更新日：＜2017.08.07＞
Chrome 60.0.3112.90 は、安定性、性能、セキュリティの改善を目的としたリリースです。リリース時点で、セキュリティアップデートの報告はありません。
独 Siemens (siemens.com) の Windows 7 版の分子イメージングシステムには、任意のコード実行を許してしまう複数の脆弱性 (CVE-2015-1635、CVE-2015-1497、CVE-2015-7860、CVE-2015-7861) が存在します。不正な HTTP 要求をマイクロソフトの Web サーバが受信した場合、不正な要求をポート番号 3465/TCP で稼働している HP Client automation service が受信した場合に脆弱性を悪用される可能性があります。
独 Siemens (siemens.com) の Windows XP 版の分子イメージングシステムには、任意のコード実行を許してしまう脆弱性 (CVE-2008-4250、CVE-2017-7269) が存在します。不正な RPC メッセージをマイクロソフトの Windows が受信した場合や、不正な HTTP 要求を WebDAV サービスが受信した場合に脆弱性を悪用される可能性があります。
エネルギー分野などで利用されている米 Eaton (eaton.com) の ELCSoft プログラミングソフトウェアには、バッファオーバーフローに起因して任意のコード実行を許してしまう脆弱性が存在します。ELCSoft プログラミングソフトウェアは、Eaton Logic Control (ELC) を制御するアプリケーションの開発環境です。
仏 Schneider Electric (schneider-electric.com) の Pro-face GP-Pro EX には、攻撃者により細工された外部 DLL の読み込みを許してしまう問題 (DLL プリロード攻撃)(CWE-427)(CVE-2017-9961) に起因して、任意のコード実行を許してしまう可能性があります。Pro-face GP-Pro EX は、エネルギー分野などで利用されているプログラマブル表示器の画面とロジックを作成するソフトウェア製品です。
仏 Schneider Electric (schneider-electric.com) の Trio TView に同梱されている JRE 1.6.0u27 には、複数の脆弱性が存在します。Trio TView は、エネルギー分野などで利用されている管理および診断ソフトウェア製品です。
三菱電機の E-Designer には、スタックオーバーフロー (CWE-121)、ヒープオーバーフロー (CWE-122)、領域外メモリへの書き出し (out-of-bounds write：CWE-787) に起因して、任意のコード実行やサービス不能攻撃などを許してしまう脆弱性 (CVE-2017-9634、CVE-2017-9636、CVE-2017-9638) が存在します。E-Designer は、HMI 用のプロジェクトを作成する製品です。
ビデオコンテンツ配信の Videoscape Distribution Suite のキャッシュサーバには、接続処理が適切でないことに起因して、認証操作なしでリモートからのサービス不能攻撃を許してしまう脆弱性 (CVE-2017-6745) が存在します。大量のトラフィックを受信した場合に装置の再起動を引き起こしてしまう可能性があります。
セキュリティのポリシーを統合的に管理する Identity Services Engine には、認証要求とポリシー割り当てに関する処理が適切でないことに起因して、認証の迂回を許してしまう脆弱性 (CVE-2017-6747) が存在します。脆弱性を悪用された場合。ISE 管理ポータルの管理者権限取得を許してしまう可能性があります。
PHP 7.1.8、7.0.22 では、Core、Date、OCI8、Opcache、PDO、SPL、SQLite3、Wddx、zlib などのコンポーネントに存在する計 16 件、14 件の不具合を修正しています。いずれも、メモリの解放後使用 (use-after-free：CWE-416)、整数オーバーフローに起因する問題が含まれています。
Tomcat 8.5.19 は、不具合の修正や改善を目的としたリリースです。8.5.16 からの変更点は、非同期エラー処理の堅牢化、エラーを防止するための APR コネクタの SSL セッションアクセスの同期、TLS コネクションで個別パスワード付きで複数の鍵を格納できる Java key ストアの使用などの改善を施しています。リリース時点で、セキュリティアップデートの報告はありません。8.5.17、8.5.18 はリリースされていません。
VMware vCenter Server と VMware Tools には、アクセス権限の昇格を許してしまう脆弱性 (CVE-2017-4921、CVE-2015-5191)、情報漏洩を許してしまう脆弱性 (CVE-2017-4922、CVE-2017-4923) が存在します。アクセス権限の昇格は、LD_LIBRARY_PATH を利用した不正な外部 ライブラリ の読み込み、ハードコーディングされた /tmp 配下の作業ディレクトリの使用に起因しています。情報漏洩は、起動スクリプトが誰でも書き込み可能なディレクトリを使用していること、vCenter Server Appliance のファイルバックアップ機能を使用した場合に、資格情報が平文で取り扱えてしまうことに起因しています。
WordPress 4.8.1 は、不具合の修正や改善を目的としたリリースで、管理、テストツール、メディア操作、REST API、Widgets などで計 29 件の修正と改善が施されました。セキュリティアップデートは含まれていません。
担当：寺田、大西／HIRT
