-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2018-1601 JPCERT/CC 2018-04-25 <<< JPCERT/CC WEEKLY REPORT 2018-04-25 >>> ―――――――――――――――――――――――――――――――――――――― ■04/15(日)〜04/21(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】2018年 4月 Oracle Critical Patch Update について 【2】複数の Cisco 製品に脆弱性 【3】Drupal にクロスサイトスクリプティングの脆弱性 【4】EC-CUBE にセッション固定の脆弱性 【5】CENTUM と Exaopc にアクセス制限不備の脆弱性 【今週のひとくちメモ】長期休暇にそなえて 2018/04 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2018/wr181601.html https://www.jpcert.or.jp/wr/2018/wr181601.xml ============================================================================ 【1】2018年 4月 Oracle Critical Patch Update について 情報源 US-CERT Current Activity Oracle Releases April 2018 Security Bulletin https://www.us-cert.gov/ncas/current-activity/2018/04/17/Oracle-Releases-April-2018-Security-Bulletin 概要 Oracle から複数の製品およびコンポーネントに含まれる脆弱性に対応した Oracle Critical Patch Update Advisory が公開されました。 詳細は、Oracle が提供する情報を参照してください。 関連文書 (日本語) JPCERT/CC Alert 2018-04-18 2018年 4月 Oracle 製品のクリティカルパッチアップデートに関する注意喚起 https://www.jpcert.or.jp/at/2018/at180018.html 関連文書 (英語) Oracle Oracle Critical Patch Update Advisory - April 2018 http://www.oracle.com/technetwork/security-advisory/cpuapr2018-3678067.html 【2】複数の Cisco 製品に脆弱性 情報源 US-CERT Current Activity Cisco Releases Security Updates for Multiple Products https://www.us-cert.gov/ncas/current-activity/2018/04/18/Cisco-Releases-Security-Updates-Multiple-Products 概要 複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が任 意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするなど の可能性があります。 対象となる製品およびバージョンは次のとおりです。 - Cisco WebEx Business Suite (WBS31) client T31.23.2 より前のバージョン - Cisco WebEx Business Suite (WBS32) client T32.10 より前のバージョン - Cisco WebEx Meetings with client T32.10 より前のバージョン - Cisco WebEx Meetings Server 2.8 MR2 より前のバージョン - Cisco Unified Computing System (UCS) Director 6.5.0.3 より前の 6系のバージョン - Cisco ISA 3000 Industrial Security Appliance - Adaptive Security Appliance (ASA) 5500-X Series Firewalls with FirePOWER Services - Adaptive Security Appliance (ASA) 5500-X Series Next-Generation Firewalls - ASA 5500 Series Adaptive Security Appliances - ASA Services Module for Cisco Catalyst 6500 Series Switches - ASA Services Module for Cisco 7600 Series Routers - Adaptive Security Virtual Appliance (ASAv) - Advanced Malware Protection (AMP) for Networks, 7000 Series Appliances - Advanced Malware Protection (AMP) for Networks, 8000 Series Appliances - Firepower 2100 Series Security Appliance - Firepower 4100 Series Appliances - Firepower 4110 Security Appliances - FirePOWER 7000 Series Appliances - FirePOWER 8000 Series Appliances - Firepower 9300 Series Security Appliances - Firepower Threat Defense for Integrated Services Router (ISR) - Firepower Threat Defense Virtual for VMware - Sourcefire 3D System Appliances - Firepower 2100 シリーズ上で動作している Firepower Threat Defense 6.2.1 - Firepower 2100 シリーズ上で動作している Firepower Threat Defense 6.2.2 - Cisco StarOS が稼働している Aggregation Services Router (ASR) 5700 シリーズ - Cisco StarOS が稼働している Virtualized Packet Core - Distributed Instance (VPC-DI) - Cisco StarOS が稼働している Virtualized Packet Core - Single Instance (VPC-SI) - IPv4 helper address を設定している Cisco IOS XR 6.3.1 より前のバージョン この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新 することで解決します。詳細は、Cisco が提供する情報を参照してください。 関連文書 (英語) Cisco Security Advisory Cisco WebEx Clients Remote Code Execution Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-wbs Cisco Security Advisory Cisco UCS Director Virtual Machine Information Disclosure Vulnerability for End User Portal https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-uscd Cisco Security Advisory Cisco StarOS Interface Forwarding Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-staros Cisco Security Advisory Cisco IOS XR Software UDP Broadcast Forwarding Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-iosxr Cisco Security Advisory Cisco Firepower Detection Engine Secure Sockets Layer Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-fpsnort Cisco Security Advisory Cisco Firepower 2100 Series Security Appliances IP Fragmentation Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-fp2100 Cisco Security Advisory Cisco ASA Software, FTD Software, and AnyConnect Secure Mobility Client SAML Authentication Session Fixation Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-asaanyconnect Cisco Security Advisory Cisco Adaptive Security Appliance Application Layer Protocol Inspection Denial of Service Vulnerabilities https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-asa_inspect Cisco Security Advisory Cisco Adaptive Security Appliance TLS Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-asa3 Cisco Security Advisory Cisco Adaptive Security Appliance Flow Creation Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-asa2 Cisco Security Advisory Cisco Adaptive Security Appliance Virtual Private Network SSL Client Certificate Bypass Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180418-asa1 【3】Drupal にクロスサイトスクリプティングの脆弱性 情報源 US-CERT Current Activity Drupal Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2018/04/18/Drupal-Releases-Security-Updates 概要 Drupal には、クロスサイトスクリプティングの脆弱性があります。結果とし て、遠隔の第三者が、ユーザのブラウザ上で任意のスクリプトを実行する可能 性があります。 対象となるバージョンは次のとおりです。 - Drupal 8.5.2 より前のバージョン - Drupal 8.4.7 より前のバージョン この問題は、Drupal を Drupal が提供する修正済みのバージョンに更新する ことで解決します。なお、Drupal 7 で CKEditor モジュールを利用している 場合、本脆弱性の影響を受ける可能性があります。詳細は、Drupal が提供す る情報を参照してください。 関連文書 (英語) Drupal Drupal core - Moderately critical - Cross Site Scripting - SA-CORE-2018-003 https://www.drupal.org/sa-core-2018-003 【4】EC-CUBE にセッション固定の脆弱性 情報源 Japan Vulnerability Notes JVNVU#52695336 EC-CUBE におけるセッション固定の脆弱性 https://jvn.jp/jp/JVN52695336/ 概要 EC-CUBE には、セッション固定の脆弱性があります。結果として、遠隔の第三 者が、ユーザになりすまし、ログインしているユーザの権限で任意の操作を行 う可能性があります。 対象となる製品は次のとおりです。 - EC-CUBE 3.0.0 から 3.0.15 まで この問題は、EC-CUBE を株式会社ロックオンが提供する修正済みのバージョン に更新することで解決します。詳細は、株式会社ロックオンが提供する情報を 参照してください。 関連文書 (日本語) 株式会社ロックオン EC-CUBE 3.0系のセッション固定に関する修正について https://www.ec-cube.net/info/weakness/20180416/ 【5】CENTUM と Exaopc にアクセス制限不備の脆弱性 情報源 Japan Vulnerability Notes JVN#98102375 CENTUM と Exaopc にアクセス制限不備の脆弱性 https://jvn.jp/vu/JVNVU98102375/ 概要 CENTUM および Exaopc には、アクセス制限不備の脆弱性があります。結果と して、当該製品にログイン可能なユーザが、アラーム偽造やアラーム表示妨害 を行う可能性があります。 対象となるバージョンは次のとおりです。 - CENTUM CS 1000 - CENTUM CS 3000 R3.09.50 およびそれ以前 - CENTUM CS 3000 Small R3.09.50 およびそれ以前 - CENTUM VP R6.03.10 およびそれ以前 - CENTUM VP Small R6.03.10 およびそれ以前 - CENTUM VP Basic R6.03.10 およびそれ以前 - Exaopc R3.75.00 およびそれ以前 - B/M9000 CS - B/M9000 VP R8.01.01 およびそれ以前 この問題は、該当する製品を横河電機株式会社が提供する修正済みのバージョン に更新することで解決します。なお CENTUM CS 1000、CENTUM CS 3000、 CENTUM CS 3000 Small は保守期間終了製品のため対策パッチは提供されず、 修正済みの CENTUM VP にマイグレーションすることで解決します。詳細は、 横河電機株式会社が提供する情報を参照してください。 関連文書 (日本語) 横河電機株式会社 YSAR-18-0001:CENTUMとExaopcにアラームの偽造と妨害の脆弱性 (PDF) https://web-material3.yokogawa.com/YSAR-18-0001-J.jp.pdf ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○長期休暇にそなえて 2018/04 2018年4月19日、JPCERT/CC は「長期休暇に備えて 2018/04」を公開しました。 この呼びかけでは、JPCERT/CC が報告を受けた複数のインシデントを例に挙げ、 インシデント発生の予防および緊急時の対応に関して、対策などの要点をまと めて記載しています。休暇期間中のインシデント発生に備え、自組織のセキュ リティ対策や対応を今一度ご確認ください。 参考文献 (日本語) JPCERT/CC 長期休暇に備えて 2018/04 https://www.jpcert.or.jp/pr/2018/pr180001.html ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ 2018 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJa38HFAAoJEDF9l6Rp7OBID/MH/1IsMRvK0B5zPZr5yz5miylT HhdxjKBF2IFrITdSGjDLXyCR5V90yBCnMEEHy7kn41Hpk4TDKHDG/YquyJ90EPi/ zCWkX2EoQCbornISxYj+YQr0G3yRQqQooJbWAHAXzYK3kz4mmMm2ISY77eDwKyfy lMzZwGG7fNYhCvzfvyjcJViyIgu+43jaAfZihq2U8q/IbO7okcXm1Cwz88H4OSeC dk9Yd6iBXmb0x2Y5vp5kSUDSKSCk4aOBSwG+aVhShjPjP4adjzJInvIOV25GBFKZ 3MY8B2Wvm4miS/NoR1fWknUZFMtvjAreu/UWRCX0sMAcM1ddRQpRM/Jcv0JAJ6E= =qUOn -----END PGP SIGNATURE-----