更新日：＜2019.08.05＞
Windows 版 iCloud 10.6.1 は不具合の修正や改善を目的としたリリースです。リリース時点で、CVE 番号が割り当てられたセキュリティアップデートの報告はありません。
Chrome 76.0.3809.100 では、メモリの解放後使用 (use-after-free: CWE-416)、領域外のメモリ参照 (out-of-bounds read: CWE-125) などに起因する 4 件の脆弱性 (CVE-2019-5867、CVE-2019-5868 他) を解決しています。
バージョン 76 がリリースされました。Chrome 76.0.3809.87 では、メモリの解放後使用 (use-after-free: CWE-416)、メモリ破損、整数オーバーフロー (CWE-190)、セキュリティ機構の迂回、情報漏洩を許してしまう問題など、計 43 件の脆弱性 (CVE-2019-5850 〜 CVE-2019-5865 他) を解決しています。
航空機に搭載されている CAN Bus Network の安全でない実装に関する注意喚起が発行されました。注意喚起は、航空機に物理的アクセスができる場合、不正なデータのインジェクションにより、エンジンの遠隔測定、羅針盤と姿勢、高度、対気速度、迎角などについて誤った測定値の提供を許してしまう問題が存在するというものです。
化学、商業施設、エネルギー、農業・食料、輸送、上下水道分野で利用されているブラジル LCDS (laquisscada.com) の監視制御システム LAquis SCADA の LQS プロジェクトファイル 処理には、領域外のメモリ参照 (out-of-bounds read: CWE-125)、型の取り違え (type confusion: CWE-843) に起因して情報漏洩や任意のコード実行を許してしまう脆弱性 (CVE-2019-10994、CVE-2019-10980) が存在します。
重要製造業分野などで利用されている米 Rockwell Automation (rockwellautomation.com) のシミュレーション関連製品 Arena には、メモリの解放後使用 (use-after-free: CWE-416) に起因して任意のコード実行を許してしまう脆弱性 (CVE-2019-13510)、不正なファイルを読み込んだ際に情報漏洩を許してしまう脆弱性 (CVE-2019-13511) が存在します。
重要製造業分野で利用されている独 Smart Software Solutions (3s-software.com) の制御システム用パッケージ製品である CoDeSys (Controller Development System) 製品には、十分でない資格情報保護 (CWE-522) に起因して情報漏洩を許してしまう脆弱性 (CVE-2019-9013) が存在します。影響を受ける製品は、CODESYS Control、CODESYS Control RTE V3、CODESYS Control Win V3、CODESYS HMI V3 などです。
重要製造業分野で利用されている独 Smart Software Solutions (3s-software.com) の制御システム用パッケージ製品である CoDeSys (Controller Development System) 製品には、通信チャネルのオーナーシップの未検証 (CWE-283) に起因して不正アクセスを許してしまう脆弱性 (CVE-2019-9010)、メモリ割り当ての未制御 (CWE-789) に起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2019-9012) が存在します。影響を受ける製品は、CODESYS Control、CODESYS Control V3 Runtime System Toolkit、CODESYS Gateway V3、CODESYS V3 Development System などです。
商業施設分野で利用されている富士電機 (fujielectric.com) の低圧インバータ FRENIC 装置のローダには、領域外のメモリ参照 (out-of-bounds read: CWE-125) に起因して情報漏洩を許してしまう脆弱性 (CVE-2019-13512) が存在します。
重要製造業、エネルギー、上下水道分野で利用されている台湾 Advantech (advantech.com) のリモート制御および管理機能を提供する Advantech Webaccess HMI/SCADA 製品には、領域外メモリへの書き出し (out-of-bounds write: CWE-787) に起因して任意のコード実行を許してしまう脆弱性 (CVE-2019-10961) が存在します。不正な MCR ファイルを処理した際に、脆弱性の影響を受ける可能性があります。
商業施設、政府施設、公共衛生・ヘルスケア、情報技術、輸送分野で利用されているスロベニア Prima Systems (primasystems.eu) の FlexAir には、任意のコード実行、情報漏洩、認証機構の迂回などを許してしまう複数の脆弱性 (CVE-2019-7280、CVE-2019-7281、CVE-2019-7666、CVE-2019-7667、CVE-2019-7669 〜 CVE-2019-7672、CVE-2019-9189) が存在します。報告されている脆弱性は、OS コマンドインジェクション問題 (CWE-78)、適切でないアップロートファイル制限 (CWE-434)、クロスサイトリクエストフォージェリ問題 (CWE-352)、幅の狭い乱数値 (CWE-334)、クロスサイトスクリプティング問題 (CWE-79)、許可されていない制御領域へのバックアップファイルの漏洩 (CWE-530)、適切でない認証 (CWE-287)、資格情報がハードコーディングされている問題 (CWE-798) です。FlexAir は、ドア管理のためのアクセス制御製品です。
重要製造業、情報技術、公共衛生・ヘルスケア、輸送、上下水道分野で利用されている米 Wind River (windriver.com) の リアルタイム OS である VxWorks には、任意のコード実行などを許してしまう複数の脆弱性 (CVE-2019-12255 〜 CVE-2019-12265) が存在します。報告されている脆弱性は、スタックオーバーフロー (CWE-121)、ヒープオーバーフロー (CWE-122)、整数アンダーフロー (CWE-191)、メモリバッファ境界での適切でない操作制限 (CWE-119)、競合 (race condition: CWE-362)、引数のインジェクションや改ざん (CWE-88)、NULL ポインタ参照 (NULL pointer dereference: CWE-476) です。
日立ディスクアレイシステムには、マイクロソフト 2019年 6月の月例セキュリティアップデートで解決した脆弱性の影響はありません。
Small Business 220 シリーズスマートスイッチには、複数の脆弱性 (CVE-2019-1912、CVE-2019-1913) が存在します。報告されている脆弱性は、Web 管理インタフェースにおいて不正な要求を受信した際に認証機構の迂回を許してしまう問題、メモリバッファ境界での適切でない操作制限 (CWE-119) に起因して任意のコード実行を許してしまう問題です。
DNS コンテンツサーバ (権威 DNS サーバ) である PowerDNS Authoritative Server 4.0.9、4.1.11 では、不正なゾーンレコードを受信した際に発生するサービス不能攻撃を許してしまう脆弱性 (CVE-2019-10203) を解決しています。この問題は、シリアル番号を PostgreSQL データベースに保存する処理に関連するものです。
OpenSSL 1.1.1、1.1.0、1.0.2 の Windows 環境には、OpenSSL が保護されていないディレクトリからのコード実行を許してしまう問題 (CVE-2019-1552) が存在します。ただし、深刻度は低いことから、アドバイザリ公開に合わせたセキュリティアップデートはありません。
また、1.1.0、1.0.2 のいずれも、セキュリティアップデートのみの保守期間中で、1.1.0 は 2019年 9月11日、1.0.2 は 2019年12月31日が EOL (End-Of-Life) に入ります。
PHP 7.3.8、7.2.21、7.1.31 では、EXIF コンポーネントに存在するヒープオーバーフロー (CWE-122) の脆弱性 (CVE-2019-11041、CVE-2019-11042) を解決しています。また、7.3.8 では、Core、Date、EXIF、FTP、Libxml、LiteSpeed、Opcache、Openssl、PCRE、PDO_Sqlite、Phar、Phpdbg、Standard コンポーネントに存在する計 20 件の不具合、7.2.21 では、Date、EXIF、Fileinfo、FTP、Libxml、LiteSpeed、OPcache、Openssl、PDO_Sqlite、Phar、Phpdbg、Standard、XMLRPC コンポーネントに存在する計 17 件の不具合、7.1.31 では、EXIF、Phar コンポーネントに存在する計 3 件の不具合を修正しています。
Tomcat 7.0.96 では、不正な OPTIONS 要求を受信した場合には、400 番の応答を返し、長いホスト名を受信した場合には、500 番の応答を返すよう処理の改善を施しています。リリース時点で、セキュリティアップデートの報告はありません。7.0.95 はリリースされていません。
VMware ESXi、Workstation、Fusion のピクセルシェーダ機能には、領域外のメモリ参照 (out-of-bounds read: CWE-125) に起因して情報漏洩やサービス不能攻撃を許してしまう脆弱性 (CVE-2019-5521)、領域外メモリへの書き出し (out-of-bounds write: CWE-787) に起因して任意のコード実行を許してしまう脆弱性 (CVE-2019-5684) が存在します。任意のコード実行を許してしまう脆弱性については、NVIDIA グラフィックドライバを使用している場合に影響を受ける可能性があります。
担当：寺田、大西／HIRT
