更新日：＜2016.09.26＞
iCloud 6.0 では、WebKit コンポーネントに存在するメモリ破損 (memory corruption：CWE-119) に起因して任意のコード実行を許してしまう問題 (CVE-2016-4762) を解決しています。
macOS Server 5.2 では、apache、ServerDocs Server コンポーネントに存在する中間者攻撃や不正なサーバに誘導できる脆弱性 (CVE-2016-4694) の解決するとともに、RC4 アルゴリズムのサポートを終了 (CVE-2016-4754) しました。
Safari 10 では、Safari、WebKit 関連のコンポーネントに存在する情報漏洩、なりすましや、メモリ破損に起因して任意のコード実行などを許してしまう問題、計 21 件の脆弱性を解決しています。
macOS Sierra 10.12 では、apache、オーディオ、カーネル、libarchive、libxml2、libxslt、セキュリティなどのコンポーネントに存在する情報漏洩、なりすましや、NULL ポインタ参照 (NULL pointer dereference：CWE-476)、メモリ破損、型の取り違え (type confusion：CWE-843)、に起因してサービス不能攻撃、任意のコード実行を許してしまう問題、計 65 件の脆弱性を解決しています。
iOS 10 のセキュリティアップデートが更新されました。更新されたアップデートでは、オーディオ、CFNetwork、カーネル、WebKit 関連などのコンポーネントに存在する情報漏洩、なりすまし、サービス不能攻撃、任意のコード実行を許してしまう問題、計 49 件の脆弱性を解決しています。
iTunes 12.5.1 では、WebKit 関連のコンポーネントに存在する計 11 件の脆弱性を解決しています。対象となった脆弱性は、情報漏洩や、メモリ破損に起因してサービス不能攻撃などを許してしまう問題です。
tvOS 10 では、オーディオ、カーネル、libxml2、libxslt、セキュリティ、WebKit 関連などのコンポーネントに存在する計 29 件の脆弱性を解決しています。対象となった脆弱性は、情報漏洩や、メモリ破損に起因して任意のコード実行やサービス不能攻撃などを許してしまう問題です。
Firefox 49.0 では、任意のコード実行を許してしまう脆弱性、サービス不能攻撃、情報漏洩、なりすまし、セキュリティ機構の迂回を許してしまう脆弱性など、1 件のセキュリティアドバイザリに含まれる計 17 件の脆弱性を解決しています。また、ESR としてバージョン 45.4 がリリースされました。任意のコード実行はメモリ破損の脆弱性に起因しています。
電子メールセキュリティのアプライアンス製品である Email Security Appliance の Cisco IronPort AsyncOS には、テスト、デバックインタフェースを介して、管理者権限での機器の制御を許してしまう脆弱性 (CVE-2016-6406) が存在します。
Cloud Services Platform 2100 には、入力データ処理が適切でないために、プラットフォーム OS の管理者権限で任意のコマンド実行を許してしまう脆弱性 (CVE-2016-6373) が存在します。
OpenSSL 1.1.0a では、OCSP Status Request extension 処理、SSL_peek 関数の呼出し処理、メモリ割り当て処理に存在するサービス不能攻撃を許してしまう 4 件の脆弱性 (CVE-2016-6304、CVE-2016-6305、CVE-2016-6307、CVE-2016-6308) を解決しています。OpenSSL 1.0.2i, 1.0.1u では、SWEET32 攻撃、DSA 署名アルゴリズムに対するサイドチャネル攻撃を許してしまう脆弱性 (CVE-2016-2183、CVE-2016-2178)、サービス不能攻撃を許してしまう脆弱性 (CVE-2016-6304、CVE-2016-6302、CVE-2016-2179、CVE-2016-2181)、バッファオーバーフロー、領域外参照、領域外書き出しに起因する脆弱性 (CVE-2016-6303、CVE-2016-2182、CVE-2016-2180、CVE-2016-6306) など、計 11 件の脆弱性を解決しています。
Tomcat 7.0.71 では、中間者攻撃や不正なサーバに誘導できる脆弱性 (CVE-2016-5388) を解決するため、環境変数として参照する HTTP ヘッダを規定する envHttpHeaders パラメタが導入されました。脆弱性は、クライアントが指定したヘッダ Proxy の値を環境変数 HTTP_PROXY として参照してしまうことに起因しています。ただし、このバージョンは、リリースされていません。
Tomcat 7.0.72 は、バグの修正や改善を目的としたリリースです。Tomcat Native 1.2.8 にアップデートするなどの強化を施しています。リリース時点で、セキュリティアップデートの報告はありません。
Samba 4.4.6 では、ctdb-daemon、s3-krb5、s3-libnet、s3-libsmb、s3-winbind、s3-smbd、vfs_acl_common モジュールなどに存在する 58 件の不具合を修正しています。セキュリティアップデートは含まれていません。
Red Hat Enterprise Linux Server に搭載されている Firefox のセキュリティアップデート (RHSA-2016:1912) がリリースされました。このアップデートでは、Firefox ESR 45.4 で解決した脆弱性に対応しています。
エネルギー分野で利用されているロシア BINOM3 (binom3.ru) の Electric Power Quality Meter には、クロスサイトスクリプティング、情報漏洩、アクセス制御の迂回に関する注意喚起が報告されています。
台湾 MOXA (moxa.com) の Active OPC Server には、引用符で囲まれていないプログラムパス (Unquoted Service Path) 問題に起因し、アクセス権限の昇格を許してしまう脆弱性 (CVE-2016-5793) が存在します。Active OPC Server は、HMI または SCADA システムのための OPC ドライバとして動作する製品で、商業施設、重要製造業、エネルギー、輸送分野などで利用されています。
担当：寺田、大西／HIRT
