セキュリティホール memo - 2016.10

Last modified: Thu Sep 28 12:43:28 2017 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2016.10.28

いろいろ (2016.10.28)
(various)

Apache Tomcat

国税庁 e-Tax ソフト

7-Zip for Windows

DDoS 関連方面

 元ねたは SSHowDowN: Exploitation of IoT devices for Launching Mass-Scale Attack Campaigns (Akamai) のようです。

追記

Linux kernel の脆弱性 Dirty COW (CVE-2016-5195) (2016.10.25)

 Dirty COW (CVE-2016-5195) のExploit PoCとSELinux (サイオステクノロジー, 2016.10.28) を追加。面さん情報ありがとうございます。

APSB16-36 - Security updates available for Adobe Flash Player (2016.10.27)

 MS16-128 - 緊急: Adobe Flash Player のセキュリティ更新プログラム (3201860)、 公開されました。Windows 8.1 / RT 8.1 / 10 をご利用の方、Windows Server 2012 / 2012 R2 で「デスクトップ エクスペリエンス」機能をインストールしている方はどうぞ。

Apple 方面 (Xcode, iCloud for Windows, iTunes for Windows)
(Apple, 2016.10.27)

 出ました。


2016.10.27

追記

Linux kernel の脆弱性 Dirty COW (CVE-2016-5195) (2016.10.25)

 RHEL 6 用のセキュリティ更新パッケージ RHSA-2016:2105-1 が公開されたので、記述を修正した。

 CVE-2016-5195 - 脆弱性調査レポート (ソフトバンク・テクノロジー, 2016.10.25) を追加。

APSB16-36 - Security updates available for Adobe Flash Player
(Adobe, 2016.10.26)

 Flash Player 23.0.0.185 以前に 0-day 欠陥、Windows 7 / 8.1 / 10 用の exploit が出回っている状況。CVE-2016-7855

 Flash Player 23.0.0.205 / 11.2.202.643 で修正されている。 Extended Support Release は終了したのでもう出ません。23.0.0.205 をインストールするか、アンインストールしてください。

プラットホーム バージョン Priority rating
Desktop Runtime (Windows, Mac) 23.0.0.205 1
Google Chrome 内蔵版 23.0.0.205 1
Windows Server 2012 の Internet Explorer 10 23.0.0.205 1
Windows 8.1 / Server 2012 R2 / RT 8.1 の Internet Explorer 11 23.0.0.205 1
Windows 10 の Internet Explorer 11 / Edge 23.0.0.205 1
Linux 11.2.202.643 3

 MS16-128 はまだないみたい。12:00 現在、WSUS にも流れてきてないっぽい。 とりあえず無効化した方がよさげ。

2016.10.28 追記:

 MS16-128 - 緊急: Adobe Flash Player のセキュリティ更新プログラム (3201860)、 公開されました。Windows 8.1 / RT 8.1 / 10 をご利用の方、Windows Server 2012 / 2012 R2 で「デスクトップ エクスペリエンス」機能をインストールしている方はどうぞ。

2016.11.14 追記:

 関連:


2016.10.26

Apple 方面 (iOS, macOS Sierra, Safari, tvOS, watchOS)
(Apple, 2016.10.24)

 いろいろ出ました。


2016.10.25

Linux kernel の脆弱性 Dirty COW (CVE-2016-5195)
(AGILE, 2016.10.21)

 Linux カーネル 2.6.22 以降に欠陥。Linux カーネルの memory サブシステムにおける Copy On Write (COW) 処理に競合状態が発生する欠陥があり、local user による権限上昇が可能。PoC 公開済。 CVE-2016-5195

 Linux カーネル 4.8.3、4.7.9、4.4.26 で修正されている。

 関連:

2016.10.27 追記:

 RHEL 6 用のセキュリティ更新パッケージ RHSA-2016:2105-1 が公開されたので、記述を修正した。

 CVE-2016-5195 - 脆弱性調査レポート (ソフトバンク・テクノロジー, 2016.10.25) を追加。

2016.10.28 追記:

 Dirty COW (CVE-2016-5195) のExploit PoCとSELinux (サイオステクノロジー, 2016.10.28) を追加。面さん情報ありがとうございます。

2016.11.08 追記:

 Android Security Bulletin—November 2016 (Android, 2016.11.07)。2016 年 11 月の Android 定例アップデート情報。 CVE-2016-5195 は部分的セキュリティパッチレベル 2016-11-01 や完全セキュリティパッチレベル 2016-11-05 では対応されておらず、追加セキュリティパッチレベル 2016-11-06 での対応だそうです。

Supported Google devices will receive a single OTA update with the November 05, 2016 security patch level.

 Supported Google devices とは Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player, Pixel C, Pixel, and Pixel XL だそうです。で、11 月の更新では CVE-2016-5195 には対応されないと。12 月の更新まで待つ必要があるようです。

2016.12.15 追記:

 Android 2016 年 12 月の更新で直りました。

2017.09.28 追記:

 Android 用マルウェア ZNIU が Dirty COW を利用しているそうです。


2016.10.21

(緊急)BIND 9.xの脆弱性(DNSサービスの停止)について(CVE-2016-2848) - フルリゾルバー(キャッシュDNSサーバー)/権威DNSサーバーの双方が対象、 対象となるディストリビューション・バージョンに要注意 -
(JPRS, 2016.10.21)

 BIND 9.1.0〜9.8.5rc1、9.9.0〜9.9.3rc1 にセキュリティ欠陥。 攻略クエリにを処理すると named が異常終了する。 CVE-2016-2848

 最新の BIND 9.11.0、9.10.4-P3、9.9.9-P3 にはこの欠陥はない。 CVE-2016-2848 は非セキュリティな問題 fix #3548 として修正済だったが、今回新たに、セキュリティ問題だということが判明し、改めて告知された。 古い BIND に対して独自に patch をあてて運用している Linux ディストリビューションなどで問題となる。


2016.10.20


2016.10.19

VeraCrypt version 1.19
(GitHub, 2016.10.17)

 VeraCrypt 1.19 公開。 Open Source Technology Improvement Fund からの出資で行われた、 VeraCrypt 1.18 に対する Quarkslab のセキュリティ監査 (完全版報告書) を受け、 複数のセキュリティ欠陥を修正。VeraCrypt 1.18 で追加された GOST 28147-89 暗号化アルゴリズムは削除、圧縮ライブラリは XUnzip から libzip に移行。

 ただし、直ってないところもあるそうで。

Vulnerabilities leading to incompatibility with TrueCrypt, as the ones related to cryptographic mechanisms, have not been fixed. The most notable ones are:

Oracle Critical Patch Update Advisory - October 2016
(Oracle, 2016.10.18)

 Oracle 四半期定例アップデート出ました。Java SE は 8u111 / 8u112 になってます。


2016.10.18

GMO グローバルサインの OCSP レスポンダがやらかした件 (10/13)
(various)

 このあたりの件:

 GMO グローバルサインからインシデントレポート出てます。

 関連:


2016.10.14

いろいろ (2016.10.14)
(various)

Drupal

FFmpeg

Apache Tomcat (Red Hat, Debian)

2016 年 10 月のセキュリティ情報 (月例) – MS16-118 〜 MS16-127
(Microsoft, 2016.10.12)

 Microsoft 2016.10 定例更新。

 関連:

Chrome Stable Channel Update for Desktop
(Google, 2016.10.12)

 Chrome 54.0.2840.59 が stable に。21 件のセキュリティ修正を含む。 iida さん情報ありがとうございます。

APSB16-32 - Security updates available for Adobe Flash Player
(Adobe, 2016.10.11)

 Flash Player 23.0.0.185 公開。12 件のセキュリティ欠陥を修正。 0-day は無いようです。CVE-2016-4273 CVE-2016-4286 CVE-2016-6981 CVE-2016-6982 CVE-2016-6983 CVE-2016-6984 CVE-2016-6985 CVE-2016-6986 CVE-2016-6987 CVE-2016-6989 CVE-2016-6990 CVE-2016-6992

プラットホーム バージョン Priority rating
Desktop Runtime (Windows, Mac) 23.0.0.185 1
Extended Support Release (Windows, Mac) 18.0.0.382 1
Google Chrome 23.0.0.185 1
Windows Server 2012 の Internet Explorer 10 23.0.0.185 1
Windows 8.1 / Server 2012 R2 / RT 8.1 の Internet Explorer 11 23.0.0.185 1
Windows 10 の Internet Explorer 11 / Edge 23.0.0.185 1
Linux 11.2.202.637 3

 Flash Player 18 系列の更新は今回で終了です。Flash Player 23 系列に移行するか、アンインストールしてください。

APSB16-34 - Security update available for the Creative Cloud Desktop Application
(Adobe, 2016.10.11)

 Windows 版の Creative Cloud デスクトップアプリに欠陥。 「This update resolves an unquoted search path vulnerability」 とあるので、予期しない場所にあるアプリが起動されてしまったりするのだろう。 CVE-2016-6935。 Priority rating: 3

 Creative Cloud 3.8.0.310 で修正されている。

APSB16-33 - Security Updates Available for Adobe Acrobat and Reader
(Adobe, 2016.10.11)

 Adobe Acrobat / Reader に 71 件の欠陥。 0-day は無いようです。CVE-2016-1089 CVE-2016-1091 CVE-2016-6939 CVE-2016-6940 CVE-2016-6941 CVE-2016-6942 CVE-2016-6943 CVE-2016-6944 CVE-2016-6945 CVE-2016-6946 CVE-2016-6947 CVE-2016-6948 CVE-2016-6949 CVE-2016-6950 CVE-2016-6951 CVE-2016-6952 CVE-2016-6953 CVE-2016-6954 CVE-2016-6955 CVE-2016-6956 CVE-2016-6957 CVE-2016-6958 CVE-2016-6959 CVE-2016-6960 CVE-2016-6961 CVE-2016-6962 CVE-2016-6963 CVE-2016-6964 CVE-2016-6965 CVE-2016-6966 CVE-2016-6967 CVE-2016-6968 CVE-2016-6969 CVE-2016-6970 CVE-2016-6971 CVE-2016-6972 CVE-2016-6973 CVE-2016-6974 CVE-2016-6975 CVE-2016-6976 CVE-2016-6977 CVE-2016-6978 CVE-2016-6979 CVE-2016-6988 CVE-2016-6993 CVE-2016-6994 CVE-2016-6995 CVE-2016-6996 CVE-2016-6997 CVE-2016-6998 CVE-2016-6999 CVE-2016-7000 CVE-2016-7001 CVE-2016-7002 CVE-2016-7003 CVE-2016-7004 CVE-2016-7005 CVE-2016-7006 CVE-2016-7007 CVE-2016-7008 CVE-2016-7009 CVE-2016-7010 CVE-2016-7011 CVE-2016-7012 CVE-2016-7013 CVE-2016-7014 CVE-2016-7015 CVE-2016-7016 CVE-2016-7017 CVE-2016-7018 CVE-2016-7019

名称 トラック バージョン Priority rating
Acrobat DC / Acrobat Reader DC Continuous 15.020.20039 2
Classic 15.006.30243 2
Acrobat XI / Adobe Reader XI Desktop 11.0.18 2

2016.10.13


2016.10.12


2016.10.10


2016.10.07


2016.10.06


2016.10.05

 本日、龍谷大学は「台風第18号の影響により」「2講時以降の授業は全学終日休講」となっております。

追記

緊急)BIND 9.xの脆弱性(DNSサービスの停止)について(CVE-2016-2776) - フルリゾルバー(キャッシュDNSサーバー)/権威DNSサーバーの双方が対象、 バージョンアップを強く推奨 - (2016.09.28)

 CVE-2016-2776 の exploit が公開され、広汎な攻撃が行われている模様です。

 また BIND 9.11.0 が公開されました。CVE-2016-2776 の修正も含まれています。


2016.10.04


2016.10.03

追記

2016 年 6 月のセキュリティ情報 (月例) – MS16-063, MS16-068 〜 MS16-082 (2016.06.15)

 上記で引用した、Active Directoryの管理者の方へ、6 月の更新 MS16-072 (KB3159398) は要注意 (山市良のえぬなんとかわーるど, 2016.06.17) の内容、2016.06.17 には訂正されていました。山内さん情報頂いていたのに対応できてなくてすいません。 訂正部分含めて引用し直しました。

 関連:


[セキュリティホール memo]
[私について]