更新日：＜2016.12.05＞
Firefox 50.0.2 では、SVG アニメーション処理に存在する任意のコード実行を許してしまう脆弱性 (CVE-2016-9079) を解決しています。脆弱性はメモリの解放後使用 (use-after-free：CWE-416) に起因する問題です。また、ESR としてバージョン 45.5.1 がリリースされました。
Firefox 50.0.1 では、リダイレクトが行われた際に、参照元サイトに関する属性が適切に引き継がれないために、なりすましを許してしまう脆弱性 (CVE-2016-9078) を解決しています。
Thunderbird 45.5 では、任意のコード実行を許してしまう脆弱性、サービス不能攻撃、情報漏洩、なりすましを許してしまう脆弱性など、1 件のセキュリティアドバイザリに含まれる計 7 件の脆弱性を解決しています。
バージョン 55 がリリースされました。Windows/Mac/Linux 版 55.0.2883.75 では、メモリの解放後使用 (use-after-free：CWE-416)、ユニバーサルクロスサイトスクリプティング (UXSS)、領域外メモリへの書き出し (out-of-bounds write：CWE-787) など、計 36 件の脆弱性 (CVE-2016-5203 〜 CVE-2016-5226 他) を解決しています。
Windows/Mac/Linux 版 54.0.2840.101 は、バグの修正とセキュリティアップデートを目的としたリリースです。リリース時点で、セキュリティアップデートの詳細はありません。
公共衛生・ヘルスケアなどで利用されている英 Smiths Group の Smiths-Medical (smiths-medical.com) の CADD-Solis Medication Safety ソフトウェアには、医薬品ライブラリの改ざん、ユーザ追加削除、権限変更などを許してしまう脆弱性 (CVE-2016-8355)、接続先に対する通信路上での確認が適切でないために、中間者攻撃を許してしまう脆弱性 (CVE-2016-8358) が存在します。
独 Siemens (siemens.com) の SICAM PAS (Power Automation System) には、インストールの際に工場設定アカウントのパスワードがハードコーディングされる問題 (CVE-2016-8567)、データベースに格納されているデータからユーザのパスワードを復元できてしまう問題 (CVE-2016-8566)、ポート番号 19235/TCP への不正なパケットにより、ファイルのアップロード、ダウンロード、削除などを許してしまう脆弱性 (CVE-2016-9156)、ポート番号 19234/TCP への不正なパケットにより、サービス不能攻撃を許してしまう脆弱性 (CVE-2016-9157) が存在します。PAS は、エネルギー分野で利用されている配電用変電所向けの制御システム製品です。
重要製造業、エネルギー、輸送分野などで利用されている台湾 MOXA (moxa.com) の NPort シリーズには、管理者権限パスワードの管理が適切でない問題 (CVE-2016-9361)、認証なしにネットワーク経由でファームウェアをアップデートを許してしまう問題 (CVE-2016-9369)、バッファオーバーフローに起因して任意のコード実行を許してしまう問題 (CVE-2016-9363)、クロスサイトスクリプティング問題 (CWE-79)(CVE-2016-9371)、クロスサイトリクエストフォージェリ問題 (CWE-352)(CVE-2016-9365)、ブルートフォース攻撃により認証機能の迂回を許してしまう問題 (CWE-307)(CVE-2016-9366)、パスワードなどのアカウント情報が平文のまま格納されている問題 (CWE-256)(CVE-2016-9348)、リソース消費を意図するサービス不能攻撃を許してしまう問題 (CVE-2016-9367) が存在します。NPort シリーズはシリアルと Modbus/TCP 接続、シリアルとイーサネット接続などの接続機器です。
商業施設、重要製造業、農業・食料分野などで利用されている三菱電機の MELSEC-Q シリーズイーサネットインタフェースモジュールには、パスワードの漏洩を許してしまう脆弱性 (CVE-2016-8370)、サービス不能攻撃を許してしまう脆弱性 (CVE-2016-8368) が存在します。パスワードの漏洩は強度を持った暗号化方式で認証情報を保護していないことに、サービス不能攻撃はポート番号 5002/TCP 経由で MELSEC-Q PLC に接続できることに起因しています。
商業施設、重要製造業、エネルギー分野などで利用されている台湾 Advantech (advantech.com) の SUSIAccess サーバには、ディレクトリトラバーサル問題 (CWE-22) に起因して情報漏洩を許してしまう脆弱性 (CVE-2016-9349)、ファイルのアップロードを許してしまう脆弱性 (CVE-2016-9351)、管理者権限のパスワードがプログラムにハードコーディングされている問題 (CWE-259)(CVE-2016-9353) が存在します。SUSIAccess サーバは、インテリジェントデバイスを遠隔管理する製品です。
化学、エネルギー分野などで利用されている Emerson (emerson.com) の分散型制御システム (DCS) Delta-V の無線 I/O カードは、SSH サービスが有効状態になっている問題 (CVE-2016-9347) が存在します。
化学、エネルギー分野などで利用されている Emerson (emerson.com) の分散型制御システム (DCS) Delta-V の Easy Security Management には、分散型制御システムでのアクセス権限の昇格を許してしまう脆弱性 (CVE-2016-9345) が存在します。
商業施設、重要製造業、エネルギー、上下水道分野などで利用されている Emerson (emerson.com) の Liebert SiteScan には、外部に置かれたファイルを 呼び出す XXE (Xml eXternal Entity) 問題に起因して任意のコード実行や情報漏洩を許してしまう脆弱性 (CVE-2016-8348) が存在します。Liebert SiteScan は、Web ベースのデータセンタ向け監視製品です。
PHP 7.1.0 は、null 許容型、複数の例外を一つの catch 構文で取り扱うなど、多くの改善と新しい機能をサポートした 7.1 系の最初のバージョンです。Core、GD、Standard などのコンポーネントに存在する整数オーバーフロー、メモリの解放後使用 (use-after-free：CWE-416)、NULL ポインタ参照 (NULL pointer dereference：CWE-476) など、計 288 件の不具合を修正しています。
Red Hat Enterprise Linux Server に搭載されている Firefox、Thunderbird、XML 処理用の C ライブラリ expat のセキュリティアップデート (RHSA-2016:2843、RHSA-2016:2825、RHSA-2016:2824) がリリースされました。
このアップデートでは、Firefox ESR 45.5.1、Thunderbird 45.5 で解決した脆弱性に対応しています。expat では、領域外のメモリ参照 (out-of-bounds read：CWE-125) に起因して任意のコード実行やサービス不能攻撃を許してしまう脆弱性 (CVE-2016-0718) を解決しています。
担当：寺田、大西／HIRT
