JPCERT-WR-2018-2301 2018-06-20 2018-06-10 2018-06-16

US-CERT Current Activity https://www.us-cert.gov/ncas/current-activity/2018/06/12/Microsoft-Releases-June-2018-Security-Updates

複数の Microsoft 製品には、脆弱性があります。結果として、遠隔の第三者 が任意のコードを実行するなどの可能性があります。 対象となる製品は次のとおりです。 - Internet Explorer - Microsoft Edge - Microsoft Windows - Microsoft Office、Microsoft Office Services および Web Apps - ChakraCore この問題は、Microsoft Update 等を用いて、更新プログラムを適用すること で解決します。詳細は、Microsoft が提供する情報を参照してください。

マイクロソフト株式会社 https://portal.msrc.microsoft.com/ja-jp/security-guidance/releasenotedetail/7d4489d6-573f-e811-a96f-000d3a33c573 JPCERT/CC Alert 2018-06-13 https://www.jpcert.or.jp/at/2018/at180025.html

US-CERT Current Activity https://www.us-cert.gov/ncas/current-activity/2018/06/13/Google-Releases-Security-Update-Chrome

Google Chrome には、メモリ境界外への書き込みを行う脆弱性があります。 対象となるバージョンは次のとおりです。 - Google Chrome 67.0.3396.87 より前のバージョン (Windows 版、Macintosh 版 および Linux 版) この問題は、Google Chrome を Google が提供する修正済みのバージョンに更 新することで解決します。詳細は、Google が提供する情報を参照してくださ い。

Google https://chromereleases.googleblog.com/2018/06/stable-channel-update-for-desktop_12.html

US-CERT Current Activity https://www.us-cert.gov/ncas/current-activity/2018/06/13/ISC-Releases-Security-Advisory-BIND

ISC BIND 9 には、再帰的問い合わせが不適切に許可される脆弱性があります。 結果として、遠隔の第三者が機微な情報を取得する可能性があります。 対象となるバージョンは次のとおりです。 - BIND 9.9.12 - BIND 9.10.7 - BIND 9.11.3 - BIND 9.12.0 から 9.12.1-P2 - BIND the development release 9.13.0 - BIND 9.9.12-S1 - BIND 9.10.7-S1 - BIND 9.11.3-S1 - BIND 9.11.3-S2 2018年6月19日現在、この問題が解決済みのバージョンは公開されていません が、正式リリース候補である rc 版はリリースされています。また、次の回避 策を適用することで、本脆弱性の影響を軽減することが可能です。 - 固有の設定をする必要がなければ "allow-query {localnets; localhost;};" を設定する - allow-recursion、allow-query、allow-query-cache を明示的に設定する - 再帰的問い合わせを受け付ける必要がなければ "recursion no;" を設定する 詳細は、ISC が提供する情報を参照してください。

ISC https://kb.isc.org/article/AA-01616 ISC https://kb.isc.org/article/AA-01619 ISC https://kb.isc.org/article/AA-01618 ISC https://kb.isc.org/article/AA-01620 ISC https://kb.isc.org/article/AA-01621 ISC https://kb.isc.org/article/AA-01622 Japan Vulnerability Notes JVNVU#92227071 https://jvn.jp/vu/JVNVU92227071/ JPCERT/CC CyberNewsFlash https://www.jpcert.or.jp/newsflash/2018061302.html

US-CERT Current Activity https://www.us-cert.gov/ncas/current-activity/2018/06/13/Apple-Releases-Security-Update-Xcode

Xcode には、複数の脆弱性があります。結果として、遠隔の第三者が任意のコー ドを実行するなどの可能性があります。 対象となるバージョンは次のとおりです。 - Xcode 9.4.1 より前のバージョン この問題は、Xcode を Apple が提供する修正済みのバージョンに更新するこ とで解決します。詳細は、Apple が提供する情報を参照してください。

Apple https://support.apple.com/ja-jp/HT208895

US-CERT Current Activity https://www.us-cert.gov/ncas/current-activity/2018/06/12/VMware-Releases-Security-Update

VMware AirWatch Agent には、遠隔の第三者によって任意のコードを実行可能 な脆弱性があります。 対象となるバージョンは次のとおりです。 - VMware AirWatch Agent 8.2 より前のバージョン (Android 版) - VMware AirWatch Agent 6.5.2 より前のバージョン (Windows Mobile 版) この問題は、VMware AirWatch Agent を VMware が提供する修正済みのバー ジョンに更新することで解決します。詳細は、VMware が提供する情報を参照 してください。

VMware https://www.vmware.com/security/advisories/VMSA-2018-0015.html

US-CERT Current Activity https://www.us-cert.gov/ncas/current-activity/2018/06/13/Intel-Releases-Security-Advisory-Lazy-FP-State-Restore

Intel Core ベースのマイクロプロセッサには、投機的実行機能に関する脆弱 性があります。結果として、第三者が機微な情報を取得する可能性があります。 対象となる製品は次のとおりです。 - Intel Core ベースのマイクロプロセッサ この問題に対して、Intel や当該製品を使用するベンダから、対策に関する情 報が公開されています。修正済みのバージョンが公開されている場合は適用す ることをおすすめします。詳細は、Intel や各ベンダが提供する情報を参照し てください。

Intel https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00145.html

Japan Vulnerability Notes JVN#92265618 https://jvn.jp/jp/JVN92265618/

LINE PC版 (Windows版) には、DLL 読み込みに関する脆弱性があります。結果 として、第三者が任意のコードを実行する可能性があります。 対象となるバージョンは次のとおりです。 - LINE PC版（Windows版）バージョン 5.8.0 より前のバージョン この問題は、LINE PC版 (Windows版) を LINE株式会社が提供する修正済みの バージョンに更新することで解決します。LINE株式会社によると、2018年5月 31日に修正済みのバージョンを公開しており、当該製品の起動時に自動的にアッ プデートが適用されるとのことです。詳細は、LINE株式会社が提供する情報を 参照してください。

LINE株式会社 https://linecorp.com/ja/security/article/171

Japan Vulnerability Notes JVN#33124193 https://jvn.jp/jp/JVN33124193/

Zenphoto には、ローカルファイルインクルージョンの脆弱性があります。結 果として、管理者権限を持つユーザが、機微な情報を取得したり、任意のコー ドを実行したりする可能性があります。 対象となるバージョンは次のとおりです。 - Zenphoto 1.4.14 およびそれ以前 この問題は、Zenphoto を開発者が提供する修正済みのバージョンに更新する ことで解決します。詳細は、開発者が提供する情報を参照してください。

Zenphoto https://www.zenphoto.org/news/zenphoto-1.5

Japan Vulnerability Notes JVNVU#71535108 https://jvn.jp/jp/JVN71535108/

iOS アプリ「ANA」には、SSL サーバ証明書の検証不備の脆弱性があります。 結果として、遠隔の第三者が通信内容を取得したり、改ざんしたりするなどの 可能性があります。 対象となるバージョンは次のとおりです。 - iOS アプリ「ANA」バージョン 4.0.22 およびそれ以前 この問題は、iOS アプリ「ANA」を全日本空輸株式会社が提供する修正済みの バージョンに更新することで解決します。詳細は、全日本空輸株式会社が提供 する情報を参照してください。

全日本空輸株式会社 https://itunes.apple.com/jp/app/id382028327 全日本空輸株式会社 https://www.ana.co.jp/share/mobile/smartphone/app_ana/

2018年6月11日、日本ネットワークセキュリティ協会 (JNSA) が主催する 「SECCON 2018（セクコン2018）」の実施計画が公表されました。「SECCON」 は、情報セキュリティがテーマのイベントで、情報セキュリティ人材を育成す ることを目的に、2013年度から開催されています。 「SECCON 2018」は、12月に秋葉原で開催されます。会場では情報セキュリティ の技術力を競う CTF の国内大会と国際大会をはじめ、カンファレンス、ワー クショップ、展示なども行われます。詳細は JNSA の情報を参照してください。 日本ネットワークセキュリティ協会 (JNSA) http://www.jnsa.org/press/2018/180611.pdf