更新日：＜2017.04.24＞
Firefox 53.0 では、任意のコード実行を許してしまう脆弱性、サービス不能攻撃、情報漏洩、なりすましを許してしまう脆弱性など、1 件のセキュリティアドバイザリに含まれる計 39 件の脆弱性を解決しています。任意のコード実行はメモリ破損の問題に起因しています。また、ESR としてバージョン 52.1、45.9 がリリースされました。
Java SE 8 Update 131 には、AWT、JCE、JAXP、ネットワーク、セキュリティに関する計 8 件のセキュリティアップデートが含まれています。報告された脆弱性のうち、認証操作なしでリモートからの攻撃を許してしまう脆弱性の件数は 7 件です。また、Java SE 8 Update 131 では、MD5 が jdk.jar.disabledAlgorithms セキュリティプロパティに追加され、署名付き JAR ファイルが MD5 を使用している場合、JAR は署名されていないものとして扱われるようになりました。システムプロパティとして、HTTP SPNEGO(Simple and Protected GSSAPI Negotiation Mechanism) 接続のキャッシュ制御、HTTP NTLM 接続のキャッシュ制御が新たに導入されました。
Windows/Mac/Linux 版 58.0.3029.81 では、型の取り違え (type confusion：CWE-843)、メモリの解放後使用 (use-after-free：CWE-416)、URL のなりすましなど、計 29 件の脆弱性 (CVE-2017-5057 〜 CVE-2017-5069、他) を解決しています。
Firepower System の PGM(Pragmatic General Multicast) プロトコルのパケット処理に関連する検出エンジンにサービス不能攻撃を許してしまう脆弱性 (CVE-2016-6368) が存在します。不正な PGM パケットを受信した場合に、脆弱性を悪用される可能性があります。
Cisco IOS と IOS XE ソフトウェアの EnergyWise モジュールには、サービス不能攻撃を許してしまう脆弱性 (CVE-2017-3860 〜 CVE-2017-3862) が複数存在します。不正な EnergyWise パケットを受信した場合に、脆弱性を悪用される可能性があります。EnergyWise は、IT 機器のエネルギー使用量の監視、測定、管理 / 制御をする製品です。
セキュリティアプライアンスである ASA (Adaptive Security Appliances) には、サービス不能攻撃を許してしまう脆弱性 (CVE-2017-6607 〜 CVE-2017-6610) が複数存在します。報告されている脆弱性は、DNS 応答 (CVE-2017-6607)、IPsec(CVE-2017-6608)、SSL/TLS (CVE-2017-6609)、IKEv1 XAUTH (CVE-2017-6610) 処理に存在します。不正なパケットやパラメタを受信した場合に、脆弱性を悪用される可能性があります。
Oracle Critical Patch Update Advisory - April 2017 には、Database Server 系 3 件、Fusion Middleware 系 31 件、Applications 系 33 件、仮想化系 15 件、MySQL 系 40 件、Java SE 系 8 件など、計 300 件のセキュリティアップデートが含まれています。認証操作なくリモートからの攻撃を許してしまう脆弱性の件数は、計 162 件となっています。
Tomcat 8.5.14 は、不具合の修正や改善を目的としたリリースです。JMX 処理、非同期のサーブレットのタイムアウト後の asReady 関数の呼び出しの改善などを図っています。リリース時点で、セキュリティアップデートの報告はありません。
VMware Unified Access Gateway、Horizon View には、ヒープオーバーフローに起因して任意のコード実行を許してしまう脆弱性 (CVE-2017-4907) が存在します。VMware Workstation、Horizon View Client には、TPView.dll での JPEG、TrueType フォント処理にヒープオーバーフロー、領域外のメモリ参照、領域外メモリへの書き出し、整数オーバーフローに起因して任意のコード実行やサービス不能攻撃を許してしまう脆弱性 (CVE-2017-4908 〜 CVE-2017-4912) が存在します。
Red Hat Enterprise Linux Server に搭載されている nss (Network Security Services)、Firefox、Java (java-1.8.0-openjdk)、BIND、Libreoffice のセキュリティアップデート (RHSA-2017:1100、RHSA-2017:1104、RHSA-2017:1109、RHSA-2017:1105、RHSA-2017:0979) がリリースされました。このアップデートでは、Firefox ESR 52.1、Java SE 8 Update 131、BIND 9.11.0-P5、9.10.4-P8、9.9.9-P8 で解決した脆弱性に対応しています。また、文書、スプレッドシートなどのオフィス系ソフトウェアである LibreOffice では、情報漏洩を許してしまう脆弱性 (CVE-2017-3157)、nss では、領域外メモリへの書き出し (out-of-bounds write：CWE-787) に起因して、任意のコード実行やサービス不能攻撃を許してしまう脆弱性を解決しています。
WordPress 4.7.4 は、不具合の修正や改善を目的としたリリースで、メディア操作、REST API の改良など、計 47 件の修正と改善が施されました。セキュリティアップデートは含まれていません。
担当：寺田、大西／HIRT
