更新日：＜2018.12.17＞
Firefox 64.0 では、任意のコード実行を許してしまう脆弱性、サービス不能攻撃、なりすまし、セキュリティ機構の迂回を許してしまう脆弱性など、1 件のセキュリティアドバイザリに含まれる計 11 件の脆弱性を解決しています。任意のコード実行はメモリ破損の問題に起因しています。また、ESR として脆弱性を解決したバージョン ESR 60.4 がリリースされました。
Thunderbird 60.3.3 では、セキュリティデータベース (key3.db、cert8.db、key4.db、cert9.db など) に格納されている情報の保護措置を導入するとともに、アドレス帳の検索、メッセージ作成処理などの不具合を修正しています。セキュリティアップデートは含まれていません。
Acrobat Reader DC ならびに Acrobat DC (2019.010.20064 / 2015.006.30461)、Acrobat Reader 2017 ならびに Acrobat 2017 (2017.011.30110) では、計 86 件の脆弱性 (CVE-2018-12830、CVE-2018-15984 〜 CVE-2018-16010、CVE-2018-16012 〜 CVE-2018-16047、CVE-2018-19698 〜 CVE-2018-19717、CVE-2018-19719、CVE-2018-19720) を解決しています。対象となった脆弱性は、メモリバッファ境界での適切でない操作制限 (CWE-119)、メモリの解放後使用 (use-after-free: CWE-416)、領域外メモリへの書き出し (out-of-bounds write: CWE-787)、ヒープオーバーフロー (CWE-122) に起因して任意のコード実行を許してしまう問題、セキュリティ機構の迂回に起因してアクセス権限昇格を許してしまう問題、領域外のメモリ参照 (out-of-bounds read: CWE-125)、整数オーバーフロー (CWE-190) に起因して情報漏洩を許してしまう問題などです。
Chrome 71.0.3578.98 では、PDF レンダリングエンジン PDFium に存在するメモリの解放後使用 (use-after-free: CWE-416) の脆弱性 (CVE-2018-17481) を解決しています。
2018年12月の月例セキュリティアップデートでは 40 件のマイクロソフト製品のセキュリティ問題を解決しています。脆弱性による影響は、任意のコード実行 18 件、サービス不能 3 件、アクセス権限の昇格 5 件、なりすまし 1 件、情報漏洩 12 件、セキュリティ機構の迂回 0 件です。
公共衛生・ヘルスケア分野で利用されているアイルランド Medtronic (medtronic.com) の移植心臓ペースメーカー用プログラミングユニット CareLink Programmer、Encore Programmer には、重要な情報を暗号化していない問題 (CWE-311) に起因して、情報漏洩を許してしまう脆弱性 (CVE-2018-18984) が存在します。
エネルギー分野で利用されている米GE (ge.com) の分散制御システム Mark VIe、励磁制御 EX2100e、EX2100e_Reg、発電機制御および保護 LS2100e には、ディレクトリトラバーサル問題 (CWE-22) に起因して、アクセス権限の昇格や不正アクセスなどを許してしまう脆弱性 (CVE-2018-19003) が存在します。
商業施設、エネルギー、銀行・金融、公共衛生・ヘルスケア分野で利用されている独 Geutebrck(geutebrueck.com) には、ダイナミック DNS の設定画面に、OS コマンドインジェクション問題 (CWE-78) に起因して、任意のコマンド実行を許してしまう脆弱性 (CVE-2018-19007) が存在します。
エネルギー分野で利用されている独 Siemens (siemens.com) の保護リレー製品 SIPROTEC 5 Relay、SIPROTEC 4、SIPROTEC Compact で使用している EN100 イーサネットモジュールには、適切でない入力確認 (CWE-20) に起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2018-11451、CVE-2018-11452) が存在します。不正なパケットをポート番号 102/TCP で受信した場合に脆弱性の影響を受ける可能性があります。
重要製造業分野で利用されている仏 Schneider Electric (schneider-electric.com) の温度制御用 GUIcon Eurotherm には、型の取り違え (type confusion: CWE-843)、スタックオーバーフロー (CWE-121) に起因して、アクセス権限の昇格を伴った任意のコード実行を許してしまう複数の脆弱性 (CVE-2018-7813、CVE-2018-7814、CVE-2018-7815) が存在します。
重要製造業分野で利用されている独 Siemens (siemens.com) の 工作機械向けの SINUMERIK コントローラには、サービス不能攻撃、アクセス権限の昇格、任意のコード実行などを許してしまう 10 件の脆弱性 (CVE-2018-11457 〜 CVE-2018-11466) が存在します。報告されている脆弱性は、ヒープオーバーフロー (CWE-122)、整数オーバーフロー (CWE-190)、保護メカニズムの不具合 (CWE-693)、適切でない許可、権限、アクセス制御 (CWE-264)、スタックオーバーフロー (CWE-121)、例外を捕捉できない問題 (CWE-248) などです。
化学、エネルギー、農業・食料、公共衛生・ヘルスケア、輸送、上下水道分野で利用されている独 Siemens (siemens.com) の セルベース高圧インバータ SINAMICS PERFECT HARMONY GH180 用の McAfee Application and Change Control には、適切でない認証 (CWE-287) に起因して、USB メモリを介して、GH180 への不正アクセスを許してしまう脆弱性 (CVE-2018-6690) が存在します。Application Control は、ホワイトリストに基づいてアプリケーションを制限し、Change Control は、ポリシーに適合しないシステムの変更をブロックする製品です。
キャッシュ DNS サーバの一つである Unbound のバージョン 1.8.3 は、不具合の修正を目的としたリリースで、セキュリティアップデートは含まれていません。このバージョンでは、dns64 allocation での不具合を修正しています。
BIND 9.13.5 では、BIND 9.12.2-P1 で解決した deny-answer-aliases 機能の処理不具合に起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2018-5740)、BIND 9.12.3 で解決したアクセス制御機構のデフォルト設定に不具合があり、特定の条件下でオープンリゾルバー状態を許してしまう脆弱性 (CVE-2018-5738) に対応しています。
BIND 9.12.3-P1、9.11.5-P1 は、不具合の修正や改善を目的としたリリースです。これらのバージョンでは、DNSSEC の 2 重署名を防止するための処理に変更を施しています。
Samba 4.8.8 では、dns、ctdb-recovery、dbcheck、s3-smbd、smbd モジュールなど計 26 件の不具合を修正しています。セキュリティアップデートは含まれていません。このバージョンでは、Samba 4.8.7 で解決した Active Directory に関連してサービス不能攻撃を許してしまう問題 (CVE-2018-14629、CVE-2018-16853) での不具合を修正しています。
Tomcat 9.0.14 は、不具合の修正や改善を目的としたリリースです。Tomcat 9.0.14 では、ブラジル系ポルトガル語、韓国語、中国語 (簡体字) の追加によるローカリゼーション拡大、バックグラウンドとスレッド処理の改善、Windows 版バイナリを OpenSSL 1.1.1a と APR 1.6.5 に対応させるために、Tomcat Native 1.2.19 にアップデートするなどの強化を施しています。
WordPress 5.0.1 では、ファイル削除、不正な投稿、メールアドレスの漏洩を許してしまう脆弱性、クロスサイトスクリプティング問題 (CWE-79)などを解決しています。
9 件のセキュリティノートがリリースされています。該当する製品は、SAP Commerce、SAP Basis、SAP NetWeaver、SAP Marketing、SAP Business One Service Layer、SAP Mobile Secure for Android、SAP HANA です。報告されている脆弱性は、XML 検証 (CVE-2018-2492)、権限付与に関する問題 (CVE-2018-2494、CVE-2018-2503)、情報漏洩を許してしまう問題 (CVE-2018-2500)、クロスサイトスクリプティング問題 (CWE-79)(CVE-2018-2486、CVE-2018-2504、CVE-2018-2505)、監査ログ未取得 (CVE-2018-2497) などです。
担当：寺田、大西／HIRT
