セキュリティホール memo - 2016.03

Last modified: Mon Mar 30 12:18:31 2016 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2016.03.31


2016.03.29

追記

APSB16-08 - Security updates available for Adobe Flash Player (2016.03.11)

 2016.03.23 付で 21.0.0.197 が出てました。セキュリティ修正はありません。

 Windows 8.1 / 10 内蔵版だけ 21.0.0.182 のままです。


2016.03.28

Stable Channel Update
(Google, 2016.03.24)

 Chrome 49.0.2623 公開。5 件のセキュリティ修正を含む。


2016.03.25

追記

Apple 方面いろいろ (2016.03.23)


2016.03.24

Oracle Security Alert for CVE-2016-0636
(Oracle, 2016.03.23)

 Java SE 7 / 8 に欠陥。デスクトップ上の Web ブラウザで Java が動作する場合に、攻略 Web サイトにアクセスすると、任意のコードが実行される。 CVE-2016-0636

 Java SE 8 Update 77 で修正されている。

 関連:


2016.03.23

追記

Qualys Security Advisory - Roaming through the OpenSSH client: CVE-2016-0777 and CVE-2016-0778 (2016.01.15)

 About the security content of OS X El Capitan v10.11.4 and Security Update 2016-002 (Apple, 2016.03.21)。OS X もようやく対応。

Apple 方面いろいろ
(Apple, 2016.03.21)

 いろいろ出ました。

 関連:

2016.03.25 追記:

 関連:


2016.03.22

追記

Firefox 45.0 / ESR 38.7.0 公開 (2016.03.09)

 Firefox 45.0.1 / ESR 38.7.1 公開。セキュリティ修正は無いようです。


2016.03.21


2016.03.17

OpenSSH Security Advisory: x11fwd.adv
(OpenSSH, 2016.03.09)

 OpenSSH 7.2p1 以前で X11Forwarding を有効にした場合に欠陥、認証済みユーザーが xauth コマンドを挿入できる。問題となるのはこの場合:

xauth(1) is run under the user's privilege, so this vulnerability offers no additional access to unrestricted accounts, but could circumvent key or account restrictions such as sshd_config ForceCommand, authorized_keys command="..." or restricted shells.

 sshd_config の ForceCommand や authorized_keys の command="..."、 あるいは制限つきシェルを利用するなどして、実行コマンドを制限している場合に、その制限を突破する方法として、この欠陥を利用できる。

 OpenSSH 7.2p2 で修正されている。回避方法としては、


2016.03.16

追記

Firefox 45.0 / ESR 38.7.0 公開 (2016.03.09)

 Thunderbird 38.7.0 が公開されました。

Apple Software Update 2.2 のセキュリティコンテンツについて
(Apple, 2016.03.10)

 Apple Software Update にセキュリティ欠陥。 アップデートウインドウの内容が https ではなく http で取得されることがあった。 バージョン 2.2 で修正。 CVE-2016-1731


2016.03.11

APSB16-08 - Security updates available for Adobe Flash Player
(Adobe, 2016.03.10)

 Flash Player, AIR 更新出ました。23 件のセキュリティ欠陥を修正。 CVE-2016-0960 CVE-2016-0961 CVE-2016-0962 CVE-2016-0963 CVE-2016-0986 CVE-2016-0987 CVE-2016-0988 CVE-2016-0989 CVE-2016-0990 CVE-2016-0991 CVE-2016-0992 CVE-2016-0993 CVE-2016-0994 CVE-2016-0995 CVE-2016-0996 CVE-2016-0997 CVE-2016-0998 CVE-2016-0999 CVE-2016-1000 CVE-2016-1001 CVE-2016-1002 CVE-2016-1005 CVE-2016-1010

 CVE-2016-1010 は 0-day 欠陥。謝辞の項を見ると「Kaspersky Lab の Anton Ivanov 氏(CVE-2016-1010)」となっており、Kaspersky から通報された模様。

 Priority rating:

プラットホーム Priority rating
Linux 版 Flash Player 3
AIR 3
1

 更新版が公開されている。Flash Player / AIR の最新はバージョン 21 系列になった。

プラットホーム バージョン
Desktop Runtime (Windows, Mac) 21.0.0.182
Extended Support Release (Windows, Mac) 18.0.0.333
Google Chrome 21.0.0.182
Windows Server 2012 の Internet Explorer 10 21.0.0.182
Windows 8.1 / Server 2012 R2 / RT 8.1 の Internet Explorer 11 21.0.0.182
Windows 10 の Internet Explorer 11 / Edge 21.0.0.182
Linux 11.2.202.577
AIR Desktop Runtime 21.0.0.176
AIR SDK 21.0.0.176
AIR SDK & Compiler 21.0.0.176
AIR for Android 21.0.0.176

 関連:

2016.03.29 追記:

 2016.03.23 付で 21.0.0.197 が出てました。セキュリティ修正はありません。

 Windows 8.1 / 10 内蔵版だけ 21.0.0.182 のままです。


2016.03.10

BIND 9.x に DoS 攻撃を受ける欠陥 3 件、BIND 9.9.8-P4 / 9.10.3-P4 で修正
(JPRS, 2016.03.10)

 BIND 9.x で 2 件、BIND 9.10.x 限定で 1 件。 BIND 9.9.8-P4、9.10.3-P4 で修正されている。

(緊急)BIND 9.xの脆弱性(DNSサービスの停止)について(CVE-2016-1285) - フルリゾルバー(キャッシュDNSサーバー)/権威DNSサーバーの双方が対象、 バージョンアップを強く推奨 - (JPRS, 2016.03.10)

 BIND 9.2.0〜9.10.x における制御チャンネル (rndc が使うアレ) の入力処理に欠陥があり、攻略パケットを制御チャンネルに送ると named が異常終了する。CVE-2016-1285

 制御チャンネルへのアクセスを制限することによって影響を緩和できる。 またデフォルトでは、制御チャンネルのアドレスは 127.0.0.1 および ::1 であり、この場合、リモートからの攻撃はできない。

(緊急)BIND 9.xの脆弱性(DNSサービスの停止)について(CVE-2016-1286) - DNSSEC検証を実施していない場合も対象、バージョンアップを強く推奨 - (JPRS, 2016.03.10)

 BIND 9.0.0〜9.10.x における、DNAME リソースレコードに対する署名レコードの処理に欠陥があり、named が異常終了する。DNSSEC 検証の実施有無にかかわらず影響を受けるという。 CVE-2016-1286

本脆弱性は、DNSSEC検証に利用される署名レコードの処理の脆弱性です。しかし、ISCではサーバー側でDNSSEC検証を実施していない場合にも本脆弱性の対象となり、かつサーバー側でDNSSEC検証を無効にすることは本脆弱性の回避手段とはならないと発表しています。

BIND 9.10.xの脆弱性(DNSサービスの停止)について(CVE-2016-2088) - DNS cookie機能を有効にしている場合のみ対象、バージョンアップを強く推奨 - (JPRS, 2016.03.10)

 BIND 9.10.x に欠陥。DNS cookie (デフォルト: 無効) の処理に欠陥があり、攻略パケットによって named が異常終了する。 CVE-2016-2088

 関連:


2016.03.09

Firefox 45.0 / ESR 38.7.0 公開
(Mozilla, 2016.03.08)

 Firefox 45.0 / ESR 38.7.0 公開。

 関連:

2016.03.16 追記:

 Thunderbird 38.7.0 が公開されました。

2016.03.22 追記:

 Firefox 45.0.1 / ESR 38.7.1 公開。セキュリティ修正は無いようです。

APSB16-09 - Security Updates Available for Adobe Acrobat and Reader
(Adobe, 2016.03.08)

 Acrobat Reader / Acrobat 更新出ました。任意のコードの実行を招く 3 件のセキュリティ欠陥 CVE-2016-1007 CVE-2016-1008 CVE-2016-1009 を修正。

 以下が最新:

名称 トラック バージョン
Acrobat DC / Acrobat Reader DC Continuous 15.010.20060
Classic 15.006.30121
Acrobat XI / Adobe Reader XI Desktop 11.0.15

 Priority Rating はいずれも 2。

2016 年 3 月のマイクロソフト セキュリティ情報の概要
(Microsoft, 2016.03.09)

 出ました (あとで書く)。

 関連:


2016.03.08


2016.03.07

韓国製SaAT Netizenの3年前からある脆弱性、導入済み全ユーザにもサイバーテロ可能な事が判明
(黒翼猫のコンピュータ日記 2nd Edition, 2016.03.03)

 SaAT Netizen に欠陥。インストール時やアップデート時のダウンロードファイルの検証方法に欠陥があり、DNS 詐称等を行える攻撃者が、任意のファイルを管理者権限で実行できる。 関連:

Chrome Stable Channel Update
(Google, 2016.03.02)

 Chrome 49.0.2623.75 公開。26 件のセキュリティ修正が含まれる。


2016.03.04


2016.03.03


2016.03.02


2016.03.01


[セキュリティホール memo]
[私について]