カテゴリー: セキュリティ情報

「お知らせ」に掲載するセキュリティ情報です（アプリケーションの脆弱性など）。

2017年 10月マイクロソフトセキュリティ更新プログラムに関する注意喚起

　JPCERT/CCからの「2017年 10月マイクロソフトセキュリティ更新プログラムに関する注意喚起」をお知らせします。
各位
JPCERT-AT-2017-0039
JPCERT/CC
2017-09-13
<<< JPCERT/CC Alert 2017-10-11 >>>
2017年 10月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2017/at170039.html

I.概要

マイクロソフトから 2017年10月のセキュリティ更新プログラムが公開されま
した。本情報には、深刻度が「緊急」のセキュリティ更新プログラムが含まれ
ています。脆弱性を悪用された場合、リモートからの攻撃によって任意のコー
ドが実行されるなどの恐れがあります。。
脆弱性の詳細は、次の URL を参照してください。
[修正された脆弱性 (深刻度「緊急」のセキュリティ更新プログラムを含む)]

※ サポート技術情報 (Microsoft Knowledge Base, KB) は、深刻度「緊急」のものを挙げています。

ADV170012

TPM の脆弱性により、セキュリティ機能のバイパス
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV170012

– KB4038786, KB4038793, KB4041676, KB4041679, KB4041687, KB4041689, KB4041690, KB4041691, KB4041693, KB4042895
CVE-2017-8727

Windows シェルのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8727

– KB4041676, KB4041678, KB4041679, KB4041681, KB4041687, KB4041689, KB4041690, KB4041691, KB4041693, KB4042123, KB4042895
CVE-2017-11762

Microsoft Graphics のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11762

– KB4041676, KB4041678, KB4041679, KB4041681, KB4041687, KB4041689,KB4041690, KB4041691, KB4041693, KB4042122, KB4042895
CVE-2017-11763

Microsoft Graphics のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11763

– KB4041676, KB4041678, KB4041679, KB4041681, KB4041687, KB4041689,KB4041690, KB4041691, KB4041693, KB4042122, KB4042895
CVE-2017-11771

Windows Search のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/CVE-2017-11771

– KB4041676, KB4041678, KB4041679, KB4041681, KB4041687, KB4041689,KB4041690, KB4041691, KB4041693, KB4042067, KB4042895
CVE-2017-11779

Windows DNSAPI のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11779

– KB4041676, KB4041679, KB4041687, KB4041689, KB4041690, KB4041691,KB4041693, KB4042895
CVE-2017-11792

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11792

– KB4041676
CVE-2017-11793

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11793

– KB4040685, KB4041676, KB4041681, KB4041689, KB4041691, KB4041693,KB4042895
CVE-2017-11796

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11796

– KB4041676
CVE-2017-11798

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11798

– KB4041676, KB4041689, KB4041691, KB4042895
CVE-2017-11799

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11799

– KB4041676, KB4041689, KB4041691, KB4042895
CVE-2017-11800

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11800

– KB4041689, KB4041691, KB4042895
CVE-2017-11802

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11802

– KB4041676, KB4041689, KB4041691, KB4042895
CVE-2017-11804

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11804

– KB4041676, KB4041689, KB4041691, KB4042895
CVE-2017-11805

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11805

– KB4041676
CVE-2017-11806

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11806

– KB4041676
CVE-2017-11807

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11807

– KB4041676
CVE-2017-11808

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11808

– KB4041676, KB4041689, KB4041691, KB4042895
CVE-2017-11809

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11809

– KB4041676, KB4041689, KB4041691, KB4042895
CVE-2017-11810

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11810

– KB4040685, KB4041676, KB4041681, KB4041689, KB4041691, KB4041693,KB4042895
CVE-2017-11811

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11811

– KB4041676, KB4041689, KB4041691, KB4042895
CVE-2017-11812

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11812

– KB4041676, KB4041689, KB4041691
CVE-2017-11813

Internet Explorer のメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11813

– KB4040685, KB4041681, KB4041693
CVE-2017-11819

Windows Shell のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11819

– KB4041678, KB4041681
CVE-2017-11821

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11821

– KB4041676
CVE-2017-11822

Internet Explorer のメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11822

– KB4040685, KB4041676, KB4041681, KB4041689, KB4041691, KB4041693,KB4042895
なお、マイクロソフトによれば、CVE-2017-11826 (重要) の脆弱性の悪用を確認しているとのことです。
セキュリティ更新プログラムの早期の適用をご検討ください。

II.対策

Microsoft Update、もしくは Windows Update などを用いて、セキュリティ更新プログラムを早急に適用してください。
Microsoft Update / Windows Update

http://www.update.microsoft.com/

Microsoft Update Catalog

https://catalog.update.microsoft.com/

なお、マイクロソフトによると、以下の製品に関して10月10日(米国時間)をもって、セキュリティ更新プログラムの提供を終了するとのことです。
詳細については、次の URL を参照してください。
– Windows 10 Version 1511 (CB:Current Branch / CBB:Current Branch for Business）
Windows 10 Version 1511 に対するセキュリティ更新プログラムの提供終了
https://support.microsoft.com/ja-jp/help/4035050/windows-10-version-1511-will-no-longer-receive-security-updates
– Microsoft Office 2007 を含むその他の製品
2017 年にサポートが終了する製品
https://support.microsoft.com/ja-jp/help/4001737/products-reaching-end-of-support-for-2017

III.参考情報

マイクロソフト株式会社
2017 年 10 月のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-jp/security-guidance/releasenotedetail/313ae481-3088-e711-80e2-000d3a32fc99

マイクロソフト株式会社

2017 年 10 月のセキュリティ更新プログラム (月例)
https://blogs.technet.microsoft.com/jpsecurity/2017/10/11/201710-security-bulletin/

マイクロソフト株式会社

Windows Update: FAQ
https://support.microsoft.com/ja-jp/help/12373/windows-update-faq

JPCERT/CC

Adobe Flash Player の脆弱性 (APSB17-28) に関する注意喚起
https://www.jpcert.or.jp/at/2017/at170035.html

 

 

今回の件につきまして当方まで提供いただける情報がございましたら、ご連絡ください。

一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC)
MAIL: jpcert
TEL:03-3518-4600 FAX: 03-3518-4602
https://www.jpcert.or.jp/

Apache Tomcat における脆弱性に関する注意喚起

　JPCERT/CCからの「Apache Tomcat における脆弱性に関する注意喚起」をお知らせします。
各位
JPCERT-AT-2017-0038
JPCERT/CC
2017-09-20(新規)
2017-10-05(更新)
<<< JPCERT/CC Alert 2017-09-20 >>>
Apache Tomcat における脆弱性に関する注意喚起
https://www.jpcert.or.jp/at/2017/at170038.html

I.概要

Apache Software Foundation は、2017年9月19日 (標準時間) に、Apache Tomcatの脆弱性 (CVE-2017-12615 およびCVE-2017-12616) に関する情報を公開しました。脆弱性(CVE-2017-12615) では、Windows で利用している Apache Tomcatにおいて、readonly パラメータを false に設定し、HTTP PUT リクエストを受け付け可能としている場合に、細工したリクエストを受けることで、遠隔から任意のコードが実行される可能性があります。脆弱性 (CVE-2017-12616) では、VirtualDirContext を利用している場合に、細工したリクエストを受けることで、セキュリティ制限がバイパスされ、VirtualDirContext を使用したリソース配下の JSP ソースコードを閲覧される可能性があります。

脆弱性の詳細については、Apache Software Foundation からの情報を参照してください。

Apache Software Foundation
Fixed in Apache Tomcat 7.0.81
http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.81

 

Apache Software Foundation はそれぞれの脆弱性の深刻度を「Important」と評価しています。「III. 対策」を参考に早期の対応を検討してください。

** 更新: 2017年 9月25日追記*******************************************

Apache Tomcat について、脆弱性 (CVE-2017-12617) に関する情報があります。本脆弱性は Apache Tomcat のreadonly パラメータを false に設定し、HTTP PUT メソッドを有効にしている場合に、遠隔から任意のコードが実行される可能性があります。

2017年9月25日現在、Apache Software Foundation からは、影響を受けるバージョンや詳細については明らかにされておりませんが、JPCERT/CC では、CVE-2017-12615 にて対象となったバージョン以外も影響を受けることを確認しています。脆弱性を悪用した攻撃を防ぐために、「IV. 回避策」を参考に対策を検討してください。
Red Hat Bugzilla

Bug 1494283 – CVE-2017-12617 tomcat: Remote Code Execution bypass for CVE-2017-12615
https://bugzilla.redhat.com/show_bug.cgi?id=1494283
**********************************************************************

II.対象

次のバージョンの Apache Tomcat が本脆弱性の影響を受けます。

– CVE-2017-12615
– Apache Tomcat 7.0.0 から 7.0.79
– CVE-2017-12616
– Apache Tomcat 7.0.0 から 7.0.80
なお、Apache Software Foundation によれば、脆弱性(CVE-2017-12615) は7.0.80 にて修正されているものの、リリース時の問題により、修正プログラムが含まれているバージョンは 7.0.81 となるとのことです。
** 更新: 2017年10月 4日追記*******************************************

CVE-2017-12617 の脆弱性については次のバージョンの Apache Tomcat が影響を受けます。

– CVE-2017-12617
– Apache Tomcat 9.0.0.M1 から 9.0.0
– Apache Tomcat 8.5.0 から 8.5.22
– Apache Tomcat 8.0.0.RC1 から 8.0.46
– Apache Tomcat 7.0.0 から 7.0.81

**********************************************************************

III.対策

Apache Software Foundation より、修正済みのバージョンが提供されています。修正済みのバージョンを適用することをご検討ください。

– Apache Tomcat 7.0.81
** 更新: 2017年10月 4日追記*******************************************

Apache Software Foundation より、Apache Tomcat 9系および 8.5系において
は CVE-2017-12617 の脆弱性を修正したバージョンが提供されています。

– Apache Tomcat 9.0.1
– Apache Tomcat 8.5.23
Apache Software Foundation
Fixed in Apache Tomcat 9.0.1
http://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.1
Apache Software Foundation
Fixed in Apache Tomcat 8.5.23
http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.23
なお、8.0系および 7系については 10月4日時点で、修正済みのバージョンは提供されておりませんので、「IV. 回避策」を参考に対策を検討してください。

**********************************************************************

** 更新: 2017年10月 5日追記*******************************************

Apache Software Foundation より、Apache Tomcat 8.0系および 7系の修正済みのバージョンが追加で提供されています。早期の適用をご検討ください。

– Apache Tomcat 9.0.1
– Apache Tomcat 8.5.23
– Apache Tomcat 8.0.47
– Apache Tomcat 7.0.82
Apache Software Foundation
Fixed in Apache Tomcat 9.0.1
http://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.1
Apache Software Foundation
Fixed in Apache Tomcat 8.5.23
http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.23
Apache Software Foundation
Fixed in Apache Tomcat 8.0.47
http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.0.47
Apache Software Foundation
Fixed in Apache Tomcat 7.0.82
http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.82

**********************************************************************

** 更新: 2017年 9月25日追記*******************************************

IV. 回避策

2017年9月25日現在、Apache Software Foundation からは、脆弱性 (CVE-2017-12617)
への対策を施した修正済みのバージョンは提供されておりません。

readonly パラメータを false に設定している場合、JPCERT/CC にて検証したところ、Windows 以外の OS で動作している場合や、 脆弱性 (CVE-2017-12615)の対象となる Apache Tomcat 7.0.0 から 7.0.79 以外のバージョンでも影響を受け、悪用される可能性があることを確認しています。
次の設定を行い脆弱性の影響を軽減することを検討してください。
– Apache Tomcat において、readonly パラメータを true に設定するか、HTTP PUT リクエストを受け付けないよう設定を行う。
設定例) web.xml ファイルに追記し、readonly パラメータを true に設定する

<init-param>
<param-name>readonly</param-name>
<param-value>true</param-value>
</init-param>

なお、readonly パラメータは、デフォルトでは、true に設定されています。
設定の変更ができない場合は、インターネットからのアクセスに対して適切にアクセス制限を行うこともお勧めします。

**********************************************************************

V. 参考情報

Apache Software Foundation
Fixed in Apache Tomcat 7.0.81
http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.81

Apache Software Foundation
[SECURITY] CVE-2017-12615 Apache Tomcat Remote Code Execution via JSP upload
http://mail-archives.us.apache.org/mod_mbox/www-announce/201709.mbox/%3cde541c4a-55b1-a4d3-4fbe-f8e3800b920f@apache.org%3e
Apache Software Foundation
[SECURITY] CVE-2017-12616 Apache Tomcat Information Disclosure
http://mail-archives.us.apache.org/mod_mbox/www-announce/201709.mbox/%3c16df1f59-ea31-0789-f0c8-5432c60de8fc@apache.org%3e
** 更新: 2017年10月 4日追記*******************************************

Apache Software Foundation
Fixed in Apache Tomcat 9.0.1
http://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.1

Apache Software Foundation
Fixed in Apache Tomcat 8.5.23
http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.23

**********************************************************************

** 更新: 2017年10月 5日追記*******************************************

Apache Software Foundation
Fixed in Apache Tomcat 8.0.47
http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.0.47

Apache Software Foundation
Fixed in Apache Tomcat 7.0.82
http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.82

**********************************************************************

________

改訂履歴
2017-09-20 初版
2017-09-25 「I. 概要」、「IV. 回避策」を追記
2017-10-04 「II. 対象」「III. 対策」「V. 参考」を追記
2017-10-05 「III. 対策」「V. 参考」を追記

 

今回の件につきまして当方まで提供いただける情報がございましたら、ご連絡ください。

一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC)
MAIL: jpcert
TEL:03-3518-4600 FAX: 03-3518-4602
https://www.jpcert.or.jp/

DLL 読み込みに関する脆弱性に注意

最終更新日: 2017/10/05

情報源

情報処理推進機構 (IPA)
【注意喚起】Windowsアプリケーションの利用における注意
https://www.ipa.go.jp/security/ciadr/vul/20170928_dll.html

概要

2017年9月28日、情報処理推進機構 (IPA) は、「【注意喚起】Windowsアプリケーションの利用における注意」を公開しました。この注意喚起は、DLL 読み込みに関する脆弱性の報告が2017年4月以降に急増したことを受けて公開されたものです。この脆弱性によって、第三者が任意のコードを実行する可能性があります。IPA では、次の対策を推奨しています。
– アプリケーションをダウンロードする場合は、ダウンロードフォルダに保存せず、新規にフォルダを作成し、そのフォルダに保存する
– 実行するアプリケーションと同一フォルダ内に正規のファイル以外が保存されていないかを確認する

関連文書（日本語）

JPCERT/CC WEEKLY REPORT 2017-05-31号【一口メモ】

Windows アプリケーションの DLL 読み込みに関する脆弱性について
https://www.jpcert.or.jp/tips/2017/wr172001.html

Japan Vulnerability Notes JVNTA#91240916

Windows アプリケーションによる DLL 読み込みやコマンド実行に関する問題
https://jvn.jp/ta/JVNTA91240916/

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2017-10-04」
https://www.jpcert.or.jp/wr/2017/wr173801.html

 

「Apache Struts2 に複数の脆弱性」に関する追加情報

最終更新日: 2017/10/05

情報源

US-CERT Current Activity
Oracle Patches Apache Vulnerabilities
https://www.us-cert.gov/ncas/current-activity/2017/09/25/Oracle-Patches-Apache-Vulnerabilities

概要

JPCERT/CC WEEKLY REPORT 2017-09-13号【1】で紹介した「Apache Struts2 に複数の脆弱性」（当該記事は本サイト「Apache Struts2 に複数の脆弱性」でもお知らせしております）に関する追加情報です。
Oracle から問題を修正したバージョンの Oracle 製品が公開されました。詳細は、Oracle が提供する情報を参照してください。

関連文書（英語）

Oracle

Oracle Security Alert Advisory – CVE-2017-9805
http://www.oracle.com/technetwork/security-advisory/alert-cve-2017-9805-3889403.html

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2017-10-04」
https://www.jpcert.or.jp/wr/2017/wr173801.html

 

Mozilla Firefox に複数の脆弱性

最終更新日: 2017/10/05

情報源

US-CERT Current Activity
Mozilla Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2017/09/28/Mozilla-Releases-Security-Updates

概要

Mozilla Firefox には、複数の脆弱性があります。結果として、遠隔の第三者が、任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可能性があります。
対象となるバージョンは次のとおりです。

– Mozilla Firefox 56 より前のバージョン
– Mozilla Firefox ESR 52.4 より前のバージョン

この問題は、Mozilla Firefox を Mozilla が提供する修正済みのバージョンに更新することで解決します。詳細は、Mozilla が提供する情報を参照してください。

関連文書（英語）

Mozilla

Mozilla Foundation Security Advisories (September 28, 2017)
https://www.mozilla.org/en-US/security/advisories/

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2017-10-04」
https://www.jpcert.or.jp/wr/2017/wr173801.html

 

複数の Apple 製品に脆弱性

最終更新日: 2017/10/05

情報源

US-CERT Current Activity
Apple Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2017/09/25/Apple-Releases-Security-Updates

US-CERT Current Activity

Apple Releases Security Update for iOS
https://www.us-cert.gov/ncas/current-activity/2017/09/26/Apple-Releases-Security-Update-iOS

概要

複数の Apple 製品には、脆弱性があります。結果として、遠隔の第三者が、任意のコードを実行したり、サービス運用妨害(DoS) 攻撃を行ったりするなどの可能性があります。
対象となる製品およびバージョンは次のとおりです。

– iCloud for Windows 7.0 より前のバージョン
– macOS High Sierra 10.13 より前のバージョン
– macOS Server 5.4 より前のバージョン
– iOS 11.0.1 より前のバージョン

この問題は、該当する製品を Apple が提供する修正済みのバージョンに更新することで解決します。詳細は、Apple が提供する情報を参照してください。

関連文書（英語）

Apple

About the security content of iCloud for Windows 7.0
https://support.apple.com/en-us/HT208142

Apple

About the security content of macOS High Sierra 10.13
https://support.apple.com/en-us/HT208144

Apple

About the security content of macOS Server 5.4
https://support.apple.com/en-us/HT208102

Apple

About the security content of iOS 11.0.1
https://support.apple.com/en-us/HT208143

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2017-10-04」
https://www.jpcert.or.jp/wr/2017/wr173801.html

 

マルウエアが仕込まれた「CCleaner」が配布されていた問題

公開日：2017/09/25

システムクリーニングツール「CCleaner」が改ざんをうけ、マルウェアが混入されたバージョンが配布されていたとの報道が確認されました。

該当バージョンや対処法については、下記ページをご覧下さい。

JPCERT　マルウエアが仕込まれた「CCleaner」が配布されていた問題
https://www.jpcert.or.jp/newsflash/2017092001.html

該当するバージョンを使用していた場合、速やかに情報メディア教育センター　技術室までご連絡下さい。

2017年 9月マイクロソフトセキュリティ更新プログラムに関する注意喚起

　JPCERT/CCからの「2017年 9月マイクロソフトセキュリティ更新プログラムに関する注意喚起」をお知らせします。
各位
JPCERT-AT-2017-0036
JPCERT/CC
2017-09-13
<<< JPCERT/CC Alert 2017-09-13 >>>
2017年 9月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2017/at170036.html

I.概要

マイクロソフトから 2017年 9月のセキュリティ更新プログラムが公開されました。本情報には、深刻度が「緊急」のセキュリティ更新プログラムが含まれています。脆弱性を悪用された場合、リモートからの攻撃によって任意のコードが実行されるなどの恐れがあります。
脆弱性の詳細は、次の URL を参照してください。
[修正された脆弱性 (深刻度「緊急」のセキュリティ更新プログラムを含む)]

※ サポート技術情報 (Microsoft Knowledge Base, KB) は、深刻度「緊急」
のものを挙げています。

ADV170013

9 月フラッシュのセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV170013
– KB4038806

CVE-2017-0161

NetBIOS のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-0161
– KB4038777, KB4038779, KB4038781, KB4038782, KB4038783, KB4038786,
KB4038788, KB4038792, KB4038793, KB4038799

CVE-2017-8649

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8649
– KB4038782, KB4038788

CVE-2017-8660

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8660
– KB4038782, KB4038783, KB4038788

CVE-2017-8676

Windows GDI+ の情報漏えいの脆弱性
https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/CVE-2017-8676
– KB4011134

CVE-2017-8682

Win32k Graphics のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8682
– KB3213638, KB3213641, KB4011134, KB4038777, KB4038779, KB4038781
KB4038782, KB4038783, KB4038786, KB4038788, KB4038792, KB4038793
KB4038799, KB4039384

CVE-2017-8686

Windows DHCP Server のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8686
– KB4038782, KB4038786, KB4038792, KB4038793, KB4038799

CVE-2017-8696

Microsoft Graphics コンポーネントのリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8696
– KB3213631, KB3213632, KB3213649, KB4011125, KB4038777, KB4038779
KB4039384

CVE-2017-8728

Microsoft PDF のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8728
– KB4038781, KB4038782, KB4038783, KB4038786, KB4038788, KB4038792
KB4038793, KB4038799

CVE-2017-8729

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8729
– KB4038788

CVE-2017-8731

Microsoft Edge のメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8731
– KB4038782

CVE-2017-8734

Microsoft Edge のメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8734
– KB4038781, KB4038782, KB4038783, KB4038788

CVE-2017-8737

Microsoft PDF のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8737
– KB4038781, KB4038782, KB4038783, KB4038788, KB4038792, KB4038793

CVE-2017-8738

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8738
– KB4038781, KB4038782, KB4038783

CVE-2017-8740

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8740
– KB4038788

CVE-2017-8741

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8741
– KB4036586, KB4038777, KB4038781, KB4038782, KB4038783, KB4038788
KB4038792

CVE-2017-8747

Internet Explorer のメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8747
– KB4036586, KB4038777, KB4038781, KB4038782, KB4038783, KB4038788
KB4038792

CVE-2017-8748

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8748
– KB4036586, KB4038777, KB4038781, KB4038782, KB4038783, KB4038788
KB4038792

CVE-2017-8749

Internet Explorer のメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8749
– KB4036586, KB4038777, KB4038781, KB4038782, KB4038783, KB4038788
KB4038792

CVE-2017-8750

Microsoft ブラウザーのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8750
– KB4036586, KB4038777, KB4038781, KB4038782, KB4038783, KB4038788
KB4038792

CVE-2017-8751

Microsoft Edge のメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8751
– KB4038788

CVE-2017-8752

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8752
– KB4038782, KB4038783, KB4038788

CVE-2017-8753

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8753
– KB4038781, KB4038782, KB4038783, KB4038788

CVE-2017-8755

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8755
– KB4038782, KB4038783, KB4038788

CVE-2017-8756

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8756
– KB4038781, KB4038782, KB4038783, KB4038788

CVE-2017-8757

Microsoft Edge のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-8757
– KB4038781, KB4038782, KB4038783, KB4038788

CVE-2017-11764

スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11764
– KB4038782, KB4038788

CVE-2017-11766

Microsoft Edge のメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2017-11766
– KB4038781, KB4038782, KB4038783, KB4038788

なお、マイクロソフトによれば、CVE-2017-8759 (重要) の脆弱性の悪用を確認しているとのことです。

セキュリティ更新プログラムの早期の適用をご検討ください。

II.対策

Microsoft Update、もしくは Windows Update などを用いて、セキュリティ更新プログラムを早急に適用してください。
Microsoft Update / Windows Update

http://www.update.microsoft.com/

Microsoft Update Catalog

https://catalog.update.microsoft.com/

III.参考情報

マイクロソフト株式会社
2017 年 9 月のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-jp/security-guidance/releasenotedetail/5984735e-f651-e711-80dd-000d3a32fc99

マイクロソフト株式会社

2017 年 9 月のセキュリティ更新プログラム (月例)
https://blogs.technet.microsoft.com/jpsecurity/2017/09/13/201709-security-bulletin/

マイクロソフト株式会社

Windows Update: FAQ
https://support.microsoft.com/ja-jp/help/12373/windows-update-faq

アドビシステムズ株式会社

Security updates available for Flash Player | APSB17-28
https://helpx.adobe.com/security/products/flash-player/apsb17-28.html

JPCERT/CC

Adobe Flash Player の脆弱性 (APSB17-28) に関する注意喚起
https://www.jpcert.or.jp/at/2017/at170035.html

 

 

今回の件につきまして当方まで提供いただける情報がございましたら、ご連絡ください。

一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC)
MAIL: jpcert
TEL:03-3518-4600 FAX: 03-3518-4602
https://www.jpcert.or.jp/

Adobe Flash Player の脆弱性 (APSB17-28) に関する注意喚起

　JPCERT/CCからの「Adobe Flash Player の脆弱性(APSB17-28) に関する注意喚起」をお知らせします。
各位
JPCERT-AT-2017-0035
JPCERT/CC
2017-09-13
<<< JPCERT/CC Alert 2017-09-13 >>>
Adobe Flash Player の脆弱性 (APSB17-28) に関する注意喚起
https://www.jpcert.or.jp/at/2017/at170035.html

I.概要

アドビから Adobe Flash Player に関する脆弱性の情報(APSB17-28) が公開されました。脆弱性を悪用したコンテンツをユーザが開いた場合、リモートからの攻撃によって、任意のコードが実行される恐れがあります。脆弱性の詳細については、アドビの情報を確認してください。

Security updates available for Flash Player | APSB17-28
https://helpx.adobe.com/security/products/flash-player/apsb17-28.html

II.対象

対象となる製品とバージョンは次のとおりです。

– Adobe Flash Player Desktop Runtime (26.0.0.151) およびそれ以前
(Windows, Macintosh および Linux)

– Adobe Flash Player for Google Chrome (26.0.0.151) およびそれ以前

(Windows, Macintosh, Linux および Chrome OS)

– Adobe Flash Player for Microsoft Edge and Internet Explorer 11

(26.0.0.151) およびそれ以前
(Windows 10 および Windows 8.1)
お使いの Adobe Flash Player のバージョンは、次のページで確認できます。
Flash Player ヘルプ

https://helpx.adobe.com/jp/flash-player.html

III.対策

Adobe Flash Player を次の最新のバージョンに更新してください。

– Adobe Flash Player Desktop Runtime (27.0.0.130)
(Windows, Macintosh および Linux)

– Adobe Flash Player for Google Chrome (27.0.0.130)

(Windows, Macintosh, Linux および Chrome OS)

– Adobe Flash Player for Microsoft Edge and Internet Explorer 11

(27.0.0.130)
(Windows 10 および Windows 8.1)
Adobe Flash Player ダウンロードセンター

https://get.adobe.com/jp/flashplayer/

ブラウザに同梱されているなど、アドビ以外の配布元より提供される場合には、配布元からの情報に注意してください。なお、次のブラウザについては、Adobe Flash Player が同梱されています。
– Internet Explorer 11 (Windows 10 および Windows 8.1)

– Microsoft Edge (Windows 10)
– Google Chrome

Internet Explorer 11 や Microsoft Edge では、Windows Update などで最新の Adobe Flash Player が更新プログラムとして提供されます。GoogleChrome は、Google Chrome のアップデート時に、Adobe Flash Player が更新されます。詳細は、次の情報を参照してください。
ADV170013 | 2017 年 9 月フラッシュのセキュリティ更新プログラム

https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV170013

※ Internet Explorer 以外のブラウザを使用している場合でも、Microsoft Office のように、Internet Explorer 用にインストールされているAdobe Flash Player を使用するソフトウエアがありますので、Internet Explorer 用の Adobe Flash Player も更新してください。

IV. 回避策

アップデートを適用するまでの間は、脆弱性の影響を軽減するため、次に記載する回避策を参考に、ブラウザ上で Flash を無効にしたり、Flash の表示を制限したりすることも検討してください。
なお、回避策を適用することで、一部アプリケーションが動作しなくなるなどの不具合が発生する可能性があります。
回避策の適用については、十分に影響範囲を考慮の上、行ってください。
– ブラウザ上で Flash を無効にしてください。または Click-to-Play 機能を有効にしてください。なお、Microsoft Edge では、Flash を無効にすることが回避策として挙げられます。詳細は参考情報を参照してください。
– Internet Explorer の「インターネット オプション」からセキュリティタブを開き、インターネットゾーンおよびローカルイントラネットゾーンのセキュリティのレベルを「高」に設定してください。

V. 参考情報

アドビシステムズ株式会社
Security updates available for Flash Player | APSB17-28
https://helpx.adobe.com/security/products/flash-player/apsb17-28.html

アドビシステムズ株式会社

Security Bulletins Posted
https://blogs.adobe.com/psirt/?p=1491

マイクロソフト株式会社

ADV170013 | 2017 年 9 月フラッシュのセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV170013

マイクロソフト株式会社

Microsoft Edge における Flash Player の有効・無効
https://answers.microsoft.com/ja-jp/windows/wiki/apps_windows_10-msedge/microsoft-edge/248bf728-44f4-4b4a-ae50-8b66ee7a96ca

 

 

今回の件につきまして当方まで提供いただける情報がございましたら、ご連絡ください。

一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC)
MAIL: jpcert
TEL:03-3518-4600 FAX: 03-3518-4602
https://www.jpcert.or.jp/

Apache Struts2 に複数の脆弱性

最終更新日: 2017/09/13

情報源

US-CERT Current Activity
Apache Software Foundation Releases Security Update
https://www.us-cert.gov/ncas/current-activity/2017/09/06/Apache-Software-Foundation-Releases-Security-Update

概要

Apache Struts2 には、複数の脆弱性があります。結果として、遠隔の第三者が、細工したリクエストを送信することで、任意のコードを実行するなどの可能性があります。
対象となるバージョンは以下のとおりです。

– Apache Struts 2.0.1 から Apache Struts 2.3.33 まで
– Apache Struts 2.5 から Apache Struts 2.5.12 まで

この問題は、Apache Struts を Apache Software Foundation が提供する修正済みのバージョンに更新することで解決します。詳細は、Apache Software Foundation が提供する情報を参照してください。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#92761484
Apache Struts2 に任意のコードが実行可能な脆弱性 (S2-052)
https://jvn.jp/vu/JVNVU92761484/

JPCERT/CC Alert 2017-09-06

Apache Struts 2 の脆弱性 (S2-052) に関する注意喚起
https://www.jpcert.or.jp/at/2017/at170033.html

関連文書（英語）

Apache Software Foundation

S2-050
https://struts.apache.org/docs/s2-050.html

Apache Software Foundation

S2-051
https://struts.apache.org/docs/s2-051.html

Apache Software Foundation

S2-052
https://struts.apache.org/docs/s2-052.html

Apache Software Foundation

S2-053
https://struts.apache.org/docs/s2-053.html

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2017-09-13」
https://www.jpcert.or.jp/wr/2017/wr173501.html