ページの本文へ

Hitachi

日立ストレージソリューション

日立ディスクアレイシステムにおけるSVP セキュリティホール(2017年9月分)対策について

公開日: 2017年09月28日
(株)日立製作所 ITプロダクツ統括本部

セキュリティ情報ID
 hitachi-sec-2017-309

1. 日立ディスクアレイシステムに対するセキュリティホール対策のお知らせ

Microsoft製品に対して、以下に示すセキュリティホールが公開されました。

[新規情報]

  1. Adobe Flash Playerの脆弱性の更新プログラム(ADV170013)
  2. Windows NetBIOSの脆弱性の更新プログラム(CVE-2017-0161)
  3. Microsoft Bluetoothドライバの脆弱性の更新プログラム(CVE-2017-8628)
  4. Microsoft Edgeの脆弱性の更新プログラム(CVE-2017-8643)
  5. Win32kの脆弱性の更新プログラム(CVE-2017-8675,etc)
  6. Windows GDI+の脆弱性の更新プログラム(CVE-2017-8676,etc)
  7. Win32kの脆弱性の更新プログラム(CVE-2017-8677,etc)
  8. Windowsカーネルの脆弱性の更新プログラム(CVE-2017-8679,etc)
  9. Win32k Graphicsの脆弱性の更新プログラム(CVE-2017-8682)
  10. Win32k Graphicsの脆弱性の更新プログラム(CVE-2017-8683)
  11. Windows GDI+の脆弱性の更新プログラム(CVE-2017-8684,etc)
  12. Windows Uniscribeの脆弱性の更新プログラム(CVE-2017-8692)
  13. Microsoft Graphicsコンポーネントの脆弱性の更新プログラム(CVE-2017-8695)
  14. Microsoft Graphicsコンポーネントの脆弱性の更新プログラム(CVE-2017-8696)
  15. Windows Shellの脆弱性の更新プログラム(CVE-2017-8699)
  16. Windowsの脆弱性の更新プログラム(CVE-2017-8702)
  17. Hyper-Vの脆弱性の更新プログラム(CVE-2017-8706,etc)
  18. Windowsの脆弱性の更新プログラム(CVE-2017-8710)
  19. Windowsカーネルの脆弱性の更新プログラム(CVE-2017-8719)
  20. Microsoft Edgeの脆弱性の更新プログラム(CVE-2017-8723,etc)
  21. Windows PDFの脆弱性の更新プログラム(CVE-2017-8728,etc)
  22. Internet Explorerの脆弱性の更新プログラム(CVE-2017-8733)
  23. Microsoft Edgeの脆弱性の更新プログラム(CVE-2017-8734,etc)
  24. Microsoft Edgeの脆弱性の更新プログラム(CVE-2017-8735)
  25. Microsoft ブラウザの脆弱性の更新プログラム(CVE-2017-8736)
  26. スクリプトエンジンの脆弱性の更新プログラム(CVE-2017-8738,etc)
  27. Internet Explorerの脆弱性の更新プログラム(CVE-2017-8747,etc)
  28. Microsoftブラウザの脆弱性の更新プログラム(CVE-2017-8750)
  29. .NET Frameworkの脆弱性の更新プログラム(CVE-2017-8759)

日立ディスクアレイシステムのSVPにおける、上記(1)〜(29)の脆弱性の影響は下記の通りです。

  1. 本件はAdobe Flash Playerの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたファイルを開く必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
    • 詳細:ADV170013
  2. 本件はWindows NetBIOSの脆弱性により、リモートでコードが実行されるというものです。SVPでは、本件の対象となるOSを使用しており、本脆弱性の影響を受けます。
    • 詳細:CVE-2017-0161
  3. 本件はMicrosoft Bluetoothドライバの脆弱性により、なりすましが起こるというものです。SVPでは本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8628
  4. 本件はMicrosoft Edgeの脆弱性により、情報漏えいが起こるというものです。SVPでは本件の対象となるMicrosoft Edgeを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8643
  5. 本件はWin32kの脆弱性により、特権の昇格が起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8675,CVE-2017-8720
  6. 本件はWindows GDI+の脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8676,CVE-2017-8688
  7. 本件はWin32kの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8677,CVE-2017-8678,CVE-2017-8680,CVE-2017-8681,CVE-2017-8687
  8. 本件はWindowsカーネルの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8679,CVE-2017-8708,CVE-2017-8709
  9. 本件はWin32k Graphicsの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたWebサイトを表示する、またはドキュメントファイルを開く必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8682
  10. 本件はWin32k Graphicsの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8683
  11. 本件はWindows GDI+の脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8684,CVE-2017-8685
  12. 本件はWindows Uniscribeの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたWebサイトを表示する、または文書を開く必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8692
  13. 本件はMicrosoft Graphicsコンポーネントの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工された文書を開く、または信頼されていないWebサイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8695
  14. 本件はMicrosoft Graphicsコンポーネントの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたWebサイトを表示する、または文書を開く必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8696
  15. 本件はWindows Shellの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたファイルを開く、またはWebサイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8699
  16. 本件はWindowsの脆弱性により、特権の昇格が起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8702
  17. 本件はHyper-Vの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8706,CVE-2017-8707,CVE-2017-8713
  18. 本件はWindowsの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたファイルを開く必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8710
  19. 本件はWindowsカーネルの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8719
  20. 本件はMicrosoft Edgeの脆弱性により、セキュリティ機能のバイパスが起こるというものです。SVPでは本件の対象となるMicrosoft Edgeを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8723,CVE-2017-8754
  21. 本件はWindows PDFの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたPDFコンテンツを開く、またはWebサイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8728,CVE-2017-8737
  22. 本件はInternet Explorerの脆弱性により、なりすましが起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたWebサイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるInternet Explorerを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8733
  23. 本件はMicrosoft Edgeの脆弱性により、リモートでコードが実行されるというものです。SVPでは本件の対象となるMicrosoft Edgeを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8734,CVE-2017-11766,CVE-2017-8757
  24. 本件はMicrosoft Edgeの脆弱性により、なりすましが起こるというものです。SVPでは本件の対象となるMicrosoft Edgeを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8735
  25. 本件はMicrosoftブラウザの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには悪意のあるWebサイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるMicrosoft ブラウザを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8736
  26. 本件はスクリプト エンジンの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたコンテンツを開く、またはWebサイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8738,CVE-2017-8741,CVE-2017-8748,CVE-2017-8753.CVE-2017-8756
  27. 本件はInternet Explorerの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたコンテンツを開く、またはWebサイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるInternet Explorerを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8747,CVE-2017-8749
  28. 本件はMicrosoftブラウザの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたコンテンツを開く、またはWebサイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるMicrosoft ブラウザを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8750
  29. 本件は.NET Frameworkの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには悪意のあるドキュメントを開く、またはアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
    • 詳細:CVE-2017-8759

弊社ストレージ装置における、今回の脆弱性の影響を以下の表に示します。

脆弱性の影響
ストレージ装置 影響する脆弱性
Hitachi Virtual Storage Platform G1000,G1500
Hitachi Virtual Storage Platform F1500
Hitachi Virtual Storage Platform VX7
CVE-2017-0161
Hitachi Unified Storage VM (HUS VM)
Hitachi Virtual Storage Platform
Hitachi Virtual Storage Platform VP9500

SVPは直接ストレージ機能には係わりませんので、万一攻撃者から攻撃された場合であってもストレージとしてのデータの内容およびRead/Write機能に支障はありません。また日立ディスクアレイシステムに蓄積されているデータを読み取られることもありません。
しかしながら万一SVPが攻撃された場合、装置の構成変更設定や保守作業に支障をきたす等の可能性があります。
そのため今般、対象となる製品に対しまして、予防処置をさせていただきます。

2. 今回のセキュリティホールの特徴

攻撃者がこの脆弱性を悪用した場合、SVPが応答しなくなる可能性があります。さらに、SVPに対してなりすましが行われる可能性があります。

3. 対象製品

Microsoft Windows OSを搭載したSVPを装備する下記の製品が本件の対象となります。

  • Hitachi Virtual Storage Platform G1000,G1500、Hitachi Virtual Storage Platform F1500
  • Hitachi Virtual Storage Platform VX7
  • Hitachi Unified Storage VM (HUS VM)
  • Hitachi Virtual Storage Platform、Hitachi Virtual Storage Platform VP9500
  • Hitachi Universal Storage Platform V、Hitachi Universal Storage Platform VM
注:
Hitachi Virtual Storage Platform G100,G200,G400,G600,G800、Hitachi Virtual Storage Platform F400,F600,F800、Hitachi Unified Storage 100、Hitachi Adaptable Modular Storage、Hitachi Workgroup Modular Storage、Hitachi Simple Modular Storageは影響を受けません。

4. クライアントPC、もしくは管理サーバ*1のご使用について

クライアントPCでのStorage Navigatorのご使用については、Storage Navigator機能に限ったご使用であれば特に問題ありません。
クライアントPCを他の用途でもご利用されている場合や、管理サーバをご利用されている場合は、ご利用内容によっては今回の脆弱性の影響を受ける可能性があります。
詳しくはメーカにお尋ねいただくか、以下のセキュリティサイトをご確認の上対応をお願い致します。

*1
Hitachi Virtual Storage Platform G100,G200,G400,G600,G800、および、Hitachi Virtual Storage Platform F400,F600,F800を管理するためのサーバ(SVP)のことを管理サーバと表現しています。

5. 本セキュリティホールに関する情報

  1. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV170013
  2. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-0161
  3. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8628
  4. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8643
  5. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8675
    https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8720
  6. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8676
    https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8688
  7. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8677
  8. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8678
    https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8680
    https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8681
    https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8687
  9. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8679
  10. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8708
    https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8709
  11. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8682
  12. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8683
  13. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8684
    https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8685
  14. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8692
  15. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8695
  16. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8696
  17. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8699
  18. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8702
  19. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8706
    https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8707
    https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8713
  20. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8710
  21. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8719
  22. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8723
    https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8754
  23. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8728
    https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8737
  24. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8733
  25. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8734
    https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11766
    https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8757
  26. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8735
  27. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8736
  28. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8738
    https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8741
    https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8748
  29. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8747
    https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8749
  30. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8750
  31. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8759

6. 本件に関する問い合せ窓口


7. 更新履歴

  • 2017年9月28日: このセキュリティ情報ページを新規作成および発信しました。
*1
弊社では、セキュリティ対応に関して正確な情報を提供するよう努力しておりますが、セキュリティ問題に関する情報は変化しており、当ホームページで記載している内容を予告なく変更することがありますので、あらかじめご了承ください。情報ご参照の際には、常に最新の情報をご確認いただくようお願いします。
*2
当ホームページに記載されている製品には、他社開発製品が含まれております。これらのセキュリティ情報については他社から提供、または公開された情報を基にしております。弊社では、情報の正確性および完全性について注意を払っておりますが、開発元の状況変化に伴ない、当ホームページの記載内容に変更が生じることがあります。
*3
当ホームページはセキュリティ情報の提供を目的としたものであり、法律上の責任を負うものではありません。お客様が独自に行なった(あるいは行なわなかった)セキュリティ対応その他のご行為の結果につきまして、弊社では責任を負いかねます。