更新日：＜2017.01.16＞
Adobe Reader ならびに Acrobat のバージョン XI (11.0.19)、Acrobat Reader DC ならびに Acrobat DC (15.023.20053 / 15.006.30279) では、任意のコード実行、セキュリティ機構の迂回を許してしまう脆弱性、計 29 件の脆弱性を解決しています。任意のコード実行を許してしまう脆弱性 (CVE-2017-2939 〜 CVE-2017-2946、CVE-2017-2948 〜 CVE-2017-2967) は、型の取り違え (type confusion：CWE-843)、メモリの解放後使用 (use-after-free：CWE-416)、メモリ破損 (memory corruption：CWE-119)、ヒープバッファオーバーフローに起因しています。
Adobe Reader ならびに Acrobat の脆弱性報告件数
Adobe Flash Player 24.0.0.194 では、計 13 件の脆弱性を解決しています。脆弱性は、メモリの解放後使用 (use-after-free：CWE-416)、バッファオーバーフロー、メモリ破損 (memory corruption：CWE-119) に起因して任意のコード実行を許してしまう問題 (CVE-2017-2925 〜 CVE-2017-2928、CVE-2017-2930 〜 CVE-2017-2937)、セキュリティ機構の迂回を許してしまう問題 (CVE-2017-2938) です。
Adobe Flash Player の脆弱性報告件数
2017年 1月の月例セキュリティアップデートでは、4 件のセキュリティ更新プログラムが公開されました。これらにより、3 件のマイクロソフト製品のセキュリティ問題を解決しています。脆弱性による影響は、任意のコード実行、サービス不能、アクセス権限の昇格です。
家庭使用向けに設計された心臓モニタリングシステムである St. Jude Medical の Merlin@home トランスミッター には、St. Jude Medical Web サイト Merlin.net との通信チャネルの識別が適切でないために、攻撃者による通信への介入や阻害などの中間者攻撃を許してしまう脆弱性 (CVE-2017-5149) が存在します。
Web サーバが同梱されたエネルギー監視製品である Carlo Gavazzi (gavazziautomation.com) の VMU-C EM、VMU-C PV には、アクセス制御が適切でないために、認証なしにアプリケーションアクセスを許してしまう脆弱性 (CVE-2017-5144)、クロスサイトリクエストフォージェリ (CVE-2017-5145)、重要な情報が平文のまま格納されている問題 (CVE-2017-5146) が存在します。
VideoInsight(video-insight.com) の Web Client には、SQL インジェクション問題 (CWE-89)(CVE-2017-5151) が存在します。Web Client は、ビデオ管理システムへの Web アクセスを提供する製品です。
商業施設、重要製造業、エネルギー分野などで利用されている、台湾 Advantech (advantech.com) のリモート制御および管理機能を提供する Advantech Webaccess HMI/SCADA 製品には、SQL インジェクション問題 (CWE-89)(CVE-2017-5154)、Web サーバへの不正な URL アクセスにより認証の迂回を許してしまう脆弱性 (CVE-2017-5152) が存在します。
米 OSIsoft (osisoft.com) の PI 製品である PI Coresight、PI Web API には、情報漏洩を許してしまう脆弱性 (CVE-2017-5153) が存在します。この問題は、サーバログファイルが参照可能になることに起因しています。PI Coresight は、データ分析、モバイル端末による情報共有向けの製品です。
Apache httpd 2.2.32 では、中間者攻撃や不正なサーバに誘導できる脆弱性 (CVE-2016-5387)、不正なクライアントやプロキシによるキャッシュ汚染を許してしまう HTTP 要求処理の脆弱性 (CVE-2016-8743) を解決しています。なお、2.2 系の保守サポートについては 2017年 6月まで、セキュリティサポートについては 2017年12月までを想定しているとしています。
BIND 9.11.0-P2、9.10.4-P5、9.9.9-P5 では、サービス不能攻撃を許してしまう脆弱性を解決しています。Redirect namespace 処理 (CVE-2016-9778)、DNS 応答処理 (CVE-2016-9444、CVE-2016-9131)、DNSSEC 処理 (CVE-2016-9147)、の不具合により、named が異常終了するというものです。BIND 9.4.0 以降に影響があります。なお BIND を開発するインターネットシステムズコンソーシアム (ISC) は、9.0 系〜 9.8 系のサポートは終了していることから、セキュリティパッチはリリースしないとしています。
Red Hat Enterprise Linux Server に搭載されている Java (java-1.6.0-openjdk)、カーネルのセキュリティアップデート (RHSA-2017:0061、RHSA-2017:0036) がリリースされました。Java のアップデートでは、Java SE 6 Update 141 で解決した脆弱性に対応しています。カーネルでは、メモリの解放後使用 (use-after-free：CWE-416)、領域外のメモリ参照に起因して、任意のコード実行、サービス不能攻撃を許してしまう脆弱性を解決しています。
WordPress 4.7.1 では、任意のコード実行や情報漏洩を許してしまう問題、クロスサイトスクリプティング問題 (CWE-79)、クロスサイトリクエストフォージェリ問題 (CWE-352) など、計 8 件の脆弱性を解決しています。
18 件のセキュリティノートがリリースされています。
担当：寺田、大西／HIRT
