セキュリティホール memo

Last modified: Fri May 14 19:52:28 2021 +0900 (JST)
短縮 URL: http://goo.gl/pwSG QR コード: http://goo.gl/pwSG.qr


 Security Watch さんが店じまいされてしまったので、 個人で追いかけてみるテストです。 備忘録として書いておくつもりなので、 Security Watch さんのような詳細なものではありません。 基本的なターゲットは UNIX、Windows、Mac OS (priority 順) とします。 また、このページの内容はどのページにも増して無保証であることを宣言しておきます。全ての情報が集まっているわけもありません。

 ここに載せる情報については、可能な限り 1 次情報源へのリンクを作成しておきます。 各自で 1 次情報源の内容を確認してください。 このページの内容をくれぐれも鵜飲みにしないように。 間違いを発見された方、記載されていない情報をご存知の方、ぜひおしえてください。よろしくお願いいたします。

 このページの情報を利用される前に、注意書きをお読みください。


 [ 定番情報源 ]  過去の記事: 2021 | 2020 | 2019 | 2018 | 2017 | 2016 | 2015 | 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998


[SCAN Security Wire NP Prize 2001]

「Scan Security Wire」 主催の SCAN Security Wire NP Prize 2001 を受賞しました。

 

「ネットランナー」の ベスト・オブ・常習者サイト 2003 で金賞を、ベスト・オブ・常習者サイト 2004 で銀賞を受賞しました。


復刊リクエスト受付中:

ジェイムズ.F.ダニガン「 新・戦争のテクノロジー」(現在56票)
中山信弘「ソフトウェアの法的保護」 (現在116票) (オンデマンド購入可)
陸井三郎訳・編「ベトナム帰還兵の証言」 (現在107票)
林克明「カフカスの小さな国 チェチェン独立運動始末」 (現在172票)
田中徳祐「我ら降伏せず−サイパン玉砕戦の狂気と真実」 (復刊決定)

RSS に対応してみました。 小ネタは含まれていません。「政治ねたウゼェ」という人は RSS ベースで読むと幸せになれるでしょう (ウザくない人は こっちの RSS がよいかもしれません)。 RSS 1.0 ですので、あくまで RDF Site Summary です。 現在は Really Simple Syndication には対応していません。
今すぐ Really Simple Syndication がほしい人は、のいんさんによる Web サイトの RSS を勝手に出力するプロジェクト ……のものがうまくいっていないようなので、 セキュmemoのRSS生成 をご利用ください。Tamo さん情報ありがとうございます。

実用 SSH 第2版: セキュアシェル徹底活用ガイド

2021.05.14

追記

2021 年 5 月のセキュリティ更新プログラム (月例) (2021.05.13)

 関連つづき:

  • 追加の手順:

    2021 年 5 月の定例リリースにて公開された Microsoft Access の脆弱性情報 CVE-2021-28455 に対応するためには、セキュリティ更新プログラムを適用後に、リモートデータベースにアクセスするクエリ実行をブロックするようレジストリを追加する必要があります。詳細はサポート技術情報 5002984 をご参照ください。
  • 今日(5/12 JST)の Windows Update(2021-05 B) (山市良のえぬなんとかわーるど, 2021.05.12)

  • 2021年5月マイクロソフトセキュリティ更新プログラムに関する注意喚起 (JPCERT/CC, 2021.05.12)

    更新プログラムの公開時点で、これらの脆弱性を悪用する攻撃に関する情報は確認されていませんが、HTTPプロトコルスタックのリモートでコードが実行される脆弱性(CVE-2021-31166)について、遠隔の第三者が、細工したパケットを送信し、認証不要でコードを実行する可能性があり、マイクロソフトは優先して対応を実施することを推奨しています。

2021.05.13

2021 年 5 月のセキュリティ更新プログラム (月例)
(Microsoft, 2021.05.12)

 Microsoft 2021.05 定例出てます。 2021年5月のセキュリティアップデート より:

 関連:

2021.05.14 追記:

 関連つづき:

Adobe 方面 (Experience Manager、InDesign、Illustrator、InCopy、Genuine Service、Acrobat / Acrobat Reader、Magento、 Creative Cloud Desktop Application、Media Encoder、After Effects、Medium、Animate)
(Adobe, 2021.05.11)

 いろいろ出ました。

 Priority: 1 はひさしぶりに見た。

いろいろ (2021.05.13)
(various)

WordPress

VLC media player

Serv-U File Server

Chrome Stable Channel Update for Desktop
(Google, 2021.05.10)

 Chrome 90.0.4430.212 公開。19 件のセキュリティ修正を含む。


2021.05.12

追記

DSA-2021-088: Dell Client Platform Security Update for an Insufficient Access Control Vulnerability in the Dell dbutil Driver (2021.05.06)

 DSA-2021-088: Dell Client Platform Security Update for an Insufficient Access Control Vulnerability in the Dell dbutil Driver (DELL, 2021.05.11 更新)。 「Updated links to Dell Security Advisory Update - DSA-2021-088 utility v2.1 (A02)」 とされています。こちらになります


2021.05.11

いろいろ (2021.05.11)
(various)

Google Public DNS, Cisco OpenDNS

Knot Resolver

Django

Foxit Reader, PhantomPDF

Buffalo 製無線 / 有線 LAN ルーター

  • JVNVU#99235714 - バッファロー製ルータにおける複数の脆弱性 (JVN, 2021.04.27)。 対象: BHR-4GRV、 DWR-HP-G300NH、 HW-450HP-ZWE、 WHR-300HP、 WHR-300、 WHR-G301N、 WHR-HP-G300N、 WHR-HP-GN、 WPL-05G300、 WZR-450HP-CWT、 WZR-450HP-UB、 WZR-HP-AG300H、 WZR-HP-G300NH、 WZR-HP-G301NH、 WZR-HP-G302H、 WZR-HP-G450H、 WZR-300HP、 WZR-450HP、 WZR-600DHP、 WZR-D1100H、 FS-HP-G300N、 FS-600DHP、 FS-R600DHP、 FS-G300N。 修正ファームウェアが公開されている。

    想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。
    • 隣接するネットワーク上の第三者により、当該機器の設定情報等を窃取される - CVE-2021-3511
    • 隣接するネットワーク上の第三者により、当該機器の telnet サービスを有効化され、root 権限で任意のOSコマンドを実行される - CVE-2021-3512

    これはヤバい奴じゃん。

  • 【更新】ルーター等の一部商品におけるデバッグオプションの脆弱性とその対処方法 (Buffalo, 2021.05.06 更新)。いずれも 2000 年代の製品でサポート終了済。 ハードを更新しましょう。

追記

Pulse Connect Secureの脆弱性(CVE-2021-22893)に関する注意喚起 (2021.04.21)

 JPCERT/CC 注意喚起が 2021.05.06 付で更新されていた。

2021年5月3日(米国時間)、Pulse Secureから修正バージョンが公開されました。CVE-2021-22893に加えて、別の3つの脆弱性(CVE-2021-22894、CVE-2021-22899、CVE-2021-22900)の修正も含まれています。Pulse Secureから公開された情報を参照のうえ、修正バージョンの適用をご検討ください。

Pulse Secure
Pulse Connect Secure Patch Availability - SA44784
https://blog.pulsesecure.net/pulse-connect-secure-patch-availability-sa44784/

なお、すでに回避策を適用している場合、脆弱性を修正するバージョンを適用する前に、回避策で適用した変更を切り戻すことが推奨されています。実施手順などの詳細はPulse Secureのアドバイザリの情報をご確認ください。

2021.05.10

EC-CUBE 4.0系: クロスサイトスクリプティング脆弱性について
(EC-CUBE, 2021.05.07)

 EC-CUBE 4.0.0〜4.0.5 に 0-day 欠陥。

すでに本脆弱性を利用した攻撃が複数確認されており、危険度の高い脆弱性となります
(中略)
不正な受注情報が作成された状態で、特定の管理画面操作をするとクロスサイトスクリプティングが発生する可能性があります

 EC-CUBE 4.0.5p1 にアップデートする、Hotfix パッチを適用する、修正内容を手動適用する、のいずれかで対応できる。

 関連:


2021.05.07

Qualys Security Advisory - 21Nails: Multiple vulnerabilities in Exim
(Qualys, 2021.05.04)

 メールサーバー Exim に、合計 21 件のセキュリティ欠陥。 内 7 件 (local x 4、remote x 3) については攻略 (local: root 権限を奪取、remote: exim あるいは root 権限を奪取) 可能なことを検証済みだという。

 Exim 4.94.2 で修正されている。

追記

DSA-2021-088: Dell Client Platform Security Update for an Insufficient Access Control Vulnerability in the Dell dbutil Driver (2021.05.06)

 ファームウェア更新ユーティリティはまだ更新されておらず、 通知アプリケーションを使って更新版を受領できる、との記載に修正。 あわせて若干文言を追加。

 Step 1 Option 3 が 2021.05.10 以降となっているのだけど、どの部分が 2021.05.10 以降なのかよくわからないんだよなあ。2021.05.10 以降になるとファームウェア更新ユーティリティの更新版が用意されるので、ダウンロードや適用ができるようになる、という意味なんだろうか。


2021.05.06

DSA-2021-088: Dell Client Platform Security Update for an Insufficient Access Control Vulnerability in the Dell dbutil Driver
(DELL, 2021.05.04)

 DELL のファームウェア更新ユーティリティや、Dell Command Update・Dell Update・Alienware Update・Dell System Inventory Agent・Dell Platform Tags といった通知アプリケーションにおいて使用されている、dbutil_2_3.sys ドライバーに欠陥があり、local user による権限上昇や DoS 攻撃が可能。CVE-2021-21551

 対応手順としては (1) dbutil_2_3.sys の削除 (2) ファームウェア更新ユーティリティ・通知アプリケーションの更新、と書かれているのだけど、ファームウェア更新ユーティリティの更新版はまだリリースされていないみたい。通知アプリケーションを使用して更新されるのを待つ、ことになる模様。

  1. 削除については、削除ツール を使用するか、あるいは手動で削除する。 ただし Dell System Inventory Agent を使用している場合は、 実行前にあらかじめ最新版 (2.6.0.0 以降) をダウンロードしておくこと。

  2. ファームウェア更新ユーティリティは、 DSA-2021-088 の Table A にある Windows 10 用は次回の更新版で修正される。 Windows 7 / 8.1 用については 2021.07.31 に用意される予定。 通知アプリケーションを使って更新版を受領できる。

    Dell Command Update, Dell Update, Alienware Update は自動更新される。

    Dell Platform Tags は 最新版 (4.0.30.0, A04 以降) で対応。

    Dell System Inventory Agent は 最新版 (2.6.0.0 以降) で対応。

 関連:

2021.05.07 追記:

 ファームウェア更新ユーティリティはまだ更新されておらず、 通知アプリケーションを使って更新版を受領できる、との記載に修正。 あわせて若干文言を追加。

 Step 1 Option 3 が 2021.05.10 以降となっているのだけど、どの部分が 2021.05.10 以降なのかよくわからないんだよなあ。2021.05.10 以降になるとファームウェア更新ユーティリティの更新版が用意されるので、ダウンロードや適用ができるようになる、という意味なんだろうか。

2021.05.12 追記:

 DSA-2021-088: Dell Client Platform Security Update for an Insufficient Access Control Vulnerability in the Dell dbutil Driver (DELL, 2021.05.11 更新)。 「Updated links to Dell Security Advisory Update - DSA-2021-088 utility v2.1 (A02)」 とされています。こちらになります

Firefox 88.0 / ESR 78.10.0、Thunderbird 78.10.0 公開
(Mozilla, 2021.04.19)

 出てました。その後 5/4 付で Firefox 88.0.1 / ESR 78.10.1、Thunderbird 78.10.1 も公開されています。

Apple 方面 (iOS / iPadOS 14.5.1、iOS 12.5.3、watchOS 7.4.1、macOS Big Sur 11.3.1、Safari 14.1)
(Apple, 2021.05.03)

 攻略 Web コンテンツによって任意のコードが実行される WebKit の 0-day 欠陥 4 件 CVE-2021-30661 CVE-2021-30663 CVE-2021-30665 CVE-2021-30666 が修正されています。


過去の記事: 2021 | 2020 | 2019 | 2018 | 2017 | 2016 | 2015 | 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998


[セキュリティホール memo]
[私について]