セキュリティホール memo - 2017.05

Last modified: Mon Oct 30 16:13:28 2017 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2017.05.31

Google Playにクリック詐欺マルウェア、数千万人が感染の可能性も
(ITmedia, 2017.05.31)

 広く利用されている複数の Android アプリにマルウェアが含まれていた話。 現在は削除済。

マルウェアの作者はGoogle Playのセキュリティ機能「Bouncer」をかわす目的で、まず一見無害なアプリを作成してGoogle Playで配信。ユーザーがこれをダウンロードすると、密かに制御用サーバとの通信が確立されて不正なコードを受け取り、広告をクリックさせる仕組みだった。マルウェアの作者はこの手口で多額の報酬を不正に受け取っていた可能性があるとCheck Pointは推測している。

 元ねた: The Judy Malware: Possibly the largest malware campaign found on Google Play (Check Point, 2017.05.25)

いろいろ (2017.05.31)
(various)

FreeRADIUS

 やまださん情報ありがとうございます。

Microsoft Malware Protection Engine


2017.05.30

Windows 7/8.1をWebページから停止させることも可能なNTFSのバグ
(スラド, 2017.05.28)

 NTFS のマスターファイルテーブル \$mft に対して、たとえば dir c:\$mft\ のように「ディレクトリ名として指定してアクセス」すると、 徐々に OS の挙動がおかしくなり、プログラムを起動できなくなったり、青画面になったりする模様。少なくとも Windows 7 / 8.1 で確認されているという。

このようなパスをWebページで「img」タグに指定すると、リモートからシステムをクラッシュできるとのことで、Windows 9x時代のconcon攻撃にたとえられている。

 img タグ指定は効かないという話がスラドでされてますね。 concon については、Bugzilla Bug 29079: file:///c|/con/con/con (2000.02.24) を参照。このころは Windows 98 が現役でした。

2017.05.30 追記:

 Windows7/8/2008系のNTFSファイルシステム周りのバグ (security-feed.club, 2017.05.29)。hogehuga さんによる検証結果まとめ (情報ありがとうございます)。hogehuga さんによると、「細工したHTMLをIEで開くと再現する」そうです。


2017.05.29

いろいろ (2017.05.29)
(various)

DLL ねた

WebKitGTK+

Apache Knox


2017.05.26

追記

世界各地で発生したランサムウェア WannaCry 2.0 の感染事案についてまとめてみた (2017.05.15)

 関連:


2017.05.25

Samba - CVE-2017-7494 - Remote code execution from a writable share
(Samba, 2017.05.24)

 Samba 3.5.0 以降に欠陥。クライアントが書き込み可能な共有フォルダーに共有ライブラリーをアップロードすると、サーバーがこれを読み込んで実行してしまう。CVE-2017-7494

 Samba 4.6.4 / 4.5.10 / 4.4.14 で修正されている。 Samba 4.6.3 / 4.5.9 / 4.4.13 用の patch も公開されている。 また nt pipe support = no を設定することで回避できる。

ベンダー アドバイザリ
Red Hat CVE-2017-7494 (2017.05.24)
Debian DSA-3860-1 samba -- security update (2017.05.24)
ubuntu CVE-2017-7494 (2017.05.24)
Synology Important Information Regarding Samba Vulnerability (CVE-2017-7494) (2017.05.25)
Netgear ReadyNAS 6.7.3 がリリースされました (2017.05.24)
QNAP ?
Buffalo ?
IO DATA ?

字幕ファイル経由でPCをハッキングすることが可能なことが明らかに
(gigazine, 2017.05.24)

 複数のメディアプレイヤーに欠陥。字幕ファイルの扱いに欠陥があり、攻略字幕ファイルによって任意のコードが実行される。

 欠陥が確認されたのは VLCKodiPopcorn TimeStremio の 4 つ。 いずれも最新版では修正されている。

いろいろ (2017.05.25)
(various)

DLL ねた

GroupSession

  • JVN#42164352 - GroupSession におけるアクセス制限不備の脆弱性 (JVN, 2017.05.25)。GroupSession 4.6.4 以前の欠陥、4.7 で修正。

  • 日本トータルシステム株式会社からの情報 (JVN, 2017.05.25)

    GroupSession 4.6.4 までのバージョンに GroupSessionにログインしたユーザが 他者のショートメール、及びタイムカード(勤務表)情報を取得可能な脆弱性が存在します。
  • Ver4.7.0の変更内容 (groupsession.jp)。これのことか?

    他者のアカウントに登録されたショートメールを、PDF形式およびeml形式でエクスポートできてしまう不具合を修正。(中略)
    管理者権限を持たないユーザが他者のタイムカードをエクスポート(勤務表出力含む)できる不具合を修正。

2017.05.24


2017.05.23

いろいろ (2017.05.23)
(various)

Moodle

FlashAir

PostgreSQL

VMware Workstation


2017.05.22


2017.05.21


2017.05.20

追記

ローソンチケットの端末認証で気づかぬうちに複数国際SMS送信し高額請求案件多発。 (2017.05.18)

 転売対策「電子チケット」でまた混乱 星野源ライブ「通信料1万円」も ローチケが謝罪・返金へ (ITmedia, 2017.05.20)。返金の動きはよいことだが、

 通信料が割高な国際SMSを使った理由や、ユーザーに通信料負担がかかる仕様にした理由については「回答を控える」としている。

 この点については変更するつもりがないということかな。 根本解決ではない。


2017.05.19

追記

Symantec発行のSSL/TLS証明書、Google Chromeで段階的な期限短縮案 (2017.03.28)


2017.05.18

いろいろ (2017.05.18)
(various)

Joomla!

GIMP

UNLHA32.DLL

追記

世界各地で発生したランサムウェア WannaCry 2.0 の感染事案についてまとめてみた (2017.05.15)

 関連:

Apple 方面 (iOS, macOS, Safari, iTunes / iCloud for Windows, watchOS, tvOS)
(Apple, 2017.05.15)

 出ました。

ローソンチケットの端末認証で気づかぬうちに複数国際SMS送信し高額請求案件多発。
(satoweb-blog, 2017.05.18)

 ローソンチケットの電子チケットアプリ「ローチケ」(App StoreGoogle Play)が、「端末認証」のために高額な国際 SMS 送信の実施を強要し、しかもまともに動かないので何度も送信する羽目となり、結果として利用者にシャレにならない額の支払いを強要するという事態が発生している模様。ひどい。

 関連: ローソンチケット電子チケットアプリの国際SMS送信問題 #ローチケ #電子チケット (togetter, 2017.05.18)

2017.05.20 追記:

 転売対策「電子チケット」でまた混乱 星野源ライブ「通信料1万円」も ローチケが謝罪・返金へ (ITmedia, 2017.05.20)。返金の動きはよいことだが、

 通信料が割高な国際SMSを使った理由や、ユーザーに通信料負担がかかる仕様にした理由については「回答を控える」としている。

 この点については変更するつもりがないということかな。 根本解決ではない。

WordPress 4.7.5 セキュリティ・メンテナンスリリース
(WordPress, 2017.05.18)

 WordPress 4.7.5 公開。6 件のセキュリティ修正を含む。 日本語版はまだみたい。

 ……hogehuga ㍉㍉‏ さんから (情報ありがとうございます)

 …… https://ja.wordpress.org/ のリンクも 4.7.5 になりました。


2017.05.17

追記

世界各地で発生したランサムウェア WannaCry 2.0 の感染事案についてまとめてみた (2017.05.15)

 関連:

 検証結果:

  • 大規模サイバー攻撃ランサムウェア「WannaCry」 vs. FFRI yarai (FFRI, 2017.05.16)

    今回の検証で使用した FFRI yarai 2.7.8は、2016年10月20日にリリースしており、本製品をご利用いただいていた場合、今回の攻撃を未然に防ぐことができたといえます。
  • WannaCry? – AIは泣かない (Cylance, 2017.05.16)

    WannaCryを検知できるCylancePROTECTのデータモデルは2015年11月にリリースされていますので、弊社製品をご利用のお客様は既に1年半以上も前から今回の攻撃を防ぐことができる状態になっていたと言えます。

2017.05.15

世界各地で発生したランサムウェア WannaCry 2.0 の感染事案についてまとめてみた
(piyolog, 2017.05.13)

 piyolog 読んでください。

 関連:

2017.05.17 追記:

 関連:

 検証結果:

2017.05.18 追記:

 関連:

2017.05.19 追記:

 関連:

2017.05.26 追記:

 関連:

2017.06.16 追記:

 関連:

2017.06.21 追記:

 事例: ホンダ。

 あと、XP / IE 8 で hotfix をダウンロードできない件の解説:

2017.06.29 追記:

 事例: 日本マクドナルド。

 関連:

2017.07.05 追記:

 関連:

2017.08.04 追記:

 WannaCry の kill switch を発見した人、別件で逮捕される:

2017.08.22 追記:

 WannaCry の kill switch を発見した人の件:

 LG のキオスク端末が 2017.08.14 に WannaCry に感染:

2017.10.30 追記:

 英国会計検査院 National Audit Office の報告書: Investigation: WannaCry cyber attack and the NHS (UK NAO, 2017.10.17)

In total, at least 81 out of 236 trusts across England were affected.
8  The cyber attack could have caused more disruption if it had not been stopped by a cyber researcher activating a ‘kill-switch’.
NHS Digital told us that the majority of NHS devices infected were unpatched but on supported Microsoft Windows 7 operating systems. Unsupported devices (those on XP) were in the minority of identified issues.

 関連: 「WannaCry」被害の英病院、パッチ適用の警告を無視していた (ZDNet, 2017.10.30)


2017.05.12

追記

2017 年 5 月のセキュリティ更新プログラム (月例) (2017.05.10)


2017.05.11


2017.05.10

いろいろ (2017.05.10)
(various)

LibreSSL

Adobe Experience Manager Forms

Intel Active Management Technology (AMT)

Handbrake

Android

追記

Apache Struts 2 の脆弱性 (S2-045) に関する注意喚起 (2017.03.09)

APSB17-15 - Security updates available for Adobe Flash Player
(Adobe, 2017.05.09)

 Flash Player 25.0.0.171 公開。7 件のセキュリティ欠陥 CVE-2017-3068 CVE-2017-3069 CVE-2017-3070 CVE-2017-3071 CVE-2017-3072 CVE-2017-3073 CVE-2017-3074 を修正。0-day はないみたい。

 関連: Adobe Flash Player の脆弱性 (APSB17-15) に関する注意喚起 (JPCERT/CC, 2017.05.10)

2017 年 5 月のセキュリティ更新プログラム (月例)
(Microsoft, 2017.05.10)

 月例セキュリティ更新出ました。対象:

 Windows 10 バージョン 1507 (RTM) のサポートは今回で終了です。 ただし 10 Enterprise 2015 LTSB、10 IoT Enterprise 2015 LTSB 用については、ひきつづきサポート対象です。

 一覧:

CVE 概要 深刻度 悪用可能性指標
CVE-2017-3068
CVE-2017-3069
CVE-2017-3070
CVE-2017-3071
CVE-2017-3072
CVE-2017-3073
CVE-2017-3074
5 月の Flash のセキュリティ更新プログラム 緊急 N/A
CVE-2017-0064 Internet Explorer のセキュリティ機能のバイパスの脆弱性 重要 2
CVE-2017-0077 Dxgkrnl.sys 昇格の特権の脆弱性 重要 1
CVE-2017-0171 Windows DNS サーバーのサービス拒否の脆弱性 重要 3
CVE-2017-0175 Windows カーネルの情報漏えいの脆弱性 重要 1
CVE-2017-0190 Windows GDI の情報漏えいの脆弱性 重要 3
CVE-2017-0212 Windows Hyper-V vSMB の特権の昇格の脆弱性 重要 2
CVE-2017-0213 Windows COM の特権の昇格の脆弱性 重要 1
CVE-2017-0214 Windows COM の特権の昇格の脆弱性 重要 1
CVE-2017-0220 Windows カーネルの情報漏えいの脆弱性 重要 1
CVE-2017-0221 Microsoft Edge のメモリ破損の脆弱性 緊急 1
CVE-2017-0222 Internet Explorer のメモリ破損の脆弱性 緊急 0
CVE-2017-0224 スクリプト エンジンのメモリ破損の脆弱性 緊急 1
CVE-2017-0226 Internet Explorer のメモリ破損の脆弱性 重要 1
CVE-2017-0227 Microsoft Edge のメモリ破損の脆弱性 緊急 1
CVE-2017-0228 スクリプト エンジンのメモリ破損の脆弱性 緊急 1
CVE-2017-0229 スクリプト エンジンのメモリ破損の脆弱性 緊急 3
CVE-2017-0230 スクリプト エンジンのメモリ破損の脆弱性 重要 1
CVE-2017-0231 Microsoft ブラウザーのなりすましの脆弱性 重要 2
CVE-2017-0233 Microsoft Edge の特権の昇格の脆弱性 重要 1
CVE-2017-0234 スクリプト エンジンのメモリ破損の脆弱性 重要 1
CVE-2017-0235 スクリプト エンジンのメモリ破損の脆弱性 緊急 1
CVE-2017-0236 スクリプト エンジンのメモリ破損の脆弱性 緊急 1
CVE-2017-0238 スクリプト エンジンのメモリ破損の脆弱性 重要 1
CVE-2017-0240 Microsoft Edge のメモリ破損の脆弱性 緊急 1
CVE-2017-0241 Microsoft Edge の特権の昇格の脆弱性 重要 0
CVE-2017-0242 Microsoft ActiveX の情報漏えいの脆弱性 重要 2
CVE-2017-0244 Windows カーネルの特権の昇格の脆弱性 重要 1
CVE-2017-0245 Win32k の情報漏えいの脆弱性 重要 2
CVE-2017-0246 Win32k の特権の昇格の脆弱性 重要 1
CVE-2017-0248 .NET のセキュリティ機能のバイパスの脆弱性 重要 3
CVE-2017-0254 Microsoft Office のメモリ破損の脆弱性 重要 2
CVE-2017-0255 Microsoft SharePoint XSS の脆弱性 重要 3
CVE-2017-0258 Windows カーネルの情報漏えいの脆弱性 重要 2
CVE-2017-0259 Windows カーネルの情報漏えいの脆弱性 重要 2
CVE-2017-0261 Microsoft Office のリモート コードが実行される脆弱性 重要 0
CVE-2017-0262 Microsoft Office のリモート コードが実行される脆弱性 重要 0
CVE-2017-0263 Win32k の特権の昇格の脆弱性 重要 0
CVE-2017-0264 Microsoft Office のメモリ破損の脆弱性 重要 3
CVE-2017-0265 Microsoft Office のメモリ破損の脆弱性 重要 3
CVE-2017-0266 Microsoft Edge のリモートでコードが実行される脆弱性 緊急 1
CVE-2017-0267 Windows SMB の情報漏えいの脆弱性 重要 2
CVE-2017-0268 Windows SMB の情報漏えいの脆弱性 重要 2
CVE-2017-0269 Windows SMB のサービス拒否の脆弱性 重要 2
CVE-2017-0270 Windows SMB の情報漏えいの脆弱性 重要 2
CVE-2017-0271 Windows SMB の情報漏えいの脆弱性 重要 2
CVE-2017-0272 Windows SMB のリモートでコードが実行される脆弱性 緊急 2
CVE-2017-0273 Windows SMB のサービス拒否の脆弱性 重要 2
CVE-2017-0274 Windows SMB の情報漏えいの脆弱性 重要 2
CVE-2017-0275 Windows SMB の情報漏えいの脆弱性 重要 2
CVE-2017-0276 Windows SMB の情報漏えいの脆弱性 重要 2
CVE-2017-0277 Windows SMB のリモートでコードが実行される脆弱性 緊急 2
CVE-2017-0278 Windows SMB のリモートでコードが実行される脆弱性 緊急 2
CVE-2017-0279 Windows SMB のリモートでコードが実行される脆弱性 緊急 2
CVE-2017-0280 Windows SMB のサービス拒否の脆弱性 重要 2
CVE-2017-0281 Microsoft Office のリモート コードが実行される脆弱性 重要 2
CVE-2017-0290 Microsoft Malware Protection Engine のリモートでコードが実行される脆弱性 緊急 2

 あと、セキュリティアドバイザリが 3 件出ています:

 関連:

2017.05.12 追記:

 Encapsulated PostScript (EPS) の脆弱性を利用した攻撃に対処するために団結する (日本のセキュリティチーム, 2017.05.11)。 Coming together to address Encapsulated PostScript (EPS) attacks (Microsoft, 2017.05.09) の邦訳。

マイクロソフト セキュリティ アドバイザリ 4022344 - Microsoft Malware Protection Engine 用のセキュリティ更新プログラム
(Microsoft, 2017.05.09)

 Microsoft のアンチウイルス製品に欠陥。Microsoft Malware Protection Engine 1.1.13701.0 以前に欠陥があり、攻略ファイルをスキャンすると任意のコードが LocalSystem 権限で実行される。CVE-2017-0290

CVE 概要 深刻度 悪用可能性指標
CVE-2017-0290 Microsoft Malware Protection Engine のリモートでコードが実行される脆弱性 緊急 2

 Microsoft Malware Protection Engine 1.1.13704.0 以降で修正されている。 エンジンバージョンが 1.1.13701.0 以前の場合は [定義の更新] を実施し、エンジンが更新されたことを確認する。 確認方法については、Microsoft Malware Protection Engine の展開に関する情報 (Microsoft KB 2510781) を参照。Windows 10 の Windows Defender は、「Windows Defender for Windows 8」と同様の手順で。 手元のテスト機では、エンジンバージョンを確認しているうちに自動更新されていた。

 関連:


2017.05.09

Chrome Stable Channel Update for Desktop
(Google, 2017.05.02)

 Chrome 58.0.3029.96 公開。WebRTC に関する 1 件のセキュリティ欠陥を修正。iida さん情報ありがとうございます。

 なお、今回の更新において、4GB 以上のメモリーを有する 64bit 版 Windows で 32bit 版 Chrome を使用している場合、自動的に 64bit 版 Chrome に移行されるそうです。

追記

Firefox 53.0 / ESR 52.1.0 公開 (2017.04.20)

 2017.05.05 付で Firefox 53.0.2 / ESR 52.1.1 出ました。Windows 版のみセキュリティ修正を含みます。iida さん情報ありがとうございます。

PuTTY vulnerability vuln-indirect-dll-hijack-2 (2017.05.02)

 PuTTYjp (hdk の自作ソフトの紹介)、2017.05.06 付で 0.69 ベース版が公開されています。


2017.05.08

追記

PHPMailerの脆弱性CVE-2016-10033について解析した (2016.12.28)

 MTA が Exim4 の場合、PHPMailer 単体、および WordPress 4.6 で影響があったそうです。

CIA Vault 7 方面 (2017.03.10)


2017.05.02

PuTTY vulnerability vuln-indirect-dll-hijack-2
(Simon Tatham, 2017.04.28)

 PuTTY 0.68 以前に欠陥。0.68 で修正したはずの 間接的 DLL ハイジャック脆弱性 が直り切っておらず、特定の 4 つの名前のファイル (WINMM.DLL, WINSPOOL.DRV, BCRYPT.DLL, SSPICLI.DLL) について依然として脆弱であった。

 PuTTY 0.69 で修正されている。関連:

2017.05.09 追記:

 PuTTYjp (hdk の自作ソフトの紹介)、2017.05.06 付で 0.69 ベース版が公開されています。


2017.05.01

追記

「Windows」システムファイルをマルウェアと誤検出、障害多数--「Webroot」で (2017.04.26)

 現在は、サポートに連絡すると修復ツール (False Positive repair utility) を入手できるようになっているようです。


[セキュリティホール memo]
[私について]