更新日：＜2017.08.21＞
Thunderbird 52.3 では、添付ファイル、認証ダイアログ、印刷の不具合などを修正しています。セキュリティアップデートは含まれていません。
Firefox 55.0.2 では、プロファイル名、WebExtension の性能、ポップアップメニューでの不具合などを修正しています。セキュリティアップデートは含まれていません。
公共衛生・ヘルスケア分野で利用されているオランダ Philips (philips.com) の DoseWise Portal には、バックエンドのデータベースにアクセスすための資格情報がハードコーディングされている問題 (CVE-2017-9656)、資格情報がバックエンドシステムに平文のまま格納されている問題 (CVE-2017-9654) が存在します。DoseWise Portal は、被ばく低減を支援する Web ベースで報告と追跡ツールです。
公共衛生・ヘルスケア分野で利用されている Luna CPAP の無線モジュールには、サービス不能攻撃を許してしまう脆弱性 (CVE-2017-12701) が存在します。Luna CPAP は、持続式陽圧呼吸療法 CPAP(Continuous Positive Airway Pressure) 機器で、中国 BMC Medical(bmc-medical.com) で開発されている治療モジュールと、米 3B Medical(3bproducts.com) で開発されている通信モジュールから構成されています。
重要製造業分野で利用されている台湾 Advantech (advantech.com) の HMI 製品である WebOP には、ヒープオーバーフロー (CWE-122) に起因して、任意のコード実行やサービス不能攻撃などを許してしまう脆弱性 (CVE-2017-12705) が存在します。
ネットワーク環境の仮想化を支援する Virtual Network Function Element Manager には、アクセス権限の昇格と管理者権限で任意のコマンド実行を許してしまう脆弱性 (CVE-2017-6710) が存在します。
アプリケーションセントリックインフラストラクチャネットワークの一元的な自動化および管理を実現する Application Policy Infrastructure Controller には、カスタム実行ファイルの生成において、アクセス権限の昇格を許してしまう脆弱性 (CVE-2017-6768) が存在します。この問題は、カスタム実行ファイルの生成時に、呼び出すライブラリの検証が適切でないことに起因しています。また、ロールベースアクセス制御が適切に機能しないことに起因して、SSH ログイン時にアクセス権限の昇格を許してしまう脆弱性 (CVE-2017-6767) が存在します。この問題は、最後にログインしたユーザ権限が割り当てられてしまう問題です。
Tomcat 7.0.81 は、不具合の修正や改善を目的としたリリースです。設定ファイルで Windows インストーラで使用するデフォルト値を指定する機能、WebSocket での接続の際に WebSocket クライアントでのリダイレクト追跡などの改善を施しています。リリース時点で、セキュリティアップデートの報告はありません。7.0.80 はリリースされていません。
8月10日、Tomcat 8.5.16、8.0.45、7.0.79 で解決した脆弱性情報が掲載されました。報告された脆弱性は、CORS(Cross-Origin Resource Sharing) フィルタが Vary ヘッダを適切に処理しない問題 (CVE-2017-7674) で、クライアント側とサーバ側でのキャッシュ・ポイズニングを許してしまう可能性があります。また、Tomcat 8.5.16 では、HTTP/2 で実装されたディレクトリトラバーサル対策のためのセキュリティ機構を迂回を許してしまう脆弱性 (CVE-2017-7675) が報告されています。
担当：寺田、大西／HIRT
