1. 日立ディスクアレイシステムに対するセキュリティホール対策のお知らせ
Microsoft製品に対して、以下に示すセキュリティホールが公開されました。
[新規情報]
- Adobe Flash Playerの脆弱性の更新プログラム(ADV170004)
- libjpegの脆弱性の更新プログラム(CVE-2013-6629)
- Win32kの脆弱性の更新プログラム(CVE-2017-0058, etc.)
- Windows Graphicsコンポーネントの脆弱性の更新プログラム(CVE-2017-0155, etc.)
- VBScriptエンジンの脆弱性の更新プログラム(CVE-2017-0158)
- Microsoft .NET Frameworkの脆弱性の更新プログラム(CVE-2017-0160)
- Windows Hyper-Vの脆弱性の更新プログラム(CVE-2017-0162, etc. )
- Microsoft Windowsの脆弱性の更新プログラム(CVE-2017-0165)
- LDAPの脆弱性の更新プログラム(CVE-2017-0166)
- Windows カーネルの脆弱性の更新プログラム(CVE-2017-0167)
- Microsoft Hyper-Vの脆弱性の更新プログラム(CVE-2017-0178, etc.)
- Windowsカーネルモードドライバの脆弱性の更新プログラム(CVE-2017-0189)
- Windowsの脆弱性の更新プログラム(CVE-2017-0191)
- Adobe Type Managerフォントドライバの脆弱性の更新プログラム(CVE-2017-0192)
- Microsoft Officeおよびワードパッドの脆弱性の更新プログラム(CVE-2017-0199)
- VBScriptおよびJScriptエンジンの脆弱性の更新プログラム(CVE-2017-0201)
- Internet Explorerの脆弱性の更新プログラム(CVE-2017-0202)
- Microsoft Edgeの脆弱性の更新プログラム(CVE-2017-0203)
- Chakraスクリプトエンジンの脆弱性の更新プログラム(CVE-2017-0208)
- Internet Explorerの脆弱性の更新プログラム(CVE-2017-0210)
- Microsoft Windows OLEの脆弱性の更新プログラム(CVE-2017-0211)
日立ディスクアレイシステムのSVPにおける、上記(1)〜(21)の脆弱性の影響は下記の通りです。
- 本件は、Adobe Flash Playerの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別に細工されたWeb サイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または、本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件は、libjpegの脆弱性により、情報漏えいが起こるというものです。SVPはサブシステム管理専用装置であり、libjpegがインストールされることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件は、Win32kの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 詳細：CVE-2017-0058, CVE-2017-0188
- 本件は、Windows Graphicsコンポーネントの脆弱性により、特権の昇格が起こるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 詳細：CVE-2017-0155, CVE-2017-0156
- 本件は、VBScriptエンジンの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別に細工されたWebサイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件は、Microsoft .NET Frameworkの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が悪意のあるアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件は、Windows Hyper-Vの脆弱性により、リモートでコードが実行されるというものです。SVPはサブシステム管理専用装置であり、Windows Hyper-Vがインストールされることはありません。このため、SVPでは本脆弱性の影響は受けません。または、本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 詳細：CVE-2017-0162, CVE-2017-0163, CVE-2017-0180, CVE-2017-0181
- 本件は、Microsoft Windowsの脆弱性により、特権の昇格が起こるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または、本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件は、LDAPの脆弱性により、特権の昇格が起こるというものです。SVPはサブシステム管理専用装置であり、LDAPがインストールされることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件は、Windowsカーネルの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または、本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件は、Microsoft Hyper-Vの脆弱性により、サービス拒否が起こるというものです。SVPはサブシステム管理専用装置であり、Microsoft Hyper-Vがインストールされることはありません。このため、SVPでは本脆弱性の影響は受けません。または、本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 詳細：CVE-2017-0178, CVE-2017-0179, CVE-2017-0182, CVE-2017-0183,CVE-2017-0184, CVE-2017-0185, CVE-2017-0186
- 本件は、Windowsカーネルモードドライバの脆弱性により、特権の昇格が起こるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または、本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件は、Windowsの脆弱性により、サービス拒否が起こるというものです。SVPでは、本件の対象となるOSを使用しており、本脆弱性の影響を受けます。
- 本件は、Adobe Type Managerフォントドライバの脆弱性により、情報漏えいが起こるというものです。SVPはサブシステム管理専用装置であり、Adobe Type Managerフォントドライバがインストールされることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件は、Microsoft Officeとワードパッドの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別に細工されたファイルをプレビューする必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または、本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件は、VBScriptおよびJScriptエンジンの脆弱性により、リモートでコードが実行されるというものです。SVPはサブシステム管理専用装置であり、本件の対象となるバージョンのInternet Explorerがインストールされることはありません。このため、SVPでは本脆弱性の影響は受けません。または、本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件は、Internet Explorerの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別に細工されたWebサイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または、本件の対象となるバージョンのInternet Explorerがインストールされることはありません。このため、SVPでは本脆弱性の影響は受けません。または、本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件は、Microsoft Edgeの脆弱性により、セキュリティ機能のバイパスが起こるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別に細工されたWeb サイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または、本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件は、Chakraスクリプトエンジンの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別に細工されたWeb サイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または、本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件は、Internet Explorerの脆弱性により、特権の昇格が起こるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が特別に細工されたWeb サイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または、本件の対象となるバージョンのInternet Explorerがインストールされることはありません。このため、SVPでは本脆弱性の影響は受けません。または、本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件は、Microsoft Windows OLEの脆弱性により、特権の昇格が起こるというものです。本脆弱性を攻撃者が悪用するためには、SVP使用者(保守員)が他の脆弱性を利用してリモートでコードを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または、本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
弊社ストレージ装置における、今回の脆弱性の影響を以下の表に示します。
キャプションを入れてください。
| ストレージ装置 |
影響する脆弱性 |
Hitachi Virtual Storage Platform G1000,G1500
Hitachi Virtual Storage Platform F1500
Hitachi Virtual Storage Platform VX7 |
CVE-2017-0191 |
| Hitachi Unified Storage VM (HUS VM) |
CVE-2017-0191 |
Hitachi Virtual Storage Platform
Hitachi Virtual Storage Platform VP9500 |
CVE-2017-0191 |
SVPは直接ストレージ機能には係わりませんので、万一攻撃者から攻撃された場合であってもストレージとしてのデータの内容およびRead/Write機能に支障はありません。また日立ディスクアレイシステムに蓄積されているデータを読み取られることもありません。
しかしながら万一SVPが攻撃された場合、装置の構成変更設定や保守作業に支障をきたす等の可能性があります。そのため今般、対象となる製品に対しまして、予防処置をさせていただきます。
