セキュリティホール memo - 2016.11

Last modified: Tue Aug 22 14:29:53 2017 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2016.11.30


2016.11.29


2016.11.28


2016.11.25

追記

Androidスマホの中国製ファームウェアにバックドア、中国サーバーに情報を送信 (2016.11.17)


2016.11.24

追記

2016 年 11 月のセキュリティ情報 (月例) – MS16-129 〜 MS16-142 (2016.11.10)

 「MS16-137: Windows 認証方法用のセキュリティ更新プログラム」(2016 年 11 月 9 日) を適用すると一部シナリオを除き NTLM でのパスワード変更が再度可能となる (Ask the Network & AD Support Team, 2016.11.17)

MS16-137 では、当初 MS16-101 で実装された「パスワード変更時に Kerberos 認証から NTLM 認証にダウングレードしないようにする動作」が改められています。NTLM のフォールバックは MS16-101 で無効になりましたが、MS16-137 の更新プログラムで再び有効 (可能) になりました。(中略) これに伴い、MS16-101 で導入された NegoAllowNtlmPwdChangeFallback レジストリはもはや必要ありません。(中略) また、MS16-137 の適用後は、ADSI でパスワード変更した際に発生する例外の HRESULT が元に戻されております。(中略) MS16-137 は MS16-101 により生じた影響を可能な限り解消するための追加更新であるとお考えください。

いろいろ (2016.11.24)
(various)

Apache Tomcat

Libtiff

Wireshark

PHP


2016.11.23


2016.11.22

VU#633847 - NTP.org ntpd contains multiple denial of service vulnerabilities
(US-CERT, 2016.11.21)

 ntpd 4.2.8p9 が出たそうです。 November 2016 ntp-4.2.8p9 NTP Security Vulnerability Announcement (HIGH for Windows, MEDUIM otherwise) (ntp.org, 2016.11.21)


2016.11.21


2016.11.18

いろいろ (2016.11.18)
(various)

Foxit Reader / PhantomPDF

Drupal

Vulnerability Note VU#624539 - Ragentek Android OTA update mechanism vulnerable to MITM attack
(US-CERT, 2016.11.17)

 Ragentek 製の Android ファームウェアに欠陥。over-the-air (OTA) 更新における通信内容が暗号化されていない。これを悪用することで、remote から root 権限で任意のコードを実行できる。また、更新機構の存在を隠蔽するような細工が複数行われており、 rootkit と看倣せる。 CVE-2016-6564Androidスマホの中国製ファームウェアにバックドア、中国サーバーに情報を送信 とは全く別の話。

 対象機種で更新プログラムを用意しているのは、今のところ BLU だけのようだ。


2016.11.17

いろいろ (2016.11.17)
(various)

VMware vRealize Operations 6.x

LUKS (Linux Unified Key Setup-on-disk-format)

Androidスマホの中国製ファームウェアにバックドア、中国サーバーに情報を送信
(PC Watch, 2016.11.16)

 BLU Products の複数の Android スマートフォンに欠陥。ファームウェアに含まれる Shanghai ADUPS Technology 製の Firmware Over-The-Air (FOTA) アプリケーションに欠陥があり、SMS の本文などのさまざまな情報を無断で中国のサーバー送信していた。

 関連記事:

2016.11.25 追記:

 ZTEジャパン、国内販売製品はADUPS製ファームのバックドア問題に該当せず (PC Watch, 2016.11.22)

2017.08.22 追記:

 米Amazonが米BLU製格安スマホを販売停止、ユーザー情報を中国へ送信 (日経 IT Pro, 2017.08.02)

追記

2016 年 11 月のセキュリティ情報 (月例) – MS16-129 〜 MS16-142 (2016.11.10)

いろいろ (2016.09.02) 認証局 WoSign

 関連:


2016.11.16

Firefox 50.0 / ESR 45.5.0 公開
(Mozilla, 2016.11.15)

 出ました。

2016.12.01 追記:

 Firefox 50.0.2 / ESR 45.5.1、Thunderbird 45.5.1、Tor Browser 6.0.7 が公開されました。セキュリティ更新が含まれています。 iida さん情報ありがとうございます。

2016.12.19 追記:

 Firefox 50.1.0 / ESR 45.6.0、Android 版 Firefox 50.1.0 が公開されました。 複数のセキュリティ修正を含みます。iida さん情報ありがとうございます。


2016.11.15

いろいろ (2016.11.15)
(various)

VMware Workstation、Fusion

DERAEMON-CMS

追記

Wi-Fiストレージ「WFS-SR01」セキュリティの脆弱性につきまして (2016.11.02)


2016.11.14

Web サイト改ざんに関する注意喚起
(JPCERT/CC, 2016.11.14)

 index_old.php を設置した上で、top page に <script type="text/javascript" src="./index_old.php"></script> と埋め込むような改竄が流行っているみたい。

JVNTA#94087669 - 細工された PDF による情報詐取について
(JVN, 2016.11.14)

 PDF では FormCalc という言語を利用でき、これを使うと数々の悪事を実施できる模様。

FormCalc には、数値演算を行うための関数のほかに、URL 関数と呼ばれる関数群が用意されています。コンテンツの取得やポスト、アップロードを可能にする Get(), Post(), Put() と呼ばれる関数がこれに相当し、引数に指定された URL からコンテンツを取得したり、引数に渡したデータを指定した URL にポストしたりすることが可能です。つまり、PDF に埋め込まれたプログラムから、同一オリジン上のコンテンツをダウンロードしたり、異なるオリジンに対してポストしたりすることが可能です。

この動作は Adobe XFA の仕様です。攻撃者はこの仕様を悪用し、たとえば PDF - Mess with the web で述べられているような攻撃を行う可能性があります。 (中略) Adobe は、クロスオリジンに対する同様の脅威は脆弱性として修正しています (CVE-2014-8453) が、同一オリジンに対する動作は仕様であると判断しているため、ユーザやウェブアプリケーション側で対策する必要があります。

 仕様……。

 クライアント側で回避するには、Adobe PDF プラグインを無効にする (= 影響を受けるクライアントは Adobe PDF プラグインを有効にした IE / Firefox のみ)。 サーバー側で回避するには、「PDF コンテンツを別のサンドボックス・ドメイン上に格納する」。

 関連: PDF特殊機能(FormCalc編) (Hack Patch!, 2016.10.29)

1日4000万回というすさまじい勢いで「Spotify」がSSD・HDDに大量のデータ書き込みを繰り返して寿命を縮めていることが発覚
(gigazine, 2016.11.11)

 「数千人規模のユーザーに影響を与えているSpotifyソフトウェアのバグ」だそうです。発生条件がよくわかっていないようですが、当たりを引くとひどい目にあう模様。


2016.11.11

JVNTA#95530271 - Mirai 等のマルウェアで構築されたボットネットによる DDoS 攻撃の脅威
(JVN, 2016.11.04)

 とりあえず、まとめ置き場が欲しかったので今ごろ作成。

2016.12.02 追記:

 Mirai ボットネット、Eir D1000 ルーターを狙う。

OpenSSL Security Advisory [10 Nov 2016]
(OpenSSL, 2016.11.10)

 OpenSSL 1.1.0c 公開。3 件の欠陥を修正。

いろいろ (2016.11.11)
(various)

Linux 2.0〜

NVIDIA GPU Display Driver (Windows / Linux)、NVIDIA GeForce Experience (Windows)

Visual Studio Code

ネットワークカメラ「TS-WRLP」「TS-WRLA」情報漏えいの脆弱性について
(IO DATA, 2016.11.11)

 IO DATA の IoT ネットワークカメラ TS-WRLPTS-WRLA に欠陥。remote から認証情報などを取得できる。

 ファームウェアバージョン 1.01.02 (2016.09.08 公開) で修正されているというが、 ファームウェア 変更履歴にはそういう文言がない。

CG-WLBARGMH、CG-WLBARGNL クロスサイトスクリプティングの脆弱性について
(コレガ, 2016.11.11)

 コレガの WiFi ルーター CG-WLBARGMHCG-WLBARGNL に XSS 欠陥。

 サポート終了につき、修正版ファームウェアは提供されない。 欠陥のない製品に乗り換えるしかない。

CG-WLR300NXの複数の脆弱性について
(コレガ, 2016.11.11)

 コレガの WiFi ルーター CG-WLR300NX に 3 つの欠陥。

 ファームウェア Ver.1.30 で修正されている。


2016.11.10

Chrome Stable Channel Update for Desktop
(Google, 2016.11.09)

 Chrome 54.0.2840.99 for Windows、54.0.2840.98 for Mac 公開。Linux 版は明日登場予定。4 件のセキュリティ修正を含む。

2016.11.11 追記:

 54.0.2840.100 for Linux だそうです。

追記

Google、Windowsカーネルにおける未修正の脆弱性情報を公表 (2016.11.01)

2016 年 11 月のセキュリティ情報 (月例) – MS16-129 〜 MS16-142
(Microsoft, 2016.11.09)

 67 件 + Flash の修正。0-day は、 MS16-135 - 重要: Windows カーネルモード ドライバー用のセキュリティ更新プログラム (3199135)CVE-2016-7255 の他に、 MS16-132 - 緊急: Microsoft Graphics コンポーネント用のセキュリティ更新プログラム (3199120)CVE-2016-7256

2016.11.17 追記:

 山市良のうぃんどうず日記(78):Windows Updateが進まない/完了しない/失敗するという悪夢からの脱出――Windows 10/Windows Server 2016の場合 (@IT, 2016.11.15)

2016.11.24 追記:

 「MS16-137: Windows 認証方法用のセキュリティ更新プログラム」(2016 年 11 月 9 日) を適用すると一部シナリオを除き NTLM でのパスワード変更が再度可能となる (Ask the Network & AD Support Team, 2016.11.17)

MS16-137 では、当初 MS16-101 で実装された「パスワード変更時に Kerberos 認証から NTLM 認証にダウングレードしないようにする動作」が改められています。NTLM のフォールバックは MS16-101 で無効になりましたが、MS16-137 の更新プログラムで再び有効 (可能) になりました。(中略) これに伴い、MS16-101 で導入された NegoAllowNtlmPwdChangeFallback レジストリはもはや必要ありません。(中略) また、MS16-137 の適用後は、ADSI でパスワード変更した際に発生する例外の HRESULT が元に戻されております。(中略) MS16-137 は MS16-101 により生じた影響を可能な限り解消するための追加更新であるとお考えください。

APSB16-35 - Security update available for Adobe Connect
(Adobe, 2016.11.08)

 Adobe Connect for Windows 9.5.6 以前に XSS 欠陥 CVE-2016-7851、 9.5.7 で修正。

APSB16-37 - Security updates available for Adobe Flash Player
(Adobe, 2016.11.08)

 Flash Player 23.0.0.207 / 11.2.202.644 公開。9 件のセキュリティ欠陥 CVE-2016-7857 CVE-2016-7858 CVE-2016-7859 CVE-2016-7860 CVE-2016-7861 CVE-2016-7862 CVE-2016-7863 CVE-2016-7864 CVE-2016-7865 を修正。 0-day はないみたい。全て Zero Day Initiative 経由で通知されたもの。 (発見者のお名前が、……)


2016.11.09


2016.11.08

追記

Linux kernel の脆弱性 Dirty COW (CVE-2016-5195) (2016.10.25)

 Android Security Bulletin—November 2016 (Android, 2016.11.07)。2016 年 11 月の Android 定例アップデート情報。 CVE-2016-5195 は部分的セキュリティパッチレベル 2016-11-01 や完全セキュリティパッチレベル 2016-11-05 では対応されておらず、追加セキュリティパッチレベル 2016-11-06 での対応だそうです。

Supported Google devices will receive a single OTA update with the November 05, 2016 security patch level.

 Supported Google devices とは Nexus 5, Nexus 5X, Nexus 6, Nexus 6P, Nexus 7 (2013), Nexus 9, Android One, Nexus Player, Pixel C, Pixel, and Pixel XL だそうです。で、11 月の更新では CVE-2016-5195 には対応されないと。12 月の更新まで待つ必要があるようです。


2016.11.07

追記

Google、Windowsカーネルにおける未修正の脆弱性情報を公表 (2016.11.01)

 Our commitment to our customer’s security (Microsoft, 2016.11.01) の日本語版: お客様のセキュリティに対するマイクロソフトの約束 (日本のセキュリティチーム, 2016.11.04)


2016.11.04

いろいろ (2016.11.04)
(various)

Django

Memcached

cURL

Chrome Stable Channel Update for Desktop
(Google, 2016.11.01)

 Chrome 54.0.2840.87 for Windows / Mac、54.0.2840.90 for Linux 公開。 セキュリティ修正を含む。


2016.11.02

いろいろ (2016.11.02)
(various)

OpenSSH Memory exhaustion due to unregistered KEXINIT handler after receiving message (CVE-2016-8858)

Joomla!

Wi-Fiストレージ「WFS-SR01」セキュリティの脆弱性につきまして
(IO DATA, 2016.11.02)

 Wi-Fiストレージ「ポケドラ」WFS-SR01 に欠陥。ポケットルーター機能に欠陥があり、remote から任意のコマンドを実行できる。また挿入された SD カード等にアクセスできる。

 ポケットルーター機能を停止することで回避できる。修正版ファームウェアは現在開発中。関連:

2016.11.04 追記:

 関連:

2016.11.15 追記:

 修正ファーム出ました: Wi-Fiストレージ「WFS-SR01」セキュリティの脆弱性につきまして(2016/11/15 更新) (IO DATA, 2016.11.15)

追記

Google、Windowsカーネルにおける未修正の脆弱性情報を公表 (2016.11.01)

 Microsoft から告知出ました: Our commitment to our customer’s security (Microsoft, 2016.11.01)。

  • Windows 10 Anniversary Update (バージョン 1607) + Edge なら大丈夫だそうで。 つまり、IE 11 では駄目、バージョン 1607 より前でも駄目だと。 Windows 7 / 8.1 + EMET も駄目だと。

  • 更新プログラムが 2016.11.08 (US 時間) に公開される予定。

いろいろ (2016.09.02) 認証局 WoSign

緊急)BIND 9.xの脆弱性(DNSサービスの停止)について(CVE-2016-8864) - バージョンアップを強く推奨 -
(JPRS, 2016.11.02)

 BIND 9.x に欠陥。answer セクションに DNAME レコードが含まれるような再帰的応答の処理に失敗して異常終了する。CVE-2016-8864

 BIND 9.9.9-P4、9.10.4-P4、9.11.0-P1 で修正されている。ダウンロード

 関連:


2016.11.01

Google、Windowsカーネルにおける未修正の脆弱性情報を公表
(Internet Watch, 2016.11.01)

 Google は 2016.10.21 に Adobe と Microsoft にそれぞれ 0-day 欠陥について報告したのだが、Adobe が 2016.10.27 に APSB16-36 - Security updates available for Adobe Flash Player として修正したのに対し、Microsoft からは何の音沙汰もないので、公開しちゃいますねという話。

The Windows vulnerability is a local privilege escalation in the Windows kernel that can be used as a security sandbox escape. It can be triggered via the win32k.sys system call NtSetWindowLongPtr() for the index GWLP_ID on a window handle with GWL_STYLE set to WS_CHILD.

 Windows カーネルに欠陥があり、local user による権限上昇が可能なのだそうです。 Flash の欠陥と組み合わせると、remote から管理者権限を奪取できちゃうのかな。

Chrome's sandbox blocks win32k.sys system calls using the Win32k lockdown mitigation on Windows 10, which prevents exploitation of this sandbox escape vulnerability.

 Windows 10 上の Chrome では、この欠陥を突く攻撃は通用しないみたい。でも Windows 7 / 8.1 だと駄目なんだろうなあ。

2016.11.02 追記:

 Microsoft から告知出ました: Our commitment to our customer’s security (Microsoft, 2016.11.01)。

2016.11.07 追記:

 Our commitment to our customer’s security (Microsoft, 2016.11.01) の日本語版: お客様のセキュリティに対するマイクロソフトの約束 (日本のセキュリティチーム, 2016.11.04)

2016.11.10 追記:

 MS16-135 - 重要: Windows カーネルモード ドライバー用のセキュリティ更新プログラム (3199135) で修正されました。CVE-2016-7255


[セキュリティホール memo]
[私について]