更新日：＜2017.04.03＞
iCloud 6.2 では、APNs Server、libxslt、WebKit コンポーネントに存在するメモリ破損 (memory corruption：CWE-119) に起因して任意のコード実行を許してしまう問題や、なりすましを許してします問題など計 5 脆弱性を解決しています。
macOS Server 5.3 では、Profile Manager、Web Server、Wiki Server コンポーネントに存在するサービス不能攻撃 (CVE-2016-0751、CVE-2007-6750)、ユーザ情報を取得を許してしまう脆弱性 (CVE-2017-2382) を解決しています。
tvOS 10.2 では、オーディオ、Carbon、コアグラフィックス、CoreText、FontParser、HTTPProtocol、ImageIO、カーネル、キーボード、セキュリティ、WebKit などのコンポーネントに存在する計 56 件の脆弱性を解決しています。対象となった脆弱性は、メモリの解放後使用 (use-after-free：CWE-416)、メモリ破損 (memory corruption：CWE-119)、型の取り違え (type confusion：CWE-843)、整数オーバーフローに起因して任意のコード実行やサービス不能攻撃などを許してしまう問題です。
watchOS 3.2 では、オーディオ、Carbon、コアグラフィックス、CoreText、FontParser、HTTPProtocol、ImageIO、カーネル、キーボード、セキュリティ、WebKit などのコンポーネントに存在する計 34 件の脆弱性を解決しています。対象となった脆弱性は、メモリの解放後使用、メモリ破損、型の取り違え、整数オーバーフローに起因して任意のコード実行やサービス不能攻撃などを許してしまう問題です。
iOS 10.3 では、アカウント、オーディオ、Carbon、コアグラフィックス、CoreText、DataAccess、FontParser、HomeKit、HTTPProtocol、ImageIO、iTunes Store、カーネル、キーボード、Safari、Safari Reader、セキュリティ、Siri、WebKit 関連などのコンポーネントに存在する計 70 件の脆弱性を解決しています。対象となった脆弱性は、なりすましや、メモリの解放後使用、メモリ破損、型の取り違え、整数オーバーフローに起因して任意のコード実行やサービス不能攻撃などを許してしまう問題です。
macOS Sierra 10.12.4 では、apache、apache_mod_php、AppleGraphicsPowerManagement、AppleRAID、オーディオ、Bluetooth、コアグラフィックス、HTTPProtocol、ImageIO、カーネル、Keyboards、LibreSSL、OpenSSH、OpenSSL、印刷、python、QuickTime、セキュリティ、WebKit 関連などのコンポーネントに存在する計 125 件の脆弱性を解決しています。対象となった脆弱性は、なりすまし、情報漏洩や、NULL ポインタ参照 (NULL pointer dereference：CWE-476)、メモリの解放後使用、メモリ破損、整数オーバーフローに起因して任意のコード実行やサービス不能攻撃などを許してしまう問題です。
Safari 10.1 では、コアグラフィックス、Safari、Safari Login AutoFill、WebKit 関連などのコンポーネントに存在する計 38 件の脆弱性を解決しています。対象となった脆弱性は、なりすましや、メモリの解放後使用、メモリ破損、型の取り違えに起因して任意のコード実行やサービス不能攻撃などを許してしまう問題です。
iWork がエキスポートするパスワード保護付 PDF に使用していた暗号アルゴリズムが 40 ビットの RC4 であったことから、128 ビットの AES に変更することで、強度を持った暗号化方式で保護していない問題 (CVE-2017-2391) を解決しています。
Windows/Mac/Linux 版 57.0.2987.133 では、メモリの解放後使用 (use-after-free：CWE-416)、ヒープオーバーフロー (CWE-124)、領域外のメモリ参照 (out-of-bounds read：CWE-125) など、計 5 件の脆弱性 (CVE-2017-5052 〜 CVE-2017-5056) を解決しています。
独 Miele Professional (miele.de) の医療や実験室用の自動洗浄機モデルである PG 8528 に同梱されている PST10 WebServer には、ディレクトリトラバーサル問題 (CWE-22) に起因して、情報漏洩を許してしまう脆弱性が存在します。なお、独 Miele Professional によれば、自動食器洗い機には、この問題の影響はないとしています。
重要製造業、農業・食料、上下水道分野などで利用されている仏 Schneider Electric (schneider-electric.com) の産業加工やインフラ用 PLC (Programmable Logic Contoller) である Modicon M221/M241/M251 PLC には、TCP 通信のシーケンス番号の推定を許してしまう脆弱性 (CVE-2017-6030)、Web アプリメーションの使用するセッション番号のランダム性が十分ではないことに起因して、セッション乗っ取りを許してしまう問題 (CVE-2017-6026)、認証情報などを Base64 で符号化したまま転送している問題 (CVE-2017-6028) が存在します。
重要製造業、エネルギー、公共衛生・ヘルスケア、上下水道分野などで利用されている仏 Schneider Electric (schneider-electric.com) の Wonderware InTouch Access Anywhere 製品には、クロスサイトリクエストフォージェリ問題 (CWE-352)(CVE-2017-5156)、不正な URL アクセスにより、認証情報が参照可能になるという問題 (CVE-2017-5158)、X.509 証明書の適切な検証なしに TLS 接続してしまう問題 (CVE-2017-5160) が存在します。InTouch Access Anywhere は、Web ブラウザによる監視画面の表示や操作を可能にする Web HMI 製品です。
重要製造業、エネルギー分野などで利用されている Smart Software Solutions (3s-software.com) の制御システム用パッケージ製品である CoDeSys (Controller Development System) の Web サーバには、許可なしに任意のファイルアップロードを許してしまう脆弱性 (CVE-2017-6027)、スタックオーバーフロー (CWE-121) に起因してサービス不能攻撃や任意のコード実行を許してしまう脆弱性 (CVE-2017-6025) が存在します。
エネルギー、公共衛生・ヘルスケア、輸送分野で利用されている独 Siemens (siemens.com) の RuggedCom ROX (Rugged Operating System On Linux) I を搭載した機器には、ポート番号 10000/TCP で稼働している Web インタフェース経由で任意のファイル参照を許してしまう問題 (CVE-2017-2686)、認証されたユーザにセキュリティ機構の迂回を許してしまう問題 (CVE-2017-2689)、クロスサイトスクリプティング問題 (CWE-79)(CVE-2017-2687、CVE-2017-6864)、クロスサイトリクエストフォージェリ問題 (CWE-352)(CVE-2017-2688) が存在します。セキュリティ機構の迂回を悪用された場合、設定ファイルの参照や変更操作が可能となります。
2017年 4月 1 日、Ruby 2.1 の公式サポート終了 (2017年 3月 31 日) がアナウンスされました。
Ruby 2.3.4、2.2.7 は、バグの修正や改善を目的としたリリースで、それぞれ 80 件、70 件のバグを修正しています。セキュリティアップデートは含まれていません。
Samba 4.6.2、4.5.8、4.4.13 は、情報漏洩を許してしまう脆弱性 (CVE-2017-2619) を解決する際に作り込まれてしまった不具合を修正しています。"follow symlinks = no"を指定している場合に不具合の影響があります。
Tomcat 8.5.13 は、不具合の修正や改善を目的としたリリースです。IllegalStateExceptions が発生するファイル送信処理の不具合の修正、HTTP/2 処理の改善などを図っています。リリース時点で、セキュリティアップデートの報告はありません。
Tomcat 8.5.12 は、不具合の修正や改善を目的としたリリースです。リリース時点で、セキュリティアップデートの報告はありません。
VMware ESXi、Workstation、Fusion には、SVGA 処理において、バッファオーバーフロー、初期化していないメモリの使用に起因して、任意のコード実行を許してしまう脆弱性 (CVE-2017-4902、CVE-2017-4903、CVE-2017-4904) や情報漏洩を許してしまう脆弱性 (CVE-2017-4905) が存在します。
Red Hat Enterprise Linux Server に搭載されている curl のセキュリティアップデート (RHSA-2017:0847) では、libcurl を使用している場合に、HTTP 認証において資格情報の誤った再利用を許してしまう脆弱性 (CVE-2017-2628) を解決しています。
担当：寺田、大西／HIRT
