更新日：＜2017.09.25＞
Xcode 9 では、Git、ld64、subversion コンポーネントに存在する、メモリ破損に起因してサービス不能攻撃や任意のコード実行などを許してしまう計 3 件の脆弱性を解決しています。
tvOS 11 では、コアオーディオ、カーネル、WebKit、Wi-Fi などのコンポーネントに存在する計 46 件の脆弱性を解決しています。対象となった脆弱性は、メモリ破損に起因して任意のコード実行やサービス不能攻撃などを許してしまう問題です。
watchOS 4 では、コアオーディオ、カーネル、セキュリティ、Wi-Fi などのコンポーネントに存在する計 23 件の脆弱性を解決しています。対象となった脆弱性は、メモリ破損に起因して任意のコード実行やサービス不能攻撃などを許してしまう問題です。
Safari 11 では、Safari、WebKit 関連などのコンポーネントに存在する計 24 件の脆弱性を解決しています。対象となった脆弱性は、アドレスバーのなりすましや、メモリ破損に起因して任意のコード実行などを許してしまう問題です。
iOS 11 では、Bluetooth、コアオーディオ、iBooks、カーネル、電話、Safari、セキュリティ、Wi-Fi などのコンポーネントに存在する計 63 件の脆弱性を解決しています。対象となった脆弱性は、アドレスバーのなりすまし、メモリ破損に起因して任意のコード実行やサービス不能攻撃などを許してしまう問題です。
Chrome 61.0.3163.100 では、領域外のメモリ参照 (out-of-bounds read：CWE-125) を許してしまう問題など、計 3 件の脆弱性 (CVE-2017-5121 〜 CVE-2017-5122 他) を解決しています。
重要製造業分野で利用されているスイス iniNet Solutions (spidercontrol.net) の SCADA Web サーバには、適切でない認証 (CWE-287) に起因して、機器の設定変更や情報漏洩を許してしまう脆弱性 (CVE-2017-13995) が存在します。
商業施設、重要製造業分野で利用されている米 Digium (digium.com) の IP-PBX のオープンソース Asterisk の GUI 処理には、OS コマンドインジェクション (CWE-78) に起因して、任意のコード実行を許してしまう脆弱性 (CVE-2017-14001) が存在します。
商業施設、農業・食料、輸送、上下水道分野で利用されている米 Ctek (ctekproducts.com) の 無線ルータ SkyRouter には、不正な URL アクセスにより認証機構の迂回 (CWE-287) を許してしまう脆弱性 (CVE-2017-14000) が存在します。
重要製造業、エネルギー、公共衛生・ヘルスケア、上下水道分野で利用されている仏 Schneider Electric (schneider-electric.com) の HMI SCADA ソフトウェア InduSoft Web Studio、InTouch Machine Edition には、認証機構の迂回、アクセス権限の昇格を伴う任意のコマンド実行を許してしまう脆弱性 (CVE-2017-13997) が存在します。
化学、エネルギー分野で利用されているスイス Saia Burgess Controls (saia-pcd.com) の PCD Controllers には、メモリからの情報漏洩を許してしまう脆弱性 (CVE-2017-9628) が存在します。
通信、重要製造業、情報技術分野で利用されている独 Phoenix Contact Software (phoenixcontact.com) の 産業用ネットワークのセキュリティ製品である mGuard Device Manager には、古い Java バージョンに起因して不正アクセスなどを許してしまう複数の脆弱性が存在します。
Cosminexus HTTP Server、Hitachi Web Server には、Apache httpd 2.4.27 で解決した認証機構の迂回 (CVE-2017-3167)、mod_http2 モジュールに存在するサービス不能攻撃 (CVE-2017-7668)、mod_mime モジュールに存在する情報漏洩 (CVE-2017-7679) が存在します。
キャッシュ DNS サーバの一つである Unbound のバージョン 1.6.6 は、不具合の修正を目的としたリリースで、セキュリティアップデートは含まれていません。このバージョンでは、RFC6761 で規定されている特殊用途ドメイン名 test. invalid. での不具合の修正、制限のある再帰問い合わせの統計情報の追加などに対応しています。
Samba 4.6.8、4.5.14、4.4.16 では、SMB 署名機構の迂回に起因して中間者攻撃を許してしまう脆弱性 (CVE-2017-12150)、SMB3 接続で DFS(Distributed File System) をリダイレクトする際に、暗号化機構を維持しないことに起因して情報漏洩を許してしまう脆弱性 (CVE-2017-12151)、SMB1 経由でメモリ上の情報漏洩を許してしまう脆弱性 (CVE-2017-12163) を解決しています。
Tomcat 8.5.21 は、不具合の修正や改善を目的としたリリースです。CGI Servlet の機能改善、OpenSSL SSL_CONF API のサポートなどの改善を施しています。リリース時点で、セキュリティアップデートの報告はありません。
9月19日、Tomcat 7.0.81 で解決した脆弱性情報が掲載されました。報告された脆弱性は、VirtualDirContext を利用している場合に情報漏洩を許してしまう脆弱性 (CVE-2017-12616)、Windows 版の場合、不正な HTTP PUT リクエストで JSP ファイルのアップロードが可能となり、任意のコード実行を許してしまう脆弱性 (CVE-2017-12615) です。
Joomla! 3.8.0 は、不具合の修正や改善を目的としたリリースです。
Joomla! 3.8.0 は、不具合の修正や改善を目的としたリリースです。
WordPress 4.8.2 では、SQL インジェクション問題 (CWE-89)、クロスサイトスクリプティング問題 (CWE-79)、ディレクトリトラバーサル問題 (CWE-22)、オープンリダイレクト問題 (CWE-601) を解決しています。
担当：寺田、大西／HIRT
