セキュリティホール memo - 2017.03

Last modified: Thu Jun 9 11:53:16 2022 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2017.03.31


2017.03.30

いろいろ (2017.03.30)
(various)

VMware ESXi, Workstation, Fusion

Symantec Web Gateway Management Console

phpMyAdmin

NTPd

アライドテレシス CentreCOM AR260S V2

追記

DoubleAgent: Taking Full Control Over Your Antivirus (2017.03.22)

 関連:

Chrome Stable Channel Update for Desktop
(Google, 2017.03.29)

 Chrome 57.0.2987.133 公開。5 件のセキュリティ欠陥を修正。

 Chrome OS も更新されてます: Stable Channel Updates for Chrome OS (Google, 2017.03.29)


2017.03.29

追記

iTunes for Windows / Mac 12.6 (2017.03.23)

 iTunes for Windows 12.6 については、SQLite / expat のセキュリティ更新の他にも複数のセキュリティ修正が含まれていたことが明らかになりました。

About the security content of iOS 10.3 (2017.03.28)

 kindle の不具合、アプリ側で対応されたようです。

Firefox 52.0 / ESR 45.8.0、Thunderbird 45.8.0 公開 (2017.03.08)

 Firefox 52.0.2 / ESR 52.0.2 出ました。セキュリティ修正は含まないようです。


2017.03.28

Symantec発行のSSL/TLS証明書、Google Chromeで段階的な期限短縮案
(Internet Watch, 2017.03.27)

 これの件。シマンテックが少なくとも 127 枚の不正な証明書を発行した、ことについては双方合意できているみたい。

2017.03.28 追記:

 関連:

2017.05.19 追記:

 泥沼化する“証明書抗争”の幕引きなるか、シマンテックがグーグルに逆提案 (日経 IT Pro, 2017.04.28)

2017.12.20 追記:

 関連:

About the security content of iOS 10.3
(Apple, 2017.03.27)

 iOS 10.3 出ました。84 件のセキュリティ欠陥が修正されています。

 iOS 10.3 にアップデートすると、ファイルシステムが HFS+ から Apple File System に変更されるとされています。予期しない不具合が発生する可能性がありますので、適用前にバックアップを実施してください。

2017.03.28 追記:

 不具合情報:

2017.03.29 追記:

 kindle の不具合、アプリ側で対応されたようです。


2017.03.27

追記

Apache Struts 2 の脆弱性 (S2-045) に関する注意喚起 (2017.03.09)

 被害事例: JINS

 住宅金融支援機構の続報:

2017 年 3 月のセキュリティ情報 (月例) – MS17-006 〜 MS17-023 (2017.03.15)

 Windows 10 バージョン1607 / Windows Server 2016 用の更新プログラム KB 4013429 に、Microsoft DTV-DVD Decoder ライブラリーを使用するプログラム (例: Windows DVD プレイヤー) が crash する不具合があったそうで。 KB 4015438 で修正されているそうです。

 あと、KB 4013073 (3 月の MS17-006 IE 11 累積的セキュリティ更新) を適用すると Dynamics CRM 2011 のフォームがうまく動かないのだそうで。 KB 4016446 で修正されています。


2017.03.24

追記

いろいろ (2017.03.22) Cisco IOS / IOS XE Cluster Management Protocol

 これ、Vault 7 ねただったのですね。


2017.03.23

追記

DoubleAgent: Taking Full Control Over Your Antivirus (2017.03.22)

 トレンドマイクロ:

iTunes for Windows / Mac 12.6
(Apple, 2017.03.22)

 iTunes for Windows / Mac 12.6 出ました。 iTunes で使用している SQLite / expat のセキュリティ更新が含まれます。 SQLite 3.15.2、expat 2.2.0 になりました。

2017.03.29 追記:

 iTunes for Windows 12.6 については、SQLite / expat のセキュリティ更新の他にも複数のセキュリティ修正が含まれていたことが明らかになりました。


2017.03.22

DoubleAgent: Taking Full Control Over Your Antivirus
(Cybellum, 2017.03.22)

 Windows Defender を除く、ほとんど全てのアンチウイルスソフトに欠陥。 コード挿入可能な欠陥が存在し、local user によって完全に制御を奪われる。 つまり、アンチウイルスソフトをウイルス化できる。 詳細: DoubleAgent: Zero-Day Code Injection and Persistence Technique (Cybellum, 2017.03.22)

 対抗するには、保護プロセス Protected Processes を使用するようコードを書き直すことが必要だという。これを実装しているのは、現時点では Windows Defender だけの模様。

 関連:

2017.03.23 追記:

 トレンドマイクロ:

2017.03.30 追記:

 関連:

いろいろ (2017.03.22)
(various)

PhishWall クライアント Internet Explorer版

Cisco IOS / IOS XE Cluster Management Protocol

  • Cisco IOS and IOS XE Software Cluster Management Protocol Remote Code Execution Vulnerability (Cisco, 2017.03.17)。IOS / IOS XE の Cluster Management Protocol に remote から無認証で任意のコードを実行可能な欠陥。

    An attacker could exploit this vulnerability by sending malformed CMP-specific Telnet options while establishing a Telnet session with an affected Cisco device configured to accept Telnet connections. An exploit could allow an attacker to execute arbitrary code and obtain full control of the device or cause a reload of the affected device.
2017.03.24 追記:

 これ、Vault 7 ねただったのですね。

Drupal


2017.03.21

追記

Apache Struts 2 の脆弱性 (S2-045) に関する注意喚起 (2017.03.09)

 JakartaStreamMultiPartRequest にも同様の欠陥が発見された S2-046。JakartaStreamMultiPartRequest を利用する回避方法は機能しない。 これについても Struts 2.3.32 / 2.5.10.1 で修正されている。

 また S2-046 では、回避策として Apache Struts 2 Secure Jakarta Multipart parser plugin / Secure Jakarta Stream Multipart parser plugin が紹介されている。

 Apache Struts 2 の脆弱性 (S2-045) に関する注意喚起 (JPCERT/CC) も改訂されている。

Firefox 52.0 / ESR 45.8.0、Thunderbird 45.8.0 公開 (2017.03.08)

 Firefox 52.0.1 / ESR 52.0.1 出ました。Pwn2Own で公開された欠陥が修正されています。iida さん情報ありがとうございます。


2017.03.17

追記

Apache Struts 2 の脆弱性 (S2-045) に関する注意喚起 (2017.03.09)


2017.03.16


2017.03.15

追記

Apache Struts 2 の脆弱性 (S2-045) に関する注意喚起 (2017.03.09)

 被害事例: GMOペイメントゲートウェイ

 被害事例: 日本郵便マイページサービス

2017 年 3 月のセキュリティ情報 (月例) – MS17-006 〜 MS17-023
(Microsoft, 2017.03.15)

 今月はちゃんと出ました。 Exchange Server 2013 / 2016 の修正 (MS17-015) や IIS の修正 (MS17-016)、 ADFS の修正 (MS17-019) も含まれています。 Hyper-V の修正 (MS17-008)、 ゲスト OS からホスト OS を攻撃できる欠陥あるなあ。

2017.03.27 追記:

 Windows 10 バージョン1607 / Windows Server 2016 用の更新プログラム KB 4013429 に、Microsoft DTV-DVD Decoder ライブラリーを使用するプログラム (例: Windows DVD プレイヤー) が crash する不具合があったそうで。 KB 4015438 で修正されているそうです。

 あと、KB 4013073 (3 月の MS17-006 IE 11 累積的セキュリティ更新) を適用すると Dynamics CRM 2011 のフォームがうまく動かないのだそうで。 KB 4016446 で修正されています。

2017.04.03 追記:

 関連:

APSB17-08 - Security update available for Adobe Shockwave Player
(Adobe, 2017.03.14)

 Shockwave Player 12.2.8.198 公開。権限上昇を招く 1 件のセキュリティ欠陥 CVE-2017-2983 を修正。

APSB17-07 - Security updates available for Adobe Flash Player
(Adobe, 2017.03.14)

 Flash Player 25.0.0.127 公開、Flash Player 24 系列は終了。 7 件のセキュリティ欠陥 CVE-2017-2997 CVE-2017-2998 CVE-2017-2999 CVE-2017-3000 CVE-2017-3001 CVE-2017-3002 CVE-2017-3003 を修正。0-day はないみたい。

 関連: Adobe、「Adobe Flash Player 25」を正式公開。7件の脆弱性を修正する月例更新 (窓の杜, 2017.03.15)


2017.03.10

Chrome Stable Channel Update for Desktop
(Google, 2017.03.09)

 Chrome 57.0.2987.98 公開。36 件のセキュリティ修正を含む。 iida さん情報ありがとうございます。

SYM17-002 - Security Advisories Relating to Symantec Products - Symantec Endpoint Protection Clients Local Elevation of Privilege, CSV Formula Injection
(Symantec, 2017.03.06)

 SEP 12.1.6 MP7 / SEP 14.0 MP1、セキュリティ更新ありだったのか。

CIA Vault 7 方面
(various, 2017.03.08)

 まとめておいた方がよさそうなので。

 震源地:

 IT ベンダー等からの情報:

 報道など:

2017.04.07 追記:

 関連:

2017.04.14 追記:

 関連:

2017.05.08 追記:

 関連:

2017.06.16 追記:

 WikiLeaks、Windows 用マルウェア AfterMidnight と Assassin の情報を公開。

 WikiLeaks、Windows 用マルウェア Athena の情報を公開。

 WikiLeaks、Windows 用マルウェア Pandemic の情報を公開。

 WikiLeaks、WiFi ルーターやアクセスポイントのファームウェアを書き換えて中間介入攻撃を実施する Cherry Blossom の情報を公開。

2017.08.01 追記:

 関連:


2017.03.09

Apache Struts 2 の脆弱性 (S2-045) に関する注意喚起
(JPCERT/CC, 2017.03.09)

 Apache Struts 2.3.5〜2.3.31 / 2.5〜2.5.10 に 0-day 欠陥。 標準で multipart/form-data 形式リクエストを処理する Jakarta Multipart parser に欠陥があり、remote から任意のコードを実行できる。 既に各所で攻撃が観測されている。iida さん情報ありがとうございます。

 Apache Struts 2.3.32 / 2.5.10.1 で修正されている。 また Jakarta Multipart parser ではないパーサを使用することで回避できる。 選択肢として挙げられているのは:

 関連:

2017.03.15 追記:

 被害事例: GMOペイメントゲートウェイ

 被害事例: 日本郵便マイページサービス

2017.03.17 追記:

 被害事例: 沖縄電力 停電情報公開サービス

 あとこれ:

2017.03.21 追記:

 JakartaStreamMultiPartRequest にも同様の欠陥が発見された S2-046。JakartaStreamMultiPartRequest を利用する回避方法は機能しない。 これについても Struts 2.3.32 / 2.5.10.1 で修正されている。

 また S2-046 では、回避策として Apache Struts 2 Secure Jakarta Multipart parser plugin / Secure Jakarta Stream Multipart parser plugin が紹介されている。

 Apache Struts 2 の脆弱性 (S2-045) に関する注意喚起 (JPCERT/CC) も改訂されている。

2017.03.27 追記:

 被害事例: JINS

 住宅金融支援機構の続報:

2017.04.14 追記:

 被害事例: 総務省 e-Stat「地図による小地域分析(jSTAT MAP)」

2017.04.21 追記:

 GMO ペイメントゲートウェイの件。

2017.05.10 追記:

 GMO ペイメントゲートウェイ方面。

 NICT 方面。

2017.06.16 追記:

 GMO ペイメントゲートウェイ方面。

 被害事例: 国土交通省 土地総合情報システム。


2017.03.08

linux kernelに特権昇格の脆弱性( CVE-2017-2636 )
(サイオス OSS, 2017.03.08)

 Linux カーネル 2.6.31 以降に欠陥。n_hdlc カーネルドライバ drivers/tty/n_hdlc.c (または drivers/char/n_hdlc.c) に欠陥があり、local user による権限上昇が可能。 syzkaller を使った fuzzing によって発見されたそうで。 CVE-2017-2636

 Linux カーネルに対しては 2017.02.28 付で修正されたそうで。 各ディストリからも対応パッケージが公開されている。

 面さん情報ありがとうございます。

追記

いろいろ (2017.01.07) SKYSEA Client View

Firefox 52.0 / ESR 45.8.0、Thunderbird 45.8.0 公開
(Mozilla, 2017.03.07)

 出ました。

 あわせて Thunderbird 45.8.0 も公開されました: リリースノートダウンロード

 関連: Firefoxは2017年も変則的なリリース間隔を採用 (Mozilla Flux, 2016.09.18)

2017.03.21 追記:

 Firefox 52.0.1 / ESR 52.0.1 出ました。Pwn2Own で公開された欠陥が修正されています。iida さん情報ありがとうございます。

2017.03.29 追記:

 Firefox 52.0.2 / ESR 52.0.2 出ました。セキュリティ修正は含まないようです。

2017.04.05 追記:

 Thunderbird 52.0 出ました。 リリースノートダウンロード


2017.03.07

WordPress 4.7.3 セキュリティ・メンテナンスリリース
(WordPress, 2017.03.07)

 WordPress 4.7.3 公開。6 件のセキュリティ欠陥を修正。


2017.03.06

そのファームウエア更新待った、ヤマハ製ルーターが起動しなくなる不具合
(日経 IT Pro, 2017.03.06)

 ヤマハ RTX1210 の一部 (製造番号 S4H071236〜S4H086240、梱包箱に「A4A2」と記載されているもの) において、ファームウエア更新作業を 5 回実施すると、起動しなくなる欠陥。しかしファームウエアそのものの欠陥ではない。

「RTX1210」のフラッシュROM上のファイルエントリー(メモリー上の各ファイルの記録位置情報)記載をしている特定エリアに、不正値が入っていた事が原因で、「RTX1210」のハードウェアおよびファームウェアに問題はありません。

 当該不整値を除去するツールが公開されているので、ファームウエア更新作業を行う前に適用すればよい。欠陥が発現している場合は引き取り修理となる。


2017.03.03


2017.03.02

Remote execution and privilege escalation vulnerabilities in ESET products for macOS fixed
(ESET, 2017.02.14)

 ESET の Mac 向けエンドポイント製品に欠陥。

に複数の欠陥があり、攻略 XML ファイルによって root 権限で任意のコードが実行される、などの状況が発生し得る。

で修正されている。

 ただし、キヤノン IT ソリューションズからは、このように案内されている。

 欠陥あり ESET Endpoint 製品はこちら:

 ESET NOD32アンチウイルス for Mac は非対象。欠陥が修正されたのは:

追記

linux kernelに特権昇格の脆弱性( CVE-2017-6074 ) (2017.02.24)

 CVE-2017-6074 - 脆弱性調査レポート (ソフトバンク・テクノロジー, 2017.03.01)


[セキュリティホール memo]
[私について]