チェックしておきたい脆弱性情報 ＜2019.08.26＞

重要製造業分野で利用されている米 Zebra(zebra.com) の産業用プリンタには、十分でない資格情報保護 (CWE-522) に起因してパスコードの漏洩を許してしまう脆弱性 (CVE-2019-10960) が存在します。この問題は、不正なパケットをプリンタのポートで受信した場合に、フロントパネルのパスコードを含む情報を返信するというものです。

• ICSA-19-232-01: Zebra Industrial Printers

日立ディスクアレイシステムには、マイクロソフト 2019年 7月の月例セキュリティアップデートで解決した脆弱性の影響はありません。

• hitachi-sec-2019-307: 日立ディスクアレイシステムにおける SVP 脆弱性 (2019年 7月分) 対策について

Cisco UCS シリーズサーバを管理する Integrated Management Controller Supervisor、Cisco SDN 統合インフラストラクチャ管理ツールである UCS Director、Cisco UCS Director Express には、不正アクセスを許してしまう複数の脆弱性 (CVE-2019-1937、CVE-2019-1974、CVE-2019-1935、CVE-2019-1938) が存在します。報告されている脆弱性は、不正な要求を受信した際に認証機構の迂回を許してしまう問題 (CWE-287)、文書化されていない資格情報である SCP ユーザアカウント (scpuser) がハードコーディングされている問題 (CWE-798) です。

• cisco-sa-20190821-imcs-ucs-authby: Cisco Integrated Management Controller Supervisor, Cisco UCS Director, and Cisco UCS Director Express for Big Data Authentication Bypass Vulnerability
• cisco-sa-20190821-imcs-ucs-authbypass: Cisco IMC Supervisor, Cisco UCS Director, and Cisco UCS Director Express for Big Data Authentication Bypass Vulnerability
• cisco-sa-20190821-imcs-usercred: Cisco Integrated Management Controller Supervisor, Cisco UCS Director, and Cisco UCS Director Express for Big Data SCP User Default Credentials Vulnerability
• cisco-sa-20190821-ucsd-authbypass: Cisco UCS Director and Cisco UCS Director Express for Big Data API Authentication Bypass Vulnerability

DNS コンテンツサーバ (権威 DNS サーバ) の一つである NSD (Name Server Daemon) のバージョン 4.2.2 では、dname_concatenate 関数に存在するスタックオーバーフロー (CWE-121) の脆弱性 (CVE-2019-13207) を解決しています。

• NSD 4.2.2

Samba 4.10.7 では、ctdb、netcmd、samba-tool 関連モジュールなどに存在する計 17 件の不具合を修正しています。リリース時点で、セキュリティアップデートの報告はありません。

• Samba 4.10.7 Available for Download

Tomcat 8.5.45 は、不具合の修正や改善を目的としたリリースです。このリリースでは、HTTP/2 向けのオーバーヘッド保護機構の拡張、Windows インストーラのセキュリティ改善、500 番の応答ではなく 400 番の応答を返送するよう、無効な HTTP 要求に対する応答処理の改善などを施しています。リリース時点で、セキュリティアップデートの報告はありません。8.5.44 はリリースされていません。

• Changelog Tomcat 8.5.45 (markt)

Tomcat 9.0.24 は、不具合の修正や改善を目的としたリリースです。このリリースでは、JIT コンパイラ Graal ネイティブイメージサポートの拡張、HTTP/2 向けのオーバーヘッド保護機構の拡張、Windows インストーラのセキュリティ改善などを施しています。リリース時点で、セキュリティアップデートの報告はありません。9.0.23 はリリースされていません。

• Changelog Tomcat 9.0.24 (markt)

2018年 8月に報告された S2-057、不正な HTTP 要求を受信した場合に、任意のコード実行を許してしまう脆弱性 (CVE-2018-11776) の影響範囲が、S2-057 の Struts 2.0.4 〜 2.3.34、Struts 2.5.0 〜 2.5.16 から、S2-058 では Struts 2.0.0 〜 2.5.12 に訂正されました。

• S2-058 Previous Security Bulletins contained incorrect affected release version ranges.
• S2-057 Possible Remote Code Execution when using results with no namespace and in same time, its upper action(s) have no or wildcard namespace. Same possibility when using url tag which doesn't have value and action set (CVE-2018-11776)

• HIRT-PUB
• 活動参考資料
• CSIRTメモ