カテゴリー: セキュリティ情報

「お知らせ」に掲載するセキュリティ情報です（アプリケーションの脆弱性など）。

Google Chrome に複数の脆弱性

最終更新日: 2019/10/17

情報源

US-CERT Current Activity
Google Releases Security Updates for Chrome
https://www.us-cert.gov/ncas/current-activity/2019/10/11/google-releases-security-updates-chrome

概要

Google Chrome には、解放済みメモリの使用などの脆弱性があります。
対象となるバージョンは次のとおりです。

– Google Chrome 77.0.3865.120 より前のバージョン

この問題は、Google Chrome を Google が提供する修正済みのバージョンに更新することで解決します。詳細は、Google が提供する情報を参照してください。

関連文書 (英語)

Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2019/10/stable-channel-update-for-desktop.html

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2019-10-17」
https://www.jpcert.or.jp/wr/2019/wr194001.html

 

複数の Apple 製品に脆弱性

最終更新日: 2019/10/17

情報源

US-CERT Current Activity
Apple Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2019/10/08/apple-releases-security-updates

概要

複数の Apple 製品には、脆弱性があります。結果として、遠隔の第三者が、任意のコードを実行したり、情報を窃取したりするなどの可能性があります。
対象となる製品およびバージョンは次のとおりです。

– macOS Catalina 10.15 より前のバージョン
– iTunes 12.10.1 for Windows より前のバージョン
– iCloud for Windows 10.7 より前のバージョン
– iCloud for Windows 7.14 より前のバージョン

この問題は、該当する製品を Apple が提供する修正済みのバージョンに更新することで解決します。詳細は、Apple が提供する情報を参照してください。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#90484857
複数の Apple 製品における脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU90484857/

Apple

macOS Catalina 10.15 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210634

Apple

iTunes for Windows 12.10.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210635

Apple

Windows 用 iCloud 10.7 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210636

Apple

Windows 用 iCloud 7.14 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210637

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2019-10-17」
https://www.jpcert.or.jp/wr/2019/wr194001.html

 

複数の Microsoft 製品に脆弱性

最終更新日: 2019/10/17

情報源

US-CERT Current Activity
Microsoft Releases October 2019 Security Updates
https://www.us-cert.gov/ncas/current-activity/2019/10/08/microsoft-releases-october-2019-security-updates

概要

複数の Microsoft 製品には、脆弱性があります。結果として、遠隔の第三者が任意のコードを実行するなどの可能性があります。
対象となる製品は次のとおりです。

– Microsoft Windows
– Internet Explorer
– Microsoft Edge (EdgeHTML ベース)
– ChakraCore
– Microsoft Office and Microsoft Office Services および Web Apps
– SQL Server Management Studio
– オープン ソース ソフトウェア
– Microsoft Dynamics 365
– Windows Update Assistant

この問題は、Microsoft Update などを用いて、更新プログラムを適用することで解決します。詳細は、Microsoft が提供する情報を参照してください。

関連文書 (日本語)

マイクロソフト株式会社
2019 年 10 月のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-jp/security-guidance/releasenotedetail/28ef0a64-489c-e911-a994-000d3a33c573

JPCERT/CC 注意喚起

2019年10月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2019/at190038.html

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2019-10-17」
https://www.jpcert.or.jp/wr/2019/wr194001.html

 

Adobe Acrobat および Reader の脆弱性 (APSB19-49) に関する注意喚起

　JPCERT/CCからの「Adobe Acrobat および Reader の脆弱性 (APSB19-49) に関する注意喚起」をお知らせします。
各位
JPCERT-AT-2019-0039
JPCERT/CC
2019-10-16
<<< JPCERT/CC Alert 2019-10-16 >>>
Adobe Acrobat および Reader の脆弱性 (APSB19-49) に関する注意喚起
https://www.jpcert.or.jp/at/2019/at190039.html

I.概要

アドビから PDF ファイル作成・変換ソフトウエア Adobe Acrobat および PDFファイル閲覧ソフトウエア Adobe Acrobat Reader に関する脆弱性が公開されました。脆弱性を悪用したコンテンツをユーザが開いた場合、実行ユーザの権限で任意のコードが実行されたり、情報が窃取されたりする恐れがあります。
脆弱性の詳細については、アドビの情報を確認してください。

アドビシステムズ株式会社

Security updates available for Adobe Acrobat and Reader | APSB19-49
https://helpx.adobe.com/security/products/acrobat/apsb19-49.html

II.対象

対象となる製品とバージョンは次のとおりです。

– Adobe Acrobat Reader DC Continuous (2019.012.20040) およびそれ以前 (Windows, macOS)

– Adobe Acrobat Reader 2017 Classic 2017 (2017.011.30148) およびそれ以前 (Windows, macOS)
– Adobe Acrobat Reader 2015 Classic 2015 (2015.006.30503) およびそれ以前 (Windows, macOS)
– Adobe Acrobat DC Continuous (2019.012.20040) およびそれ以前 (Windows, macOS)
– Adobe Acrobat 2017 Classic 2017 (2017.011.30148) およびそれ以前 (Windows, macOS)
– Adobe Acrobat 2015 Classic 2015 (2015.006.30503) およびそれ以前 (Windows, macOS)

III.対策

Adobe Acrobat および Reader を次の最新のバージョンに更新してください。

– Adobe Acrobat Reader DC Continuous (2019.021.20047) (Windows, macOS)

– Adobe Acrobat Reader DC Classic 2017 (2017.011.30150) (Windows, macOS)
– Adobe Acrobat Reader DC Classic 2015 (2015.006.30504) (Windows, macOS)
– Adobe Acrobat DC Continuous (2019.021.20047) (Windows, macOS)
– Adobe Acrobat DC Classic 2017 (2017.011.30150) (Windows, macOS)
– Adobe Acrobat DC Classic 2015 (2015.006.30504) (Windows, macOS)

更新は、Adobe Acrobat および Reader の起動後、メニューより “ヘルプ (H)”の次に “アップデートの有無をチェック (U)” をクリックすることで実施できます。メニューからの更新が不可能な場合は、以下の URL から 最新の AdobeAcrobat および Reader をダウンロードしてください。詳細は、アドビの情報をご確認ください。
Adobe.com – New downloads

https://supportdownloads.adobe.com/new.jsp

IV. 参考情報

アドビシステムズ株式会社
Security updates available for Adobe Acrobat and Reader | APSB19-49
https://helpx.adobe.com/security/products/acrobat/apsb19-49.html

アドビシステムズ株式会社

Security Bulletins Posted
https://blogs.adobe.com/psirt/?p=1795

 

 

今回の件につきまして当方まで提供いただける情報がございましたら、ご連絡ください。

一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC)
MAIL: jpcert
TEL:03-6271-8901 FAX: 03-6271-8908
https://www.jpcert.or.jp/

2019年10月マイクロソフトセキュリティ更新プログラムに関する注意喚起

　JPCERT/CCからの「2019年10月マイクロソフトセキュリティ更新プログラムに関する注意喚起」をお知らせします。
各位
JPCERT-AT-2019-0038
JPCERT/CC
2019-10-09
<<< JPCERT/CC Alert 2019-10-09 >>>
2019年10月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2019/at190038.html

I.概要

マイクロソフトから 2019年10月のセキュリティ更新プログラムが公開されました。本情報には、深刻度が「緊急」のセキュリティ更新プログラムが含まれています。脆弱性を悪用された場合、リモートからの攻撃によって任意のコードが実行されるなどの恐れがあります。

脆弱性の詳細は、次の URL を参照してください。
2019 年 10 月のセキュリティ更新プログラム

https://portal.msrc.microsoft.com/ja-JP/security-guidance/releasenotedetail/28ef0a64-489c-e911-a994-000d3a33c573

[修正された脆弱性 (深刻度「緊急」のセキュリティ更新プログラムを含む)]

※ サポート技術情報 (Microsoft Knowledge Base, KB) は、深刻度「緊急」のものを挙げています。

CVE-2019-1060

MS XML のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1060
– KB4517389, KB4519338, KB4519985, KB4519990, KB4519998, KB4520004

KB4520005, KB4520007, KB4520008, KB4520010, KB4520011
CVE-2019-1238

VBScript のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1238
– KB4517389, KB4519338, KB4519974, KB4519976, KB4519998, KB4520004

KB4520005, KB4520008, KB4520010, KB4520011
CVE-2019-1239

VBScript のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1239
– KB4519338

CVE-2019-1307

Chakra スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1307
– KB4517389, KB4519338, KB4519998, KB4520004, KB4520008, KB4520010

KB4520011
CVE-2019-1308

Chakra スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1308
– KB4517389, KB4519338, KB4519998, KB4520004, KB4520008, KB4520010

KB4520011
CVE-2019-1333

リモート デスクトップ クライアントのリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1333
– KB4517389, KB4519338, KB4519976, KB4519985, KB4519990, KB4519998

KB4520002, KB4520003, KB4520004, KB4520005, KB4520007, KB4520008
KB4520009, KB4520010, KB4520011
CVE-2019-1335

Chakra スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1335
– KB4517389, KB4519338, KB4519998, KB4520004, KB4520008, KB4520010

KB4520011
CVE-2019-1366

Chakra スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1366
– KB4517389, KB4519338, KB4519998, KB4520004, KB4520008, KB4520010

KB4520011
CVE-2019-1367

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1367
– KB4517389, KB4519338, KB4519974, KB4519976, KB4519998, KB4520004

KB4520005, KB4520008, KB4520010, KB4520011
CVE-2019-1372

Azure App サービスの特権の昇格の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1372
※ 本脆弱性は、KB番号が採番されていないため、記載はありません

なお、Internet Explorer の脆弱性 (CVE-2019-1367) については、9月23日と10月3日 (米国時間) に更新プログラムが提供されていますが、これらの更新プログラムを適用後に印刷の問題が発生するとのことです。そのため、これらの問題に対応した今月の月例更新プログラムを適用することが推奨されています。

II.対策

Microsoft Update、もしくは Windows Update などを用いて、セキュリティ更新プログラムを早急に適用してください。

Microsoft Update Catalog

https://www.catalog.update.microsoft.com/

Windows Update: FAQ

https://support.microsoft.com/ja-JP/help/12373/windows-update-faq

III.参考情報

マイクロソフト株式会社
2019 年 10 月のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-JP/security-guidance/releasenotedetail/28ef0a64-489c-e911-a994-000d3a33c573

マイクロソフト株式会社

2019 年 10 月のセキュリティ更新プログラム (月例)
https://msrc-blog.microsoft.com/2019/10/08/201910-security-updates/

マイクロソフト株式会社

Windows Update: FAQ
https://support.microsoft.com/ja-JP/help/12373/windows-update-faq

 

今回の件につきまして当方まで提供いただける情報がございましたら、ご連絡ください。

一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC)
MAIL: jpcert
TEL:03-6271-8901 FAX: 03-6271-8908
https://www.jpcert.or.jp/

警察庁が「Elasticsearchの脆弱性を標的としたアクセスの増加等について」を公開

最終更新日: 2019/10/09

警察庁は 2019年10月2日、「Elasticsearchの脆弱性を標的としたアクセスの増加等について」と題したレポートを公開しました。2019年2月中旬以降から、Elasticsearch の脆弱性を標的とした宛先ポート 9200/TCP に対するアクセスの増加が観測されており、警察庁は同製品の利用者に注意を呼び掛けています。

また、Jira Server および Jira Data Centerの脆弱性 (CVE-2019-11581) を標的とした探索活動や、Webmin の脆弱性 (CVE-2019-15107) を標的としたアクセスも観測されており、同じく注意が呼びかけられています。これらの製品を利用している場合は、警察庁や各ベンダなどが提供する情報を確認し、バージョンアップやアクセス制御などの対策の実施を検討してください。

参考文献 (日本語)

警察庁
Elasticsearchの脆弱性を標的としたアクセスの増加等について
https://www.npa.go.jp/cyberpolice/detect/pdf/20191002.pdf

 

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2019-10-09」
https://www.jpcert.or.jp/wr/2019/wr193901.html

 

GitLab Community および Enterprise Edition に脆弱性

最終更新日: 2019/10/09

情報源

GitLab
GitLab Critical Security Release: 12.3.3, 12.2.7, and 12.1.13
https://about.gitlab.com/2019/10/02/security-release-gitlab-12-dot-3-dot-3-released/

概要

GitLab には、脆弱性があります。結果として、第三者が情報を窃取する可能性があります。
対象となる製品およびバージョンは次のとおりです。

– GitLab Community および Enterprise Edition 12.3.3 より前の 12.3 系のバージョン
– GitLab Community および Enterprise Edition 12.2.7 より前の 12.2 系のバージョン
– GitLab Community および Enterprise Edition 12.1.13 より前の 12.1 系のバージョン

なお、本脆弱性は Elasticsearch integration を有効にしている場合に影響を受けるとのことです。
この問題は、該当する製品を GitLab が提供する修正済みのバージョンに更新することで解決します。詳細は、GitLab が提供する情報を参照してください。

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2019-10-09」
https://www.jpcert.or.jp/wr/2019/wr193901.html

 

Exim にバッファオーバーフローの脆弱性

最終更新日: 2019/10/09

情報源

US-CERT Current Activity
Exim Releases Security Update
https://www.us-cert.gov/ncas/current-activity/2019/10/01/exim-releases-security-update

概要

Exim には、バッファオーバーフローの脆弱性があります。結果として、遠隔の第三者が任意のコードを実行する可能性があります。
対象となるバージョンは次のとおりです。

– Exim 4.92 から 4.92.2 までのバージョン

この問題は、Exim を開発者や配布元が提供する修正済みのバージョンに更新することで解決します。詳細は、開発者や配布元が提供する情報を参照してください。

関連文書 (英語)

Exim
CVE-2019-16928
https://www.exim.org/static/doc/security/CVE-2019-16928.txt

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2019-10-09」
https://www.jpcert.or.jp/wr/2019/wr193901.html

 

Ruby に複数の脆弱性

最終更新日: 2019/10/09

情報源

Ruby
Ruby 2.6.5 リリース
https://www.ruby-lang.org/ja/news/2019/10/01/ruby-2-6-5-released/

Ruby

Ruby 2.5.7 リリース
https://www.ruby-lang.org/ja/news/2019/10/01/ruby-2-5-7-released/

Ruby

Ruby 2.4.8 リリース
https://www.ruby-lang.org/ja/news/2019/10/01/ruby-2-4-8-released/

概要

Ruby には、複数の脆弱性があります。結果として、遠隔の第三者が、サービス運用妨害 (DoS) 攻撃を行ったり、任意のページを表示させたりするなどの可能性があります。
対象となるバージョンは次のとおりです。

– Ruby 2.6.4 およびそれ以前の Ruby 2.6 系のバージョン
– Ruby 2.5.6 およびそれ以前の Ruby 2.5 系のバージョン
– Ruby 2.4.7 およびそれ以前の Ruby 2.4 系のバージョン

※すでにサポートが終了している Ruby 2.3 系以前のバージョンも、影響を受けるとのことです。
この問題は、該当する製品を Ruby が提供する修正済みのバージョンに更新することで解決します。詳細は、Ruby が提供する情報を参照してください。

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2019-10-09」
https://www.jpcert.or.jp/wr/2019/wr193901.html

 

複数の Cisco 製品に脆弱性

最終更新日: 2019/10/09

情報源

US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2019/10/03/cisco-releases-security-updates

概要

複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可能性があります。
影響度 High の脆弱性情報の対象となる製品は次のとおりです。

– Cisco ASA Software
– Cisco FTD Software
– Cisco FMC Software
– Cisco FXOS Software
– Cisco Unified Communications Manager
– Cisco Unified Communications Manager SME
– Cisco Unified CM IM&P Service
– Cisco Unity Connection

※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、影響度 Medium や Informational の脆弱性情報、アドバイザリが公開されています。詳細は、Cisco が提供する情報を参照してください。
この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新するか、パッチを適用することで解決します。詳細は、Cisco が提供する情報を参照してください。

関連文書（英語）

Cisco Event Response Page

Cisco Event Response: October 2019 Cisco ASA, FMC, and FTD Software Security Advisory Bundled Publication

https://tools.cisco.com/security/center/viewErp.x?alertId=ERP-72541

Cisco Security Advisory

Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software FTP Inspection Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191002-asa-dos

Cisco Security Advisory

Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software IKEv1 Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191002-asa-ftd-ikev1-dos

Cisco Security Advisory

Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software OSPF LSA Processing Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191002-asa-ospf-lsa-dos

Cisco Security Advisory

Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software SIP Inspection Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191002-asa-ftd-sip-dos

Cisco Security Advisory

Cisco Adaptive Security Appliance Software SSL VPN Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191002-asa-ssl-vpn-dos

Cisco Security Advisory

Cisco Firepower Management Center Command Injection Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191002-fmc-com-inj

Cisco Security Advisory

Cisco Firepower Management Center Remote Code Execution Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191002-fmc-rce

Cisco Security Advisory

Cisco Firepower Management Center Remote Code Execution Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191002-fmc-rce-12689

Cisco Security Advisory

Cisco Firepower Management Center SQL Injection Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191002-fmc-sql-inj

Cisco Security Advisory

Cisco Firepower Threat Defense Software Multi-instance Container Escape Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191002-ftd-container-esc

Cisco Security Advisory

Cisco FXOS Software and Firepower Threat Defense Software Command Injection Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191002-fxos-cmd-inject

Cisco Security Advisory

Cisco FTD, FMC, and FXOS Software Pluggable Authentication Module Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191002-ftd-fpmc-dos

Cisco Security Advisory

Multiple Cisco Unified Communications Products Cross-Site Request Forgery Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20191002-cucm-csrf

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2019-10-09」
https://www.jpcert.or.jp/wr/2019/wr193901.html