2019年 7月 Oracle Critical Patch Update について

JPCERT-WR-2019-2801 2019-07-24 2019-07-14 2019-07-20

2019年 7月 Oracle Critical Patch Update について US-CERT Current Activity Oracle Releases July 2019 Security Bulletin https://www.us-cert.gov/ncas/current-activity/2019/07/16/oracle-releases-july-2019-security-bulletin

Oracle から複数の製品およびコンポーネントに含まれる脆弱性に対応した Oracle Critical Patch Update Advisory が公開されました。詳細は、Oracle が提供する情報を参照してください。

JPCERT/CC 注意喚起 2019年 7月 Oracle 製品のクリティカルパッチアップデートに関する注意喚起 https://www.jpcert.or.jp/at/2019/at190030.html Oracle Oracle Critical Patch Update Advisory - July 2019 https://www.oracle.com/technetwork/security-advisory/cpujul2019-5072835.html

Oracle Solaris に任意のコード実行の脆弱性 CERT/CC Vulnerability Note VU#790507 Oracle Solaris vulnerable to arbitrary code execution via /proc/self https://kb.cert.org/vuls/id/790507/

Oracle Solaris には、/proc/self のアクセス権が適切に制限されないことに起因する脆弱性があります。結果として、/proc/self の読み書き権限を持つ第三者が任意のコードを実行する可能性があります。対象となるバージョンは次のとおりです。 - Oracle Solaris 10 - Oracle Solaris 11 この問題は、Oracle Solaris を Oracle が提供する修正済みのバージョンに更新することで解決します。詳細は、Oracle が提供する情報を参照してください。

Japan Vulnerability Notes JVNVU#99222951 Oracle Solaris における任意のコード実行の脆弱性 https://jvn.jp/vu/JVNVU99222951/

複数の Cisco 製品に脆弱性 US-CERT Current Activity Cisco Releases Security Updates for Multiple Products https://www.us-cert.gov/ncas/current-activity/2019/07/17/cisco-releases-security-updates-multiple-products

複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が認証を回避するなどの可能性があります。対象となる製品およびバージョンは次のとおりです。 - Cisco Vision Dynamic Signage Director - Cisco FindIT Network Manager - Cisco FindIT Network Probe - 802.11r FT 用に設定された Cisco Access Points この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新することで解決します。詳細は、Cisco が提供する情報を参照してください。

Cisco Security Advisory Cisco Vision Dynamic Signage Director REST API Authentication Bypass Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190717-cvdsd-wmauth Cisco Security Advisory Cisco FindIT Network Management Software Static Credentials Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190717-cfnm-statcred Cisco Security Advisory Cisco IOS Access Points Software 802.11r Fast Transition Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190717-aironet-dos

Google Chrome に複数の脆弱性 US-CERT Current Activity Google Releases Security Updates for Chrome https://www.us-cert.gov/ncas/current-activity/2019/07/15/google-releases-security-updates-chrome

Google Chrome には、複数の脆弱性があります。結果として、遠隔の第三者が、サービス運用妨害 (DoS) 攻撃を行ったり、情報を窃取したりする可能性があります。対象となるバージョンは次のとおりです。 - Google Chrome 75.0.3770.142 より前のバージョンこの問題は、Google Chrome を Google が提供する修正済みのバージョンに更新することで解決します。詳細は、Google が提供する情報を参照してください。

Google Stable Channel Update for Desktop https://chromereleases.googleblog.com/2019/07/stable-channel-update-for-desktop.html

Microsoft の Windows Defender Application Control にセキュリティ機能回避の脆弱性 US-CERT Current Activity Microsoft Releases Security Updates for PowerShell Core https://www.us-cert.gov/ncas/current-activity/2019/07/16/microsoft-releases-security-updates-powershell-core

Microsoft の Windows Defender Application Control には、脆弱性があります。結果として、第三者が Windows Defender Application Control の強制を回避する可能性があります。対象となる製品およびバージョンは次のとおりです。 - PowerShell Core 6.1 および 6.2 この問題は、PowerShell Core を Microsoft が提供する修正済みのバージョンに更新することで解決します。詳細は、Microsoft が提供する情報を参照してください。

GitHub Microsoft Security Advisory CVE-2019-1167: Windows Defender Application Control Security Feature Bypass Vulnerability https://github.com/PowerShell/PowerShell/security/advisories/GHSA-5frh-8cmj-gc59 Microsoft CVE-2019-1167 | Windows Defender アプリケーション制御のセキュリティ機能のバイパスの脆弱性 https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/CVE-2019-1167

Drupal にアクセス制限回避の脆弱性 US-CERT Current Activity Drupal Releases Security Update https://www.us-cert.gov/ncas/current-activity/2019/07/17/drupal-releases-security-update

Drupal には、アクセス制限回避の脆弱性があります。結果として、第三者が、情報を閲覧したり変更したりする可能性があります。対象となるバージョンは次のとおりです。 - Workspaces モジュールが有効となっている Drupal 8.7.4 この問題は、該当する製品を Drupal が提供する修正済みのバージョンに更新することで解決します。なお、Workspaces モジュールを有効にしている場合は、修正済みのバージョンに更新後、手動でキャッシュをクリアする必要があります。また、リバースプロキシや CDN を利用している場合も、キャッシュをクリアすることが推奨されています。詳細は、Drupal が提供する情報を参照してください。

Drupal Drupal core - Critical - Access bypass - SA-CORE-2019-008 https://www.drupal.org/sa-core-2019-008

サイボウズ Garoon に複数の脆弱性 Japan Vulnerability Notes JVN#62618482 サイボウズ Garoon における複数の脆弱性 https://jvn.jp/jp/JVN62618482/

サイボウズ Garoon には、複数の脆弱性があります。結果として、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行うなどの可能性があります。対象となるバージョンは次のとおりです。 - サイボウズ Garoon 4.0.0 から 4.10.2 までこの問題は、サイボウズ Garoon をサイボウズ株式会社が提供する修正済みのバージョンに更新することで解決します。詳細は、サイボウズ株式会社が提供する情報を参照してください。

サイボウズ株式会社パッケージ版 Garoon 脆弱性に関するお知らせ https://cs.cybozu.co.jp/2019/006902.html

LLVM の Arm バックエンドにスタック保護機構が機能しなくなる問題 Japan Vulnerability Notes JVNVU#96954584 LLVM の Arm バックエンドにおいてスタック保護機構が機能しなくなる問題 https://jvn.jp/vu/JVNVU96954584/

LLVM の Arm バックエンドが生成するコードには、スタック保護機構が正常に機能せずバッファオーバーフローが検知できなくなる問題があります。結果として、第三者が、任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があります。対象となる製品は次のとおりです。 - LLVM この問題は、LLVM を The LLVM Foundation が提供する修正済みのバージョンに更新することで解決します。また、当該製品でコンパイルしたプログラムは、修正済みバージョンのコンパイラでコンパイルし直してください。本問題の詳細や修正箇所などの情報は既に公開されていますが、2019年7月 23日現在、この問題に対する修正済みのバージョンは公開されていません。詳細は、The LLVM Foundation などが提供する情報を参照してください。また、LLVM をベースにした製品を使用している場合、当該製品のベンダから本問題の対策に関する情報が提供される可能性があります。製品のベンダが提供する情報にもご注意ください。

CERT/CC Vulnerability Note VU#129209 LLVMs Arm stack protection feature can be rendered ineffective https://kb.cert.org/vuls/id/129209/ The LLVM Foundation [PEI] Don't re-allocate a pre-allocated stack protector slot https://reviews.llvm.org/D64757 The LLVM Foundation [CodeGen] Don't resolve the stack protector frame accesses until PEI https://reviews.llvm.org/D64759

複数の WordPress 用プラグインにクロスサイトリクエストフォージェリの脆弱性 Japan Vulnerability Notes JVN#48981892 WordPress 用プラグイン WordPress Ultra Simple Paypal Shopping Cart におけるクロスサイトリクエストフォージェリの脆弱性 https://jvn.jp/jp/JVN48981892/ Japan Vulnerability Notes JVN#92510087 WordPress 用プラグイン Category Specific RSS feed Subscription におけるクロスサイトリクエストフォージェリの脆弱性 https://jvn.jp/jp/JVN92510087/

複数の WordPress 用プラグインには、クロスサイトリクエストフォージェリの脆弱性があります。結果として、遠隔の第三者がユーザの意図しない操作を行う可能性があります。対象となる製品およびバージョンは次のとおりです。 - WordPress Ultra Simple Paypal Shopping Cart v4.4 およびそれ以前のバージョン - Category Specific RSS feed Subscription version v2.0 およびそれ以前のバージョンこの問題は、該当する製品を開発者が提供する修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

WordPress Ultra Simple Paypal Shopping Cart Changelog https://wordpress.org/plugins/wp-ultra-simple-paypal-shopping-cart/#developers Category Specific RSS feed Subscription Changelog https://wordpress.org/plugins/category-specific-rss-feed-menu/#developers

攻撃を目的としたスキャンに備えて 2019年7月 2019年7月22日、JPCERT/CC は「攻撃を目的としたスキャンに備えて 2019年7月」を公開しました。この呼びかけでは、JPCERT/CC が観測したスキャンなどの探索行為を例に挙げ、スキャンを起因とした攻撃の被害を回避、低減するための点検項目などを紹介しています。 JPCERT/CC CyberNewsFlash 攻撃を目的としたスキャンに備えて 2019年7月 https://www.jpcert.or.jp/newsflash/2019072201.html