ページの本文へ

Hitachi

Hitachi Incdent Response Team

チェックしておきたい脆弱性情報 <2018.09.10>

更新日:<2018.09.10>

(C01) Mozilla

Firefox 62.0、ESR 60.2 リリース (2018/09/05)

Firefox 62.0 では、任意のコード実行を許してしまう脆弱性、サービス不能攻撃、情報漏洩、なりすましを許してしまう脆弱性など、1 件のセキュリティアドバイザリに含まれる計 8 件の脆弱性を解決しています。任意のコード実行はメモリ破損の問題に起因しています。また、ESR として脆弱性を解決したバージョン ESR 60.2 がリリースされました。

Thunderbird 60.0 リリース (2018/08/06)

Thunderbird 60.0 では、任意のコード実行を許してしまう脆弱性、サービス不能攻撃、情報漏洩を許してしまう脆弱性など、1 件のセキュリティアドバイザリに含まれる計 14 件の脆弱性を解決しています。任意のコード実行はメモリ破損の問題に起因しています。

(C10) Google Chrome

Google Chrome 69.0.3497.81 リリース (2018/09/04)

バージョン 69 がリリースされました。Chrome 69.0.3497.81 では、領域外メモリへの書き出し (out-of-bounds write: CWE-787)、領域外のメモリ参照 (out-of-bounds read: CWE-125)、整数オーバーフロー (CWE-190)、メモリの解放後使用 (use-after-free: CWE-416)、URL なりすまし、セキュリティ機構の迂回を許してしまう問題など、計 40 件の脆弱性 (CVE-2018-16065 〜 CVE-2018-16088 他) を解決しています。

(I02) 制御システム製品

Ice Qube の Thermal Management Center (2018/09/06)

商業施設、重要製造業、エネルギー、上下水道分野で利用されている米 Ice Qube (iceqube.com) の温度管理機器の監視と制御をする Thermal Management Center には、適切でない認証 (CWE-287)、パスワードなどのアカウント情報が平文のまま格納されている問題 (CWE-256) に起因して、不正アクセスや重要な情報の漏洩を許してしまう脆弱性 (CVE-2017-14026、CVE-2017-16714) が存在します。

Opto22 の PAC Control Basic、PAC Control Professional (2018/09/04)

米 Opto22(opto22.com) の制御プログラミング用ソフトウェアである PAC Control Basic、PAC Control Professional には、スタックオーバーフロー (CWE-121) に起因して、任意のコード実行を許してしまう脆弱性 (CVE-2018-4154) が存在します。

(S01) シスコ製品

Data Center Network Manager (2018/09/05)

データセンタ基盤の稼働性、信頼性を管理する Cisco Data Center の Network Manager には、適切でないアクセス許可、権限、制御 (CWE-264) に起因して、稼働中の OS に対して管理者権限を伴った任意のコマンド実行を許してしまう脆弱性 (CVE-2018-0422) が存在します。

Integrated Management Controller (2018/09/05)

サーバ管理機能を提供する管理コントローラである Cisco Integrated Management Controller には、管理者権限を伴ったコマンドインジェクション (CWE-77) を許してしまう脆弱性 (CVE-2018-0430、CVE-2018-0431) が存在します。

Prime Access Registrar (2018/09/05)

アクセス制御サービスの導入と管理を支援する Cisco Prime Access Registrar の TCP SYN パケット処理には、サービス不能攻撃を許してしまう脆弱性 (CVE-2018-0421) が存在します。不正な TCP SYN パケットを受信した場合に影響を受ける可能性があります。

RV110W、RV130W、RV215W ルータ管理 (2018/09/05)

RV110W、RV130W、RV215W ルータ管理インタフェースには、複数の脆弱性 (CVE-2018-0423〜CVE-2018-0426) が存在します。報告されている脆弱性は、情報漏洩、コマンドインジェクション (CWE-77)、メモリバッファ境界での適切でない操作制限 (CWE-119)、ディレクトリトラバーサル問題 (CWE-22) です。

SD-WAN Solution (2018/09/05)

WAN インフラストラクチャの管理と運用を提供する Cisco SD-WAN Solution には、アクセス権限の昇格 (CVE-2018-0432)、コマンドインジェクション (CWE-77)(CVE-2018-0433)、適切でない証明書の確認 (CWE-295) に起因して中間者攻撃を許してしまう脆弱性 (CVE-2018-0434) が存在します。

Umbrella (2018/09/05)

クラウドセキュリティプラットフォームである Cisco Umbrella には、複数の脆弱性が存在します。報告されている脆弱性は、Umbrella API に不正アクセスを許してしまう脆弱性 (CVE-2018-0435)、Umbrella Enterprise Roaming Client と Enterprise Roaming Module にアクセス権限の昇格を許してしまう脆弱性 (CVE-2018-0438、CVE-2018-0437) です。

Webex (2018/09/05)

チームコラボレーション向け製品 Cisco Webex Teams には情報漏洩や改ざんを許してしまう脆弱性 (CVE-2018-0436)、オンライン会議用 Cisco Webex Meetings Client の Windows 版にはアクセス権限の昇格を伴う任意のコード実行を許してしまう脆弱性 (CVE-2018-0422) が存在します。

(S07) OpenSSH

OpenSSH 7.8、7.8p1 リリース (2018/08/24)

OpenSSH 7.8、7.8p1 は、不具合の修正や改善を目的としたリリースです。このリリースでは、認証において RSA/SHA2 署名の使用、アカウントに対するタイミング攻撃の対策、設定項目では、PermitUserEnvironment の拡張や PermitListen の追加などが施されています。また、ssh-keygen の秘密鍵生成で OpenSSH 形式の使用、多要素認証における S/Key の削除など、互換性のない変更も加えられています。

(S08) OpenSSL

OpenSSL 1.1.0i、1.0.2p リリース (2018/08/14)

OpenSSL 1.1.0i、1.0.2p では、4月16日に報告された RSA 鍵生成アルゴリズムの脆弱性 (CVE-2018-0737)、6 月12 日に報告されたサービス不能攻撃を許してしまう脆弱性 (CVE-2018-0732) を解決しています。

(S13) Tomcat

Tomcat Connectors 1.2.44 リリース (2018/09/01)

Apache をはじめとした HTTP サーバと連携して、アプリケーションサーバに接続する Tomcat Connectors 1.2.44 がリリースされました。不具合の修正や改善を目的としたリリースです。

(S16) VMware 製品

VMware セキュリティアップデート:VMSA-2018-0023 (2018/09/05)

iOS 版 VMware AirWatch Agent、iOS 版 VMware Content Locker のデータ保護機能には、重要な情報を暗号化していない問題 (CWE-311) に起因して、情報漏洩を許してしまう脆弱性 (CVE-2018-6975、CVE-2018-6976) が存在します。

(S21) Web アプリケーションならびに CMS

Drupal 8.6.0、8.5.7 リリース (2018/09/05)

Drupal 8.6.0、8.5.7 は、不具合の修正や改善を目的としたリリースです。なお、8.6.0 リリースに伴い、8.5.x 系のセキュリティメンテナンスは 2019年 3月までとなります。


担当:寺田、大西/HIRT