セキュリティホール memo

Last modified: Fri Jun 2 12:34:47 2023 +0900 (JST)
短縮 URL: http://goo.gl/pwSG QR コード: http://goo.gl/pwSG.qr


 Security Watch さんが店じまいされてしまったので、 個人で追いかけてみるテストです。 備忘録として書いておくつもりなので、 Security Watch さんのような詳細なものではありません。 基本的なターゲットは UNIX、Windows、Mac OS (priority 順) とします。 また、このページの内容はどのページにも増して無保証であることを宣言しておきます。全ての情報が集まっているわけもありません。

 ここに載せる情報については、可能な限り 1 次情報源へのリンクを作成しておきます。 各自で 1 次情報源の内容を確認してください。 このページの内容をくれぐれも鵜飲みにしないように。 間違いを発見された方、記載されていない情報をご存知の方、ぜひおしえてください。よろしくお願いいたします。

 このページの情報を利用される前に、注意書きをお読みください。


 [ 定番情報源 ]  過去の記事: 2023 | 2022 | 2021 | 2020 | 2019 | 2018 | 2017 | 2016 | 2015 | 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998


[SCAN Security Wire NP Prize 2001]

「Scan Security Wire」 主催の SCAN Security Wire NP Prize 2001 を受賞しました。

 

「ネットランナー」の ベスト・オブ・常習者サイト 2003 で金賞を、ベスト・オブ・常習者サイト 2004 で銀賞を受賞しました。


復刊リクエスト受付中:

ジェイムズ.F.ダニガン「 新・戦争のテクノロジー」(現在58票)
中山信弘「ソフトウェアの法的保護」 (現在112票) (オンデマンド購入可)
陸井三郎訳・編「ベトナム帰還兵の証言」 (現在109票)
林克明「カフカスの小さな国 チェチェン独立運動始末」 (現在175票)
田中徳祐「我ら降伏せず−サイパン玉砕戦の狂気と真実」 (復刊決定)

RSS に対応してみました。 小ネタは含まれていません。「政治ねたウゼェ」という人は RSS ベースで読むと幸せになれるでしょう (ウザくない人は こっちの RSS がよいかもしれません)。 RSS 1.0 ですので、あくまで RDF Site Summary です。 現在は Really Simple Syndication には対応していません。
今すぐ Really Simple Syndication がほしい人は、のいんさんによる Web サイトの RSS を勝手に出力するプロジェクト ……のものがうまくいっていないようなので、 セキュmemoのRSS生成 をご利用ください。Tamo さん情報ありがとうございます。

実用 SSH 第2版: セキュアシェル徹底活用ガイド

2023.06.02


2023.06.01


2023.05.31

追記

2023 年 5 月のセキュリティ更新プログラム (月例) (2023.05.11)

 CVE-2023-24932 対応やってみたレポート。

OpenSSL Security Advisory [30th May 2023]
(OpenSSL, 2023.05.30)

 OpenSSL 3.0.9 / 3.1.1 / 1.1.1u 公開。プレミアサポートから 1.0.2zh も入手可能。 修正されたセキュリティ欠陥:

いろいろ (2023.05.31)
(various)

Linux Kernel (IPv6 RPL プロトコルの処理)

Wireshark

ABUS Security Camera

Chrome Stable Channel Update for Desktop
(Google, 2023.05.30)

 Chrome 114.0.5735.90 (Linux / Mac) および 114.0.5735.90/91 (Windows) 公開。 16 件のセキュリティ修正を含む。

 Extended Stable チャネルも 114.0.5735.90 (Mac) および 114.0.5735.91 (Windows) に更新だそうです。


2023.05.30


2023.05.29


2023.05.26

追記

Firefox 113.0 / ESR 102.11.0、Thunderbird 102.11.0 公開 (2023.05.11)

 Thunderbird 102.11.1 出ました。セキュリティ修正はありません。


2023.05.25

iTunes for Windows 12.12.9 のセキュリティコンテンツについて
(Apple, 2023.05.23)

 iTunes for Windows 12.12.9 公開。権限上昇を許すセキュリティ欠陥 2 件を修正。


2023.05.24

追記

JVNVU#91253151 Apache TomcatのApache Commons FileUploadにおけるサービス運用妨害(DoS)の脆弱性 (2023.02.22)

Apache Tomcat 10.1.5 / 9.0.71 / 8.5.85 における CVE-2023-24998 の修正が不完全であり、特定の条件においてひきつづき DoS 攻撃が可能だったそうで。 CVE-2023-28709。 iida さん情報ありがとうございます。

Apache Tomcat 11.0.0-M5 / 10.1.8 / 9.0.74 / 8.5.88 で修正されている。

関連: Apache Tomcatの脆弱性(Moderate: CVE-2023-28709) (SIOS SECURITY BLOG, 2023.05.23)

Firefox 113.0 / ESR 102.11.0、Thunderbird 102.11.0 公開 (2023.05.11)

 Firefox 113.0.1 (2023.05.12)、113.0.2 (2023.05.23) が出てました。 セキュリティ修正はありません。


2023.05.23

いろいろ (2023.05.23)
(various)

KeePass 2.x


2023.05.22

いろいろ (2023.05.22)
(various)

Qrio Lock (Q-SL2)

Brother iPrint&Scan

WordPress


2023.05.19

Apple 方面 0-day 対応 (iOS / iPadOS, tvOS, watchOS, macOS, Safari)
(Apple, 2023.05.18)

 0-day は WebKit の欠陥 3 件 CVE-2023-32409 CVE-2023-28204 CVE-2023-32373

iOS / iPadOS

tvOS

watchOS

macOS

Safari


2023.05.18

いろいろ (2023.05.18)
(various)

curl

WordPress

Trend Micro Apex Central、Apex One、Apex One SaaS

Chrome Stable Channel Update for Desktop
(Google, 2023.05.16)

 Chrome 113.0.5672.126 (Mac / Linux) および Chrome 113.0.5672.126/.127 (Windows) 公開。 12 件のセキュリティ修正を含む。

2023.05.23 追記:

 「Microsoft Edge 113」にもセキュリティ更新 ~深刻度「Critical」の脆弱性を修正  バージョンがv113.0.1774.50になっているか確認を (窓の杜, 2023.05.19)


2023.05.17


2023.05.16

いろいろ (2023.05.16)
(various)

Trend Micro Mobile Security

Intel CPU

サイボウズ Garoon

PostgreSQL


2023.05.15


2023.05.12

いろいろ (2023.05.12)
(various)

Adobe Substance 3D Painter

Intel 製品 BIOS 等


2023.05.11

Firefox 113.0 / ESR 102.11.0、Thunderbird 102.11.0 公開
(Mozilla, 2023.05.09)

 出てました。

2023.05.24 追記:

 Firefox 113.0.1 (2023.05.12)、113.0.2 (2023.05.23) が出てました。 セキュリティ修正はありません。

2023.05.26 追記:

 Thunderbird 102.11.1 出ました。セキュリティ修正はありません。

2023 年 5 月のセキュリティ更新プログラム (月例)
(Microsoft, 2023.05.09)

 昨日出た奴です。 「最大深刻度: 緊急」 な奴は太字にしてみました。

 Sysinternals は sysmon ですね。

 0-day は 3 件。上の 2 つは攻略済。

 Secure Boot の件 CVE-2023-24932 は、patch を適用しただけでは修正されないので注意。 現時点では追加の設定が必要。

 Teams JavaScript クライアント ライブラリ (TeamsJS) を使用している場合は、手動でアップグレードする必要がある。

今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2023-24881 Microsoft Teams の情報漏えいの脆弱性は、脆弱性からシステムを保護するために、Teams のバージョンアップに加え、追加の手順を実行する必要があります。詳細については、CVE-2023-24881 をご参照ください。

 CVE-2023-24881 を見ると、こう書かれている。

  1. 使用している Teams.js のバージョンを次のようにアップグレードします。
    • v2.x を使用している場合は 2.10.1 にアップグレードします。
    • v1.x を使用している場合は 1.13.1 にアップグレードします。まだ Teams.js v1.x を使用している場合は、v2.x (2.10.1) へのアップグレードを検討することをお勧めします。
  2. 自分で制御できないドメインの参照を validDomains プロパティまたは app.initialize() の validMessageOrigins パラメーターに含めないでください。サブドメインにはワイルドカード (*) を使用しないでください。たとえば、*.sharepoint.com や *.onmicrosoft.com への参照を含めないでください。
  3. お使いのサービスがプライベート クラウドやソブリン クラウドに存在する場合は、上記の手順が適用されていることを確認してください。

 不具合情報

 関連:

2023.05.31 追記:

 CVE-2023-24932 対応やってみたレポート。

いろいろ (2023.05.11)
(various)

Apple AirPods / Beats


2023.05.10

カメラ付き顔認識体表温度計を中古で買ったら中に全員の顔写真以下略って全部言っちゃった!
(honeylab's blog, 2023.05.05)

 東亜産業の非接触型検知器 サーモマネージャー TOA-R-001 (スタンドアロン製品) の中古品を購入し、バラして調査してみたところ、 web サーバーが立ち上がっており、簡単にログインでき、 顔写真や体温の情報が大量に残っていたよ、という話。 藤井さん情報ありがとうございます。

で、マニュアルあった

https://toamit.jp/wp/wp-content/uploads/2020/08/thermomanager_manual.pdf

搭載OS LINUXとは書いてあるけど、画像や体温を保存していること、消去方法などは全く書かれてないな。さっすが!!!!

 上記マニュアルは TOA-TMN-1000 用なのだけど、

なので TOA-R-001 ≒ TOA-TMN-1000 と見てよさそう。

 東亜産業の非接触型検知器にはサーモマネージャー EX というのもあって、こちらはネットワーク接続機能の存在が明記されていて、「検知者 50,000 人分のデータ保存可能」を謳っていたりする。 しかしサーモマネージャー の方には、そんな記述は一切ないんだよね。 でもデータは残っているし取り出せると。


2023.05.09

Chrome Stable Channel Update for Desktop
(Google, 2023.05.02)

 Chrome 113.0.5672.63/.64 (Windows) および 113.0.5672.63 (Linux / Mac) が来てたんですね。セキュリティ修正は 15 件。

 そのあとで 113.0.5672.92/.93 (Windows) および 113.0.5672.92 (Mac / Linux) が 2023.05.08 に公開。こちらはセキュリティ修正なし。


2023.05.08


2023.05.02

いろいろ (2023.05.02)
(various)

Android

VMware Workstation Pro / Player、Fusion

AppleがiPhoneやMac向けに素早くセキュリティアップデートを展開する「緊急セキュリティ対応」をWWDC22での発表以来初めてリリース
(gigazine, 2023.05.02)

 WWDC22 で発表された Rapid Security Response (RSR) が、正式版としては本日はじめて配布されたのだそうで。 iOS / iPadOS 16.4.1 (a) および macOS 13.3.1 (a)。 修正内容の詳細は未公開。


2023.05.01

追記

Firefox 112.0 / ESR 102.10.0、Thunderbird 102.10.0 公開 (2023.04.14)

 Thunderbird 102.10.1 および Firefox 112.0.2 公開。セキュリティ修正は含みません。


過去の記事: 2023 | 2022 | 2021 | 2020 | 2019 | 2018 | 2017 | 2016 | 2015 | 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998


[セキュリティホール memo]
[私について]