆弱性(DNSサービスの停止)について(CVE-2017-3137) https://jprs.jp/tech/security/2017-04-13-bind9-vuln-cname-dname.html 株式会社日本レジストリサービス (JPRS) BIND 9.xの脆弱性(DNSサービスの停止)について(CVE-2017-3136) https://jprs.jp/tech/security/2017-04-13-bind9-vuln-dns64.html 株式会社日本レジストリサービス (JPRS) BIND 9.xの脆弱性(DNSサービスの停止)について(CVE-2017-3138) https://jprs.jp/tech/security/2017-04-13-bind9-vuln-control-channel.html 一般社団法人日本ネットワークインフォメーションセンター (JPNIC) BIND 9における複数の脆弱性について(2017年4月) https://www.nic.ad.jp/ja/topics/2017/20170413-01.html Japan Vulnerability Notes JVNVU#97322649 ISC BIND に複数のサービス運用妨害 (DoS) の脆弱性 https://jvn.jp/vu/JVNVU97322649/ JPCERT/CC Alert 2017-04-13 ISC BIND 9 に対する複数の脆弱性に関する注意喚起 https://www.jpcert.or.jp/at/2017/at170016.html 関連文書 (英語) ISC Knowledge Base CVE-2017-3136: An error handling synthesized records could cause an assertion failure when using DNS64 with "break-dnssec yes;" https://kb.isc.org/article/AA-01465 ISC Knowledge Base CVE-2017-3137: A response packet can cause a resolver to terminate when processing an answer containing a CNAME or DNAME https://kb.isc.org/article/AA-01466 ISC Knowledge Base CVE-2017-3138: named exits with a REQUIRE assertion failure if it receives a null command string on its control channel https://kb.isc.org/article/AA-01471 【3】複数の Adobe 製品に脆弱性 情報源 US-CERT Current Activity Adobe Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2017/04/11/Adobe-Releases-Security-Updates 概要 複数の Adobe 製品には、脆弱性があります。結果として、遠隔の第三者が任 意のコードを実行するなどの可能性があります。 対象となる製品およびバージョンは以下の通りです。 - Adobe Campaign v6.11 ビルド 8770 およびそれ以前 (Windows 版、Linux 版) - Adobe Flash Player デスクトップランタイム 25.0.0.127 およびそれ以前 (Windows 版、Macintosh 版、Linux 版) - Acrobat DC 連続トラック 15.023.20070 およびそれ以前 (Windows 版、Macintosh 版) - Acrobat Reader DC 連続トラック 15.023.20070 およびそれ以前 (Windows 版、Macintosh 版) - Acrobat DC クラシック 15.006.30280 およびそれ以前 (Windows 版、Macintosh 版) - Acrobat Reader DC クラシック 15.006.30280 およびそれ以前 (Windows 版、Macintosh 版) - Acrobat XI デスクトップ 11.0.19 およびそれ以前 (Windows 版、Macintosh 版) - Reader XI デスクトップ 11.0.19 およびそれ以前 (Windows 版、Macintosh 版) - Adobe Photoshop CC 2017 18.0.1 およびそれ以前 (Windows 版、Macintosh 版) - Adobe Photoshop CC 2015.5 17.0.1 (2015.5.1)およびそれ以前 (Windows 版、Macintosh 版) - Creative Cloud デスクトップアプリケーション Creative Cloud 3.9.5.353 およびそれ以前 (Windows 版) この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新 することで解決します。詳細は、Adobe が提供する情報を参照してください。 関連文書 (日本語) Adobe セキュリティ情報 Adobe Campaign に関するセキュリティアップデート公開 https://helpx.adobe.com/jp/security/products/campaign/apsb17-09.html Adobe セキュリティ情報 Adobe Flash Player に関するセキュリティアップデート公開 https://helpx.adobe.com/jp/security/products/flash-player/apsb17-10.html Adobe セキュリティ情報 Adobe Acrobat および Reader に関するセキュリティアップデート公開 https://helpx.adobe.com/jp/security/products/acrobat/apsb17-11.html Adobe セキュリティ情報 Adobe Photoshop CC に関するセキュリティアップデート公開 https://helpx.adobe.com/jp/security/products/photoshop/apsb17-12.html Adobe セキュリティ情報 Creative Cloud デスクトップアプリケーション用のセキュリティアップデート公開 https://helpx.adobe.com/jp/security/products/creative-cloud/apsb17-13.html JPCERT/CC Alert 2017-04-12 Adobe Flash Player の脆弱性 (APSB17-10) に関する注意喚起 https://www.jpcert.or.jp/at/2017/at170013.html JPCERT/CC Alert 2017-04-12 Adobe Reader および Acrobat の脆弱性 (APSB17-11) に関する注意喚起 https://www.jpcert.or.jp/at/2017/at170014.html 【4】VMware vCenter Server に任意のコードが実行可能な脆弱性 情報源 US-CERT Current Activity VMware Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2017/04/14/VMware-Releases-Security-Updates 概要 VMware vCenter Server には、脆弱性があります。結果として、遠隔の第三者 が任意のコードを実行する可能性があります。 対象となるバージョンは以下の通りです。 - VMware vCenter Server 6.5c より前のバージョン - VMware vCenter Server 6.0U3b より前のバージョン この問題は、VMware vCenter Server を VMware が提供する修正済みのバージョン に更新することで解決します。詳細は、VMware が提供する情報を参照してく ださい。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#97538972 Java で実装された複数の Action Message Format (AMF3) ライブラリに脆弱性 https://jvn.jp/vu/JVNVU97538972/ 関連文書 (英語) VMware Security Advisories VMSA-2017-0007 https://www.vmware.com/security/advisories/VMSA-2017-0007.html 【5】Apache Tomcat に複数の脆弱性 情報源 US-CERT Current Activity Apache Software Foundation Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2017/04/12/Apache-Software-Foundation-Releases-Security-Updates 概要 Apache Tomcat には、複数の脆弱性があります。結果として、遠隔の第三者が、 サービス運用妨害 (DoS) 攻撃を行ったり、情報を取得したりする可能性があ ります。 対象となるバージョンは以下の通りです。 - Apache Tomcat 9.0.0.M1 から 9.0.0.M18 まで - Apache Tomcat 8.5.0 から 8.5.12 まで - Apache Tomcat 8.0.0.RC1 から 8.0.42 まで - Apache Tomcat 7.0.0 から 7.0.76 まで - Apache Tomcat 6.0.0 から 6.0.52 まで この問題は、Apache Tomcat を Apache Tomcat が提供する修正済みのバージョン に更新することで解決します。詳細は、Apache Tomcat が提供する情報を参照 してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#90211511 Apache Tomcat の複数の脆弱性に対するアップデート https://jvn.jp/vu/JVNVU90211511/ 関連文書 (英語) Apache Tomcat Fixed in Apache Tomcat 9.0.0.M19 https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.0.M19 Apache Tomcat Fixed in Apache Tomcat 8.5.13 https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.13 Apache Tomcat Fixed in Apache Tomcat 8.0.43 https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.0.43 Apache Tomcat Fixed in Apache Tomcat 7.0.77 https://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.77 Apache Tomcat Fixed in Apache Tomcat 6.0.53 https://tomcat.apache.org/security-6.html#Fixed_in_Apache_Tomcat_6.0.53 【6】サイボウズ Office に複数の脆弱性 情報源 Japan Vulnerability Notes JVN#17535578 サイボウズ Office における複数の脆弱性 https://jvn.jp/jp/JVN17535578/ 概要 サイボウズ Office には、複数の脆弱性があります。結果として、遠隔の第三 者が、ユーザのブラウザ上で任意のスクリプトを実行したり、サービス運用妨 害 (DoS) 攻撃を行ったりするなどの可能性があります。 対象となるバージョンは以下の通りです。 - サイボウズ Office 10.0.0 から 10.5.0 まで この問題は、サイボウズ Office をサイボウズ株式会社が提供する修正済みの バージョンに更新することで解決します。詳細は、サイボウズ株式会社が提供 する情報を参照してください。 関連文書 (日本語) サイボウズ株式会社 サイボウズ Office 10 脆弱性に関するお知らせ https://cs.cybozu.co.jp/2017/006386.html 【7】ASSETBASE にクロスサイトスクリプティングの脆弱性 情報源 Japan Vulnerability Notes JVN#82019695 ASSETBASE におけるクロスサイトスクリプティングの脆弱性 https://jvn.jp/jp/JVN82019695/ 概要 ASSETBASE には、クロスサイトスクリプティングの脆弱性があります。結果と して、遠隔の第三者が、当該製品に管理者としてログインしているユーザのブ ラウザ上で任意のスクリプトを実行する可能性があります。 対象となるバージョンは以下の通りです。 - ASSETBASE Ver.8.0 およびそれ以前 この問題は、ASSETBASE を株式会社内田洋行が提供する修正済みのバージョン に更新することで解決します。詳細は、株式会社内田洋行が提供する情報を参 照してください。 関連文書 (日本語) 株式会社内田洋行 ASSETBASE システムのクロスサイトスクリプティング脆弱性のご報告とセキュリティ強化プログラムのリリースについて http://www.asset-base.jp/pdf/20170410_ASSETBASE_SecurityInfo.pdf 【8】CS-Cart日本語版にアクセス制限不備の脆弱性 情報源 Japan Vulnerability Notes JVN#25598952 CS-Cart日本語版におけるアクセス制限不備の脆弱性 https://jvn.jp/jp/JVN25598952/ 概要 CS-Cart日本語版には、アクセス制限不備の脆弱性があります。結果として、 遠隔の第三者が、ユーザの注文した商品に対して返品申請を行う可能性があり ます。 対象となるバージョンは以下の通りです。 - CS-Cart日本語版スタンダード版 v4.3.10-jp-1 およびそれ以前 - CS-Cart日本語版マーケットプレイス版 v4.3.10-jp-1 およびそれ以前 この問題は、CS-Cart日本語版を有限会社フロッグマンオフィスが提供する修 正済みのバージョンに更新することで解決します。詳細は、有限会社フロッグ マンオフィスが提供する情報を参照してください。 関連文書 (日本語) 有限会社フロッグマンオフィス 【JVN#25598952】 権限確認不備により他のユーザーの注文の返品申請を実施できる脆弱性について https://tips.cs-cart.jp/fix-jvn-25598952.html 【9】WordPress 用プラグイン WP Statistics にクロスサイトスクリプティングの脆弱性 情報源 Japan Vulnerability Notes JVN#17633442 WordPress 用プラグイン WP Statistics におけるクロスサイトスクリプティングの脆弱性 https://jvn.jp/jp/JVN17633442/ Japan Vulnerability Notes JVN#62392065 WordPress 用プラグイン WP Statistics におけるクロスサイトスクリプティングの脆弱性 https://jvn.jp/jp/JVN62392065/ Japan Vulnerability Notes JVN#77253951 WordPress 用プラグイン WP Statistics におけるクロスサイトスクリプティングの脆弱性 https://jvn.jp/jp/JVN77253951/ 概要 WordPress 用プラグイン WP Statistics には、クロスサイトスクリプティン グの脆弱性があります。結果として、遠隔の第三者が、ユーザのブラウザ上で 任意のスクリプトを実行する可能性があります。 対象となるバージョンは以下の通りです。 - WP Statistics 12.0.4 およびそれ以前 この問題は、WP Statistics を WP Statistics が提供する修正済みのバージョン に更新することで解決します。詳細は、WP Statistics が提供する情報を参照 してください。 関連文書 (英語) WP Statistics WP Statistics V12.0.2/3 Released! https://wp-statistics.com/wp-statistics-v12-0-23-released/ 【10】東芝製メモリカード関連ソフトウェアの複数のインストーラに任意の DLL 読み込みに関する脆弱性 情報源 Japan Vulnerability Notes JVN#05340816 東芝製メモリカード関連ソフトウェアの複数のインストーラにおける DLL 読み込みに関する脆弱性 https://jvn.jp/jp/JVN05340816/ 概要 東芝製メモリカード関連ソフトウェアの複数のインストーラには、任意の DLL 読み込みに関する脆弱性があります。結果として、第三者が任意のコードを実 行する可能性があります。 以下の製品およびバージョンのインストーラが本脆弱性の影響を受けます。 - NFC搭載SDHC/SDXCメモリカードソフトウェア更新ツール V1.00.03 およびそれ以前 - 無線LAN搭載SDHCメモリカード FlashAir(TM) 設定ソフトウエア V3.0.2 およびそれ以前 - 無線LAN搭載SDHCメモリカード FlashAir(TM) ソフトウェア更新ツール(SD-WEシリーズ<W-03>) V3.00.01 - 無線LAN搭載SDHCメモリカード FlashAir(TM) ソフトウェア更新ツール(SD-WD/WCシリーズ<W-02>) V2.00.03 およびそれ以前 - 無線LAN搭載SDHCメモリカード FlashAir(TM) ソフトウェア更新ツール(SD-WB / WLシリーズ) V1.00.04 およびそれ以前 - TransferJet(TM) (近接無線通信)搭載SDHCメモリカード設定ソフトウェア V1.02 およびそれ以前 - TransferJet(TM) (近接無線通信)搭載SDHCメモリカードファームウェア更新ツール V1.00.06 およびそれ以前 この問題は、株式会社東芝が提供する最新のインストーラを使用することで解 決します。なお、すでに該当する製品をインストールしている場合には、この 問題の影響はありません。詳細は、株式会社東芝が提供する情報を参照してく ださい。 関連文書 (日本語) 株式会社東芝 NFC搭載SDメモリカード、FlashAir(TM)、TransferJet(TM)搭載SDメモリカードのWindows(R)用ソフトウェアのインストーラにおけるDLL 読み込みに関する脆弱性について http://www.toshiba-personalstorage.net/news/20170414.htm 【11】WN-G300R3 に複数の脆弱性 情報源 Japan Vulnerability Notes JVN#81024552 WN-G300R3 における複数の脆弱性 https://jvn.jp/jp/JVN81024552/ 概要 WN-G300R3 には、複数の脆弱性があります。結果として、当該製品にアクセス 可能な第三者が任意の OS コマンドを実行する可能性があります。 対象となるバージョンは以下の通りです。 - WN-G300R3 ファームウェア Ver.1.03 およびそれ以前 この問題は、WN-G300R3 のファームウェアを株式会社アイ・オー・データ機器 が提供する修正済みのバージョンに更新することで解決します。詳細は、株式 会社アイ・オー・データ機器が提供する情報を参照してください。 関連文書 (日本語) 株式会社アイ・オー・データ機器 無線ルーター「WN-G300R3」 セキュリティの脆弱性について http://www.iodata.jp/support/information/2017/wn-g300r3/ 【12】WN-AC1167GR にクロスサイトスクリプティングの脆弱性 情報源 Japan Vulnerability Notes JVN#01537659 WN-AC1167GR におけるクロスサイトスクリプティングの脆弱性 https://jvn.jp/jp/JVN01537659/ 概要 WN-AC1167GR には、クロスサイトスクリプティングの脆弱性があります。結果 として、当該製品にログイン可能なユーザが、他のユーザのブラウザ上で任意 のスクリプトを実行する可能性があります。 対象となるバージョンは以下の通りです。 - WN-AC1167GR ファームウェア バージョン 1.04 およびそれ以前 この問題は、WN-AC1167GR のファームウェアを株式会社アイ・オー・データ機 器が提供する修正済みのバージョンに更新することで解決します。詳細は、株 式会社アイ・オー・データ機器が提供する情報を参照してください。 関連文書 (日本語) 株式会社アイ・オー・データ機器 無線ルーター「WN-AC1167GR」セキュリティの脆弱性について http://www.iodata.jp/support/information/2017/wn-ac1167gr/ ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○サポート対象外 OS の利用による脅威 2017年4月15日、US-CERT は Current Activity として「Microsoft Addresses Shadow Brokers Exploits」を公開しました。このエントリでは、最近 Microsoft 製品を狙った攻撃ツールが増えていることから、Windows Vista な ど、サポートが終了した製品を使わないよう呼びかけており、あわせて Microsoft TechNet Blogs の「Protecting customers and evaluating risk」 を紹介しています。なお、2017年4月11日、Windows Vista とともに、 Microsoft Exchange Server 2007 の延長サポートも終了しました。サポート 終了後は、セキュリティ上の脅威が高まります。これらを利用している場合、 サポートが行われているバージョンへ早急に移行することをお勧めします。 参考文献 (日本語) Microsoft Windows Vista のサポートは終了しました https://support.microsoft.com/ja-jp/help/22882/windows-vista-end-of-support JPCERT/CC WEEKLY REPORT 2017-01-18 【今週のひとくちメモ】Windows Vista のサポート期間について https://www.jpcert.or.jp/wr/2017/wr170201.html#Memo 参考文献 (英語) US-CERT Current Activity Microsoft Addresses Shadow Brokers Exploits https://www.us-cert.gov/ncas/current-activity/2017/04/15/Microsoft-Addresses-Shadow-Brokers-Exploits-0 Microsoft TechNet Blogs Protecting customers and evaluating risk https://blogs.technet.microsoft.com/msrc/2017/04/14/protecting-customers-and-evaluating-risk/ ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2017 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJY9q7OAAoJEDF9l6Rp7OBI/KEH/19u9tD4T4fGdaXcq/INagtd TK/bpDC7VEh/40y5Hdz9HGFSeoDVW9Pm5rlcfK53+Q44woRe7gRDiOcOzMmSWrXl EC3p5bzoCtQSKlVT2r7vxa0kXIuUDK1LxKHk1m643cXFoss4sMvx10mX0YGDMPhz kX/x9Iy5hQ7zD0xf/Y/HfYNP+KDemm4VrZVtM04XCptOfrlNQgsXN1b489hN1T1A rtqY/1DTXb+Cw2GneHc+6ZauQFHkhuWu7cLm6bicrqlofZ12r8kcpEMIx7GeGbs7 iNM9TC5+PoHdjhjiY+6fI3gjL8UOPYETzfN4SKsbYpszkKQyynVpTThj6VsXZEU= =3nhP -----END PGP SIGNATURE-----