更新日：＜2017.03.13＞
Firefox 52.0 では、任意のコード実行を許してしまう脆弱性、サービス不能攻撃、アクセス権限の昇格、情報漏洩、なりすましを許してしまう脆弱性など、1 件のセキュリティアドバイザリに含まれる計 28 件の脆弱性を解決しています。また、ESR としてバージョン 45.8 がリリースされました。任意のコード実行はメモリ破損の問題に起因しています。
Thunderbird 45.8 では、任意のコード実行を許してしまう脆弱性、サービス不能攻撃、情報漏洩、なりすましを許してしまう脆弱性など、1 件のセキュリティアドバイザリに含まれる計 9 件の脆弱性を解決しています。任意のコード実行はメモリ破損の問題に起因しています。
Windows/Mac/Linux 版 57.0.2987.98 では、メモリ破損 (memory corruption：CWE-119)、メモリの解放後使用 (use-after-free：CWE-416)、領域外メモリへの書き出し (out-of-bounds write：CWE-787)、領域外のメモリ参照 (out-of-bounds read：CWE-125)、ヒープオーバーフロー (CWE-124)、整数オーバーフロー、情報漏洩、アドレス詐称など、計 36 件の脆弱性 (CVE-2017-5029 〜 CVE-2017-5046 他) を解決しています。
仏 Schneider Electric (schneider-electric.com) の ClearSCADA には、サービス不能攻撃を許してしまう脆弱性 (CVE-2017-6021) が存在します。この問題は、不正な一連のコマンドやデータパケットを受信した場合に、ClearSCADA のサーバプロセスと通信ドライバが終了してしまうことに起因しています。ClearSCADA は、重要製造業分野などで利用されているリモート管理のためのオープンソフトウェアプラットフォーム製品です。
仏 Schneider Electric (schneider-electric.com) の Wonderware Intelligence に搭載されている Tableau Server には、インストール後に変更できないデフォルトのシステムアカウント問題 (CVE-2017-5178) が存在します。この問題は、Tableau Server の認証機能を使用する場合に影響がありますが、Active Directory 管理下で Tableau Server を使用する場合には影響はありません。Wonderware Intelligence は、重要製造業、エネルギー、公共衛生・ヘルスケア、上下水道分野などで利用されている製造・操業データを統合や分析する製品です。
3月 6日に公開された Apache Struts2 の Jakarta multipart parser に存在する任意のコード実行を許してしまう脆弱性 (CVE-2017-5638) について、ソーシャルメディア系、ネットワーク管理系、ルータ / スイッチ系、音声 / ビデオ会議系などのシスコ製品への影響を調査中であるとしています。
Samba 4.6.0 は、Samba 4.6 系の最初のリリースです。このバージョンでは、Kerberos クライアントへの対応強化、Windows 10 からのプリンタドライバのアップロード、所有者の継承に関する項目での "unix only" 設定、マルチプロセス Netlogon のサポートなどの改善を施しています。
Samba 4.5.6 では、ctdb 関連でのメモリの解放後使用 (use-after-free：CWE-416)、winbindd に関するパスワード変更後にアクセスを失敗するなどを含む、35 件の不具合を修正しています。セキュリティアップデートは含まれていません。
VMware Workstation Pro/Player には、複数の脆弱性が存在します。報告されている脆弱性は、VMware-vmx プロセスが DLL (ダイナミックリンクライブラリ) ファイルを読み込む際に、攻撃者により細工された外部 DLL の読み込みを許してしまう問題 (DLL プリロード攻撃) が発生し得る脆弱性 (CVE-2017-4898)、SVGA ドライバに存在する VM の異常終了や領域外のメモリ参照 (out-of-bounds read：CWE-125) を許してしまう脆弱性 (CVE-2017-4899)、NULL ポインタ参照 (NULL pointer dereference：CWE-476) に起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2017-4900) です。
Struts 2.5.10.1、2.3.32 では、Content-Type の検証が適切でないことに起因して、任意のコード実行を許してしまう脆弱性 (CVE-2017-5638) を解決しています。この問題の影響を受けるバージョンは、Struts 2.3.5 〜 2.3.31、Struts 2.5 〜 2.5.10 で、Content-Type ヘッダに "multipart/form-data" を含む不正な HTTP 要求を受信した場合に脆弱性を悪用される可能性があります。
Red Hat Enterprise Linux Server に搭載されている Firefox のセキュリティアップデート (RHSA-2017:0459) では、Firefox ESR 45.8 で解決した脆弱性に対応しています。
WordPress 4.7.3 では、クロスサイトスクリプティング問題 (CWE-79)、クロスサイトリクエストフォージェリ問題 (CWE-352)、制御文字を利用したリダイレクト URL 検証機構の迂回、プラグイン削除機能を利用した意図しないファイルの削除を許してしまう脆弱性、計 6 件の脆弱性を解決しています。
担当：寺田、大西／HIRT
