US-CERT Current Activity
WordPress Releases Security Update
https://www.us-cert.gov/ncas/current-activity/2017/05/17/WordPress-Releases-Security-Update

概要

WordPress には、複数の脆弱性があります。結果として、遠隔の第三者が、ユー
ザのブラウザ上で任意のスクリプトを実行するなどの可能性があります。

対象となるバージョンは以下の通りです。

- WordPress 4.7.5 より前のバージョン

この問題は、WordPress を WordPress が提供する修正済みのバージョンに更
新することで解決します。詳細は、WordPress が提供する情報を参照してくだ
さい。

【2】Joomla! に SQL インジェクションの脆弱性

情報源

US-CERT Current Activity
Joomla! Releases Security Update for CMS
https://www.us-cert.gov/ncas/current-activity/2017/05/17/Joomla-Releases-Security-Update-CMS

概要

Joomla! には、SQL インジェクションの脆弱性があります。結果として、遠隔
の第三者が任意の SQL 文を実行する可能性があります。

対象となるバージョンは以下の通りです。

- Joomla! 3.7.1 より前の 3.7.x 系

この問題は、Joomla! を Joomla! が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Joomla! が提供する情報を参照してください。

【3】複数の Cisco 製品に脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2017/05/17/Cisco-Releases-Security-Updates

概要

複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコマンドを実行したり、情報を取得したりするなどの可能性があります。

対象となる製品およびバージョンは以下の通りです。

- Cisco Prime Collaboration Provisioning 12.1 より前のバージョン
- Cisco TelePresence IX5000 シリーズ 8.2.1 より前のバージョン
- Cisco Policy Suite 10.0.0
- Cisco Policy Suite 10.1.0
- Cisco Policy Suite 11.0.0

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

【4】複数の Apple 製品に脆弱性

情報源

US-CERT Current Activity
Apple Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2017/05/15/Apple-Releases-Security-Updates

概要

複数の Apple 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするな
どの可能性があります。

対象となる製品およびバージョンは以下の通りです。

- iOS 10.3.2 より前のバージョン
- macOS Sierra 10.12.5 より前のバージョン
- watchOS 3.2.2 より前のバージョン
- iTunes 12.6.1 for Windows より前のバージョン
- Safari 10.1.1 より前のバージョン
- iCloud for Windows 6.2.1 より前のバージョン
- tvOS 10.2.1 より前のバージョン

この問題は、該当する製品を Apple が提供する修正済みのバージョンに更新
することで解決します。詳細は、Apple が提供する情報を参照してください。

【5】FlashAir のフォトシェア機能に複数の脆弱性

情報源

Japan Vulnerability Notes JVN#46372675
FlashAir のフォトシェア機能におけるアクセス制限不備の脆弱性
https://jvn.jp/jp/JVN46372675/

Japan Vulnerability Notes JVN#81820501
FlashAir のフォトシェア機能に SSID およびパスワード固定の脆弱性
https://jvn.jp/jp/JVN81820501/

概要

FlashAir(TM) のフォトシェア機能には、複数の脆弱性があります。結果とし
て、第三者がデータを取得する可能性があります。

対象となるバージョンは以下の通りです。

- FlashAir(TM) SDHCメモリカード（SD-WEシリーズ＜W-03＞） V3.00.02 およびそれ以前
- FlashAir(TM) SDHCメモリカード（SD-WD/WCシリーズ＜W-02＞） V2.00.04 およびそれ以前

この問題は、FlashAir(TM) のソフトウェアを株式会社東芝が提供する修正済
みのバージョンに更新し、SSID やパスワードを変更することで解決します。
詳細は、株式会社東芝が提供する情報を参照してください。

【6】複数の BestWebSoft 製 WordPress 用プラグインに脆弱性

情報源

Japan Vulnerability Notes JVN#24834813
複数の BestWebSoft 製 WordPress 用プラグインにおけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN24834813/

概要

複数の BestWebSoft 製 WordPress 用プラグインには、クロスサイトスクリプ
ティングの脆弱性があります。結果として、遠隔の第三者が、ユーザのブラウ
ザ上で任意のスクリプトを実行する可能性があります。

対象となる製品およびバージョンは以下の通りです。

- Captcha 4.3.0 より前のバージョン
- Car Rental 1.0.5 より前のバージョン
- Contact Form Multi 1.2.1 より前のバージョン
- Contact Form 4.0.6 より前のバージョン
- Contact Form to DB 1.5.7 より前のバージョン
- Custom Admin Page 0.1.2 より前のバージョン
- Custom Fields Search 1.3.2 より前のバージョン
- Custom Search 1.36 より前のバージョン
- Donate 2.1.1 より前のバージョン
- Email Queue 1.1.2 より前のバージョン
- Error Log Viewer 1.0.6 より前のバージョン
- Facebook Button 2.54 より前のバージョン
- Featured Posts 1.0.1 より前のバージョン
- Gallery Categories 1.0.9 より前のバージョン
- Gallery 4.5.0 より前のバージョン
- Google +1 1.3.4 より前のバージョン
- Google AdSense 1.44 より前のバージョン
- Google Analytics 1.7.1 より前のバージョン
- Google Captcha (reCAPTCHA) 1.28 より前のバージョン
- Google Maps 1.3.6 より前のバージョン
- Google Shortlink 1.5.3 より前のバージョン
- Google Sitemap 3.0.8 より前のバージョン
- Htaccess 1.7.6 より前のバージョン
- Job Board 1.1.3 より前のバージョン
- Latest Posts 0.3 より前のバージョン
- Limit Attempts 1.1.8 より前のバージョン
- LinkedIn 1.0.5 より前のバージョン
- Multilanguage 1.2.2 より前のバージョン
- PDF & Print 1.9.4 より前のバージョン
- Pagination 1.0.7 より前のバージョン
- Pinterest 1.0.5 より前のバージョン
- Popular Posts 1.0.5 より前のバージョン
- Portfolio 2.4 より前のバージョン
- Post to CSV 1.3.1 より前のバージョン
- Profile Extra 1.0.7 より前のバージョン
- PromoBar 1.1.1 より前のバージョン
- Quotes and Tips 1.32 より前のバージョン
- Re-attacher 1.0.9 より前のバージョン
- Realty 1.1.0 より前のバージョン
- Relevant - Related Posts 1.2.0 より前のバージョン
- Sender 1.2.1 より前のバージョン
- SMTP 1.1.0 より前のバージョン
- Social Buttons Pack 1.1.1 より前のバージョン
- Subscriber 1.3.5 より前のバージョン
- Testimonials 0.1.9 より前のバージョン
- Timesheet 0.1.5 より前のバージョン
- Twitter Button 2.55 より前のバージョン
- Updater 1.35 より前のバージョン
- User Role 1.5.6 より前のバージョン
- Visitors Online 1.0.0 より前のバージョン
- Zendesk Help Center 1.0.5 より前のバージョン

この問題は、該当する製品を BestWebSoft が提供する修正済みのバージョン
に更新することで解決します。詳細は、BestWebSoft が提供する情報を参照し
てください。

【7】WordPress 用プラグイン WP Booking System にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#96165722
WordPress 用プラグイン WP Booking System におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN96165722/

概要

WordPress 用プラグイン WP Booking System には、クロスサイトスクリプティン
グの脆弱性があります。結果として、遠隔の第三者が、ユーザのブラウザ上で
任意のスクリプトを実行する可能性があります。

対象となるバージョンは以下の通りです。

- WP Booking System Free version 1.4 より前のバージョン
- WP Booking System Premium version 3.7 より前のバージョン

この問題は、WP Booking System を開発者が提供する修正済みのバージョンに
更新することで解決します。詳細は、開発者が提供する情報を参照してくださ
い。

【8】WordPress 用プラグイン MaxButtons にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#70411623
WordPress 用プラグイン MaxButtons におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN70411623/

概要

WordPress 用プラグイン MaxButtons には、クロスサイトスクリプティングの
脆弱性があります。結果として、遠隔の第三者が、ユーザのブラウザ上で任意
のスクリプトを実行する可能性があります。

対象となるバージョンは以下の通りです。

- MaxButtons 6.19 より前のバージョン
- MaxButtons Pro 6.19 より前のバージョン

この問題は、MaxButtons を Max Foundry が提供する修正済みのバージョンに
更新することで解決します。詳細は、Max Foundry が提供する情報を参照して
ください。

【9】定量的プロジェクト管理ツールにクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#11326581
定量的プロジェクト管理ツールにおけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN11326581/

Japan Vulnerability Notes JVN#85512750
定量的プロジェクト管理ツールにおけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN85512750/

概要

定量的プロジェクト管理ツールには、クロスサイトスクリプティングの脆弱性
があります。結果として、遠隔の第三者が、ユーザのブラウザ上で任意のスク
リプトを実行する可能性があります。

対象となる製品は以下の通りです。

- 定量的プロジェクト管理ツール（EPM-X）

2017年5月24日現在、定量的プロジェクト管理ツールの開発は終了しています。
定量的プロジェクト管理ツールの使用を停止してください。詳細は、情報処理
推進機構 (IPA) が提供する情報を参照してください。

【10】定量的プロジェクト管理ツールのインストーラに任意の DLL 読み込みに関する脆弱性

情報源

Japan Vulnerability Notes JVN#12493656
定量的プロジェクト管理ツールのインストーラにおける任意の DLL 読み込みに関する脆弱性
https://jvn.jp/jp/JVN12493656/

概要

定量的プロジェクト管理ツールのインストーラには、任意の DLL 読み込みに
関する脆弱性があります。結果として、第三者が任意のコードを実行する可能
性があります。

対象となる製品は以下の通りです。

- 定量的プロジェクト管理ツール（EPM-X）のインストーラ

2017年5月24日現在、定量的プロジェクト管理ツールの開発は終了しています。
定量的プロジェクト管理ツールのインストーラを使用しないでください。詳細
は、情報処理推進機構 (IPA) が提供する情報を参照してください。

■今週のひとくちメモ

○ランサムウェア「WannaCrypt」が感染活動を継続

2017年5月19日、警察庁は、「ランサムウェア「WannaCry」に感染した PC か
らの感染活動とみられる 445/TCP ポート宛てアクセスの観測について」を公
開しました。この報告によると、「WannaCrypt」によると思われるアクセスが
5月12日から連日観測されており、感染活動を継続しているとのことです。な
お、JPCERT/CC の定点観測システム TSUBAME でも、「WannaCrypt」が感染拡
大の際に利用する 445/TCP ポートへのアクセスの増加を確認しています。
「WannaCrypt」への感染を防ぐため、Windows Update 等を用いて、セキュリ
ティ更新プログラム MS17-010 を適用することを強く推奨します。修正プログ
ラムの適用が難しい場合には、関連するポート (Port445/TCP) のブロックや、
サービスの停止を行うことを推奨します。

参考文献 (日本語)

警察庁
ランサムウェア「WannaCry」に感染した PC からの感染活動とみられる 445/TCP ポート宛てアクセスの観測について
https://www.npa.go.jp/cyberpolice/detect/pdf/20170519.pdf

JPCERT/CC Alert 2017-05-14
ランサムウエア "WannaCrypt" に関する注意喚起
https://www.jpcert.or.jp/at/2017/at170020.html

JPCERT/CC WEEKLY REPORT 2017-05-17 号【今週のひとくちメモ】
ランサムウェア「WannaCrypt」が世界中で猛威を振るう
https://www.jpcert.or.jp/wr/2017/wr171801.html#Memo

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2017-05-24号

<<< JPCERT/CC WEEKLY REPORT 2017-05-24 >>>

■05/14(日)〜05/20(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

情報源

概要

情報源

概要

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

○ランサムウェア「WannaCrypt」が感染活動を継続

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次