更新日：＜2017.02.06＞
Windows/Mac 版 57.0.2987.19 は、バグの修正とセキュリティアップデートを目的としたリリースです。リリース時点で、セキュリティアップデートの報告はありません。
米 Honeywell (honeywell.com) の XL Web II Controller には、5 件の脆弱性が存在します。報告された脆弱性は、特定の URL で平文のアカウント情報にアクセスできてしまう問題 (CVE-2017-5139)、パスワードなどのアカウント情報が平文のまま格納されている問題 (CVE-2017-5140)、セッション乗っ取りを許してしまう問題 (CVE-2017-5141)、権限付与が適切でない問題 (CVE-2017-5142)、ディレクトリトラバーサルに起因して情報漏洩を許してしまう問題 (CVE-2017-5143) です。XL Web II Controller は、重要製造業、エネルギー、上下水道分野などで利用されている Web ベースの SCADA システム製品です。
重要製造業、エネルギー、上下水道分野などで利用されている、マレーシア Ecava (ecava.com) が開発している、Web ベースの SCADA システム用 HMI (Human Machine Interface) パッケージである IntegraXor には、SQL インジェクション問題 (CWE-89)(CVE-2016-8341) が存在します。
エネルギー分野で利用されているロシア BINOM3 (binom3.ru) の Electric Power Quality Meter には、5 件の脆弱性が存在します。報告された脆弱性は、クロスサイトスクリプティング問題 (CWE-79)(CVE-2017-5164)、アクセス制御が適切でない問題 (CVE-2017-5162)、クロスサイトリクエストフォージェリ問題 (CWE-352)(CVE-2017-5165)、アクセス権限昇格に起因する情報漏洩を許してしまう問題 (CVE-2017-5166)、ユーザがパスワードを変更できない問題 (CWE-259)(CVE-2017-5167) です。
Cosminexus HTTP Server では、OpenSSL 1.0.2i、1.0.1u で解決したサービス不能攻撃を許してしまう脆弱性 (CVE-2016-2177、CVE-2016-6304、CVE-2016-8610) に対応しています。脆弱性 CVE-2016-8610 は、ハンドシェイク中に多数の "SSL3_AL_WARNING" パケットを受信した場合にサービス不能状態が発生するというものです。これは SSL Death Alert 問題とも呼ばれているものです。
Cosminexus HTTP Server、Hitachi Web Server では、X.509 証明書への MD5 署名アルゴリズムに関連し、なりすましを許してしまう脆弱性 (CVE-2016-0924)、OpenSSL 1.0.2i、1.0.1u で解決した領域外書き出しに起因する脆弱性 (CVE-2016-2182、CVE-2016-6306)、SWEET32 攻撃を許してしまう脆弱性 (CVE-2016-2183)、に対応しています。
ホームネットワークの管理を実現する Prime Home の Web ベースの GUI には、認証機構を迂回し、管理者権限での操作を許してしまう脆弱性 (CVE-2017-3791) が存在します。この問題は、URL に対するロールベースアクセス制御が適切に機能しないことによるものです。
Samba 4.4.5 では、ctdb 関連、vfs モジュールなどに存在する、lock helper での record/db の明示的なロック解除を含む、4 件の不具合を修正しています。セキュリティアップデートは含まれていません。
Android 版 Airwatch Agent には、管理者権限(root)検知の迂回を許してしまう脆弱性 (CVE-2017-4895) が存在します。この問題を悪用された場合、登録されたデバイスが Airwatch のセキュリティコントロールとデータに自由にアクセスできてしまう可能性があります。また、Android 版 AirWatch Inbox には、root化されたデバイスによって、アプリケーションが使用するデータの復号を許してしまう脆弱性 (CVE-2017-4896) が存在します。
Red Hat Enterprise Linux Server に搭載されている Thunderbird、libtiff のセキュリティアップデート (RHSA-2017:0238、RHSA-2017:0225) がリリースされました。このアップデートでは、Thunderbird ESR 45.7 で解決した脆弱性に対応しています。TIFF(Tagged Image File Format) ライブラリである libtiff では、不正なファイルを処理する際に、任意のコード実行、サービス不能攻撃を許してしまう 8 件の脆弱性を解決しています。
担当：寺田、大西／HIRT
