セキュリティホール memo - 2021.05

Last modified: Mon Mar 30 12:18:31 2021 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2021.05.31


2021.05.28

Apple 方面 (iOS / iPadOS / tvOS 14.6、watchOS 7.5、macOS Big Sur 11.4、Safari 14.1.1)
(Apple, 2021.05.24)

 そういえば出てました。

 関連:


2021.05.27

いろいろ (2021.05.27)
(various)

VMware vCenter Server / Cloud Foundation

2021.06.07 追記:

 JPCERT/CC の注意喚起 が改訂された。

  • VMware vCenter Serverの複数の脆弱性(CVE-2021-21985、CVE-2021-21986)に関する注意喚起 (JPCERT/CC, 2021.06.07 更新)

    JPCERT/CCは、脆弱性(CVE-2021-21985)を悪用し、影響を受けるシステム上で任意のコードを実行する実証コードが公開されていることを確認しています。また、2021年5月28日頃より、脆弱性(CVE-2021-21985)を探索する通信が観測されているとの情報も確認しています。
    本脆弱性の影響を受ける製品を利用しており、とりわけインターネットから直接接続可能な状況で稼働している場合、速やかに対策や回避策を適用することを推奨します。

Drupal

Chrome Stable Channel Update for Desktop
(Google, 2021.05.25)

 Chrome 91.0.4472.77 が stable に。32 件のセキュリティ修正を含む。


2021.05.25


2021.05.24

追記

2021 年 5 月のセキュリティ更新プログラム (月例)

いろいろ (2021.05.24)
(various)

Android

  • Androidに4つのゼロデイ脆弱性 ~限定的な標的型攻撃への悪用が確認  2021年5月セキュリティ更新の適用を (窓の杜, 2021.05.24)

     Googleのセキュリティチーム「Project Zero」がまとめたところによると、今月のAndroidセキュリティパッチでは以下のゼロデイ脆弱性が修正されている。
    • CVE-2021-1905:Qualcomm SnapdragonのGPUにおける解放後メモリ利用(use-after-free)の問題
    • CVE-2021-1906:Qualcomm SnapdragonのGPUにおける不適切なエラーハンドリングの問題
    • CVE-2021-28663:Arm Mali GPUにおける解放後メモリ利用(use-after-free)の問題
    • CVE-2021-28664:Arm Mali GPUにおける読み取り専用メモリ領域への書き込み問題
     これらの脆弱性は、Androidのセキュリティ パッチレベルが「2021-05-05」以降になっていれば解決されている。

Moodle


2021.05.21


2021.05.20

いろいろ (2021.05.20)
(various)

AMD EPYC シリーズ CPU

Anker Eufy

Ceph

please

 Rust で書かれた sudo ライクなツールだそうです。

kubernetes

libx11

rxvt

  • Re: rxvt terminal (+bash) remoteish code execution 0day (oss-sec ML, 2021.05.17)。rxvt-unicode upstream では 2017 年に修正されているが、 多くの Linux ディストリに含まれる rxvt-unicode 9.22 (2016-01-23) では未修正。 rxvt-unicode 9.25 (2021-05-14) は修正済。9.2[34] は存在しない。 rxvt 2.7.10、mrxvt 0.5.4、 eterm 0.9.7 も未修正。

追記

内閣府にサイバー攻撃 サーバーに「ゼロデイ」の痕跡 (2021.04.23)

 内閣府のプレスリリース (2021.04.22)

 朝日記事の続報

 まとめ

 関連。たいへん興味深い。


2021.05.19

追記

Firefox 88.0 / ESR 78.10.0、Thunderbird 78.10.0 公開 (2021.05.06)

 Thunderbird 78.10.2 がリリースされた (MozillaZine, 2021.05.18)。OpenPGP 関連のセキュリティ修正あり。

SolarWinds 社製 SolarWinds Orion Platform ソフトウェアのアップデートについて (2020.12.15)


2021.05.18

隠れオープンリゾルバのスキャナを作ってみた
(e-ontap.com, 2021.03.31)

 こちらでチェックできます: https://snoopy.e-ontap.com/

このたびふと思い立ち、海外の某所から送信元を詐称したクエリを投げて調査を行ってみたところ想像以上に多くの隠れオープンリゾルバが残存していることがわかりました。調査対象としたのは私が管理している DNS コンテンツサーバ (この e-ontap.com や reflection.co.jp など 20 ドメインほどの権威サーバ) へのクエリログから抽出した約 100,000 の IP アドレスです。
スキャン総数は 104,979 アドレス、普通のオープンリゾルバ (A) が 4511 (4.3%)、詐称クエリに対してオープンなリゾルバ (B) が 8103 (7.7%)、B + (A - (A ∩ B)) は 10739 (10.2%) でした。

 こちらで統計を見られます: 隠れオープンリゾルバ (e-ontap.com)

約10万のリゾルバを継続観察中ですが、対策状況を勘案しつつ、遅くとも 2021 年 9 月 7 日には未対策の JP ドメインを公開するつもりです。

いろいろ (2021.05.18)
(various)

PostgreSQL

Apple Boot Camp


2021.05.17

FragAttacks: Security flaws in all Wi-Fi devices
(fragattacks.com, 2021.05.11)

 WiFi フレームの分割化と再構成について、仕様と実装に複数のセキュリティ欠陥があり、ニセ DNS サーバーをつかませることでニセ Web サイトに誘導する、などができてしまう。

 仕様自体の欠陥は次の 3 件。ただし、これらを悪用するのは困難だとされている。

 保護された WiFi ネットワークにおいて、平文のフラグメントやらフレームやらを受け入れてしまう、実装上の欠陥が 4 件。

 その他の実装上の欠陥が 5 件。

 論文、デモ動画、プレゼン動画、ツールが公開されている。

各社対応:

 https://github.com/vanhoefm/fragattacks/blob/master/ADVISORIES.md に発見者による一覧あり。


2021.05.14

追記

2021 年 5 月のセキュリティ更新プログラム (月例) (2021.05.13)

 関連つづき:

  • 追加の手順:

    2021 年 5 月の定例リリースにて公開された Microsoft Access の脆弱性情報 CVE-2021-28455 に対応するためには、セキュリティ更新プログラムを適用後に、リモートデータベースにアクセスするクエリ実行をブロックするようレジストリを追加する必要があります。詳細はサポート技術情報 5002984 をご参照ください。
  • 今日(5/12 JST)の Windows Update(2021-05 B) (山市良のえぬなんとかわーるど, 2021.05.12)

  • 2021年5月マイクロソフトセキュリティ更新プログラムに関する注意喚起 (JPCERT/CC, 2021.05.12)

    更新プログラムの公開時点で、これらの脆弱性を悪用する攻撃に関する情報は確認されていませんが、HTTPプロトコルスタックのリモートでコードが実行される脆弱性(CVE-2021-31166)について、遠隔の第三者が、細工したパケットを送信し、認証不要でコードを実行する可能性があり、マイクロソフトは優先して対応を実施することを推奨しています。

2021.05.13

2021 年 5 月のセキュリティ更新プログラム (月例)
(Microsoft, 2021.05.12)

 Microsoft 2021.05 定例出てます。 2021年5月のセキュリティアップデート より:

 関連:

2021.05.14 追記:

 関連つづき:

2021.05.24 追記:

 関連:

Adobe 方面 (Experience Manager、InDesign、Illustrator、InCopy、Genuine Service、Acrobat / Acrobat Reader、Magento、 Creative Cloud Desktop Application、Media Encoder、After Effects、Medium、Animate)
(Adobe, 2021.05.11)

 いろいろ出ました。

 Priority: 1 はひさしぶりに見た。

いろいろ (2021.05.13)
(various)

WordPress

VLC media player

Serv-U File Server

Chrome Stable Channel Update for Desktop
(Google, 2021.05.10)

 Chrome 90.0.4430.212 公開。19 件のセキュリティ修正を含む。


2021.05.12

追記

DSA-2021-088: Dell Client Platform Security Update for an Insufficient Access Control Vulnerability in the Dell dbutil Driver (2021.05.06)

 DSA-2021-088: Dell Client Platform Security Update for an Insufficient Access Control Vulnerability in the Dell dbutil Driver (DELL, 2021.05.11 更新)。 「Updated links to Dell Security Advisory Update - DSA-2021-088 utility v2.1 (A02)」 とされています。こちらになります


2021.05.11

いろいろ (2021.05.11)
(various)

Google Public DNS, Cisco OpenDNS

Knot Resolver

Django

Foxit Reader, PhantomPDF

Buffalo 製無線 / 有線 LAN ルーター

  • JVNVU#99235714 - バッファロー製ルータにおける複数の脆弱性 (JVN, 2021.04.27)。 対象: BHR-4GRV、 DWR-HP-G300NH、 HW-450HP-ZWE、 WHR-300HP、 WHR-300、 WHR-G301N、 WHR-HP-G300N、 WHR-HP-GN、 WPL-05G300、 WZR-450HP-CWT、 WZR-450HP-UB、 WZR-HP-AG300H、 WZR-HP-G300NH、 WZR-HP-G301NH、 WZR-HP-G302H、 WZR-HP-G450H、 WZR-300HP、 WZR-450HP、 WZR-600DHP、 WZR-D1100H、 FS-HP-G300N、 FS-600DHP、 FS-R600DHP、 FS-G300N。 修正ファームウェアが公開されている。

    想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。
    • 隣接するネットワーク上の第三者により、当該機器の設定情報等を窃取される - CVE-2021-3511
    • 隣接するネットワーク上の第三者により、当該機器の telnet サービスを有効化され、root 権限で任意のOSコマンドを実行される - CVE-2021-3512

    これはヤバい奴じゃん。

  • 【更新】ルーター等の一部商品におけるデバッグオプションの脆弱性とその対処方法 (Buffalo, 2021.05.06 更新)。いずれも 2000 年代の製品でサポート終了済。 ハードを更新しましょう。

追記

Pulse Connect Secureの脆弱性(CVE-2021-22893)に関する注意喚起 (2021.04.21)

 JPCERT/CC 注意喚起が 2021.05.06 付で更新されていた。

2021年5月3日(米国時間)、Pulse Secureから修正バージョンが公開されました。CVE-2021-22893に加えて、別の3つの脆弱性(CVE-2021-22894、CVE-2021-22899、CVE-2021-22900)の修正も含まれています。Pulse Secureから公開された情報を参照のうえ、修正バージョンの適用をご検討ください。

Pulse Secure
Pulse Connect Secure Patch Availability - SA44784
https://blog.pulsesecure.net/pulse-connect-secure-patch-availability-sa44784/

なお、すでに回避策を適用している場合、脆弱性を修正するバージョンを適用する前に、回避策で適用した変更を切り戻すことが推奨されています。実施手順などの詳細はPulse Secureのアドバイザリの情報をご確認ください。

2021.05.10

EC-CUBE 4.0系: クロスサイトスクリプティング脆弱性について
(EC-CUBE, 2021.05.07)

 EC-CUBE 4.0.0〜4.0.5 に 0-day 欠陥。

すでに本脆弱性を利用した攻撃が複数確認されており、危険度の高い脆弱性となります
(中略)
不正な受注情報が作成された状態で、特定の管理画面操作をするとクロスサイトスクリプティングが発生する可能性があります

 EC-CUBE 4.0.5p1 にアップデートする、Hotfix パッチを適用する、修正内容を手動適用する、のいずれかで対応できる。

 関連:


2021.05.07

Qualys Security Advisory - 21Nails: Multiple vulnerabilities in Exim
(Qualys, 2021.05.04)

 メールサーバー Exim に、合計 21 件のセキュリティ欠陥。 内 7 件 (local x 4、remote x 3) については攻略 (local: root 権限を奪取、remote: exim あるいは root 権限を奪取) 可能なことを検証済みだという。

 Exim 4.94.2 で修正されている。

追記

DSA-2021-088: Dell Client Platform Security Update for an Insufficient Access Control Vulnerability in the Dell dbutil Driver (2021.05.06)

 ファームウェア更新ユーティリティはまだ更新されておらず、 通知アプリケーションを使って更新版を受領できる、との記載に修正。 あわせて若干文言を追加。

 Step 1 Option 3 が 2021.05.10 以降となっているのだけど、どの部分が 2021.05.10 以降なのかよくわからないんだよなあ。2021.05.10 以降になるとファームウェア更新ユーティリティの更新版が用意されるので、ダウンロードや適用ができるようになる、という意味なんだろうか。


2021.05.06

DSA-2021-088: Dell Client Platform Security Update for an Insufficient Access Control Vulnerability in the Dell dbutil Driver
(DELL, 2021.05.04)

 DELL のファームウェア更新ユーティリティや、Dell Command Update・Dell Update・Alienware Update・Dell System Inventory Agent・Dell Platform Tags といった通知アプリケーションにおいて使用されている、dbutil_2_3.sys ドライバーに欠陥があり、local user による権限上昇や DoS 攻撃が可能。CVE-2021-21551

 対応手順としては (1) dbutil_2_3.sys の削除 (2) ファームウェア更新ユーティリティ・通知アプリケーションの更新、と書かれているのだけど、ファームウェア更新ユーティリティの更新版はまだリリースされていないみたい。通知アプリケーションを使用して更新されるのを待つ、ことになる模様。

  1. 削除については、削除ツール を使用するか、あるいは手動で削除する。 ただし Dell System Inventory Agent を使用している場合は、 実行前にあらかじめ最新版 (2.6.0.0 以降) をダウンロードしておくこと。

  2. ファームウェア更新ユーティリティは、 DSA-2021-088 の Table A にある Windows 10 用は次回の更新版で修正される。 Windows 7 / 8.1 用については 2021.07.31 に用意される予定。 通知アプリケーションを使って更新版を受領できる。

    Dell Command Update, Dell Update, Alienware Update は自動更新される。

    Dell Platform Tags は 最新版 (4.0.30.0, A04 以降) で対応。

    Dell System Inventory Agent は 最新版 (2.6.0.0 以降) で対応。

 関連:

2021.05.07 追記:

 ファームウェア更新ユーティリティはまだ更新されておらず、 通知アプリケーションを使って更新版を受領できる、との記載に修正。 あわせて若干文言を追加。

 Step 1 Option 3 が 2021.05.10 以降となっているのだけど、どの部分が 2021.05.10 以降なのかよくわからないんだよなあ。2021.05.10 以降になるとファームウェア更新ユーティリティの更新版が用意されるので、ダウンロードや適用ができるようになる、という意味なんだろうか。

2021.05.12 追記:

 DSA-2021-088: Dell Client Platform Security Update for an Insufficient Access Control Vulnerability in the Dell dbutil Driver (DELL, 2021.05.11 更新)。 「Updated links to Dell Security Advisory Update - DSA-2021-088 utility v2.1 (A02)」 とされています。こちらになります

Firefox 88.0 / ESR 78.10.0、Thunderbird 78.10.0 公開
(Mozilla, 2021.04.19)

 出てました。その後 5/4 付で Firefox 88.0.1 / ESR 78.10.1、Thunderbird 78.10.1 も公開されています。

2021.05.19 追記:

 Thunderbird 78.10.2 がリリースされた (MozillaZine, 2021.05.18)。OpenPGP 関連のセキュリティ修正あり。

Apple 方面 (iOS / iPadOS 14.5.1、iOS 12.5.3、watchOS 7.4.1、macOS Big Sur 11.3.1、Safari 14.1)
(Apple, 2021.05.03)

 攻略 Web コンテンツによって任意のコードが実行される WebKit の 0-day 欠陥 4 件 CVE-2021-30661 CVE-2021-30663 CVE-2021-30665 CVE-2021-30666 が修正されています。


[セキュリティホール memo]
[私について]