更新日：＜2017.05.15＞
Adobe Flash Player 25.0.0.171 では、計 7 件の脆弱性を解決しています。脆弱性は、メモリの解放後使用 (use-after-free：CWE-416)、メモリ破損 (memory corruption：CWE-119) に起因して任意のコード実行を許してしまう問題 (CVE-2017-3068 〜 CVE-2017-3074) です。
Windows/Mac/Linux 版 58.0.3029.110 では、安定性、性能、セキュリティの改善を目的としたリリースです。リリース時点で、セキュリティアップデートの具体的な報告はありません。
イギリスを始めとする複数の国の医療機関やそのほかの企業に影響を及ぼすランサムウェア WannaCry 被害の広がりを踏まえて、既にサポートが終了している Windows XP、Windows 8 および Windows Server 2003 について例外的にセキュリティ更新プログラムが公開されました。
2017年 5月の月例セキュリティアップデートでは、57 件のマイクロソフト製品のセキュリティ問題を解決しています。脆弱性による影響は、任意のコード実行 26 件、サービス不能 7 件、アクセス権限の昇格 10 件、なりすまし 1 件、情報漏洩 14 件、セキュリティ機構の迂回 2 件です。
重要製造業、エネルギー、輸送分野などで利用されているスペイン Satel Iberia(satel-iberia.com) の SenNet データ記録、マルチタスクメータ機器には、コマンドインジェクションによりシステムの不正アクセスを許してしまう脆弱性 (CVE-2017-6048) が存在します。
重要製造業分野などで利用されている独 Phoenix Contact Software (phoenixcontact.com) の 産業用ネットワークのセキュリティ製品である mGuard には、複数の不正な初期 VPN 要求を受信した場合に、サービス不能攻撃を許してしまう脆弱性 CVE-2017-7935)、RADIUS サーバに接続できない場合に、ユーザファイウォールに不正アクセスを許してしまう脆弱性 (CVE-2017-7937) が存在します。
農業・食料、化学、エネルギー、上下水道分野などで利用されている独 Siemens (siemens.com) の SIMATIC WinCC、WinCC Runtime Professional には、DCOM インタフェースで、不正なメッセージを受信した場合に、サービス不能攻撃を許してしまう脆弱性 (CVE-2017-6867) が存在します。
重要製造業、農業・食料、化学、エネルギー、上下水道分野などで利用されている独 Siemens (siemens.com) の PROFINET DCP (Discovery and Configuration Protocol) を実装している製品には、不正な PROFINET DCP パケット、ブロードキャストパケットを受信した際にサービス不能攻撃を許してしまう脆弱性 (CVE-2017-2680、CVE-2017-2681) が存在します。復旧にはマニュアルでの操作が必要となります。SIMATIC CP、SCALANCE、IE/PB-Link、SIMATIC ET、PN/PN Coupler、SIMATIC S7、SINAMICS、SIMOTION、SINUMERIK、などの製品が、この脆弱性の影響を受けます。
重要製造業、農業・食料、化学、エネルギー、上下水道分野などで利用されている独 Siemens (siemens.com) の PROFINET DCP (Discovery and Configuration Protocol) を実装している製品には、不正な PROFINET DCP ブロードキャストパケットを受信した際にサービス不能攻撃を許してしまう脆弱性 (CVE-2017-6865) が存在します。復旧にはマニュアルでの操作が必要となります。SIMATIC WinCC、SIMATIC STEP 7、SIMATIC Automation Tool、SIMATIC WinCC、SIMATIC PCS 7、SIMATIC NET PC-Software、SINAUT ST7CC、SIMATIC WinAC、SINUMERIK などの製品が、この脆弱性の影響を受けます。
重要製造業、エネルギー、上下水道分野などで利用されている米 Rockwell Automation (rockwellautomation.com) の産業用サービスルータ Stratix 5900 には、任意のコード実行やサービス不能攻撃を許してしまう計 61 件の脆弱性が存在します。Cisco IOS と統合されていることから、報告されている脆弱性は、いずれも、Cisco IOS、IOS XE ならびに Cisco 製品に関連した問題となっています。
WebEx Meetings サーバには、情報漏洩を許してしまう脆弱性 (CVE-2017-6651) が存在します。この問題を悪用された場合、予定されている会議を探索し、会議に参加されてしまう可能性があります。
PHP 7.1.5、7.0.19 では、Core、Date、DOM、Fileinfo、GD、Intl、MySQLnd、OpenSSL などのコンポーネントに存在する計 28 件、22 件の不具合を修正しています。
Tomcat 8.5.15 は、不具合の修正や改善を目的としたリリースです。静的なカスタムエラーページ処理、URI や URI 処理、Eclipse JDT Compiler 4.6.3 にアップデートするなどの強化を施しています。リリース時点で、セキュリティアップデートの報告はありません。
PostgreSQL 9.6.3、9.5.7、9.4.12、9.3.17、9.2.21 では、selectivity estimator が SELECT 権限チェックの迂回を許してしまう脆弱性 (CVE-2017-7484)、libpq が PGREQUIRESSL 環境変数を無視してしまうために、環境変数で SSL/TLS 接続を制御できないという脆弱性 (CVE-2017-7485)、pg_user_mappings view による外部サーバのパスワードの漏洩を許してしまう脆弱性 (CVE-2017-7486) を解決しています。
Red Hat Enterprise Linux Server に搭載されている Java (java-1.7.0-openjdk)、JPEG 2000 の画像処理実装 JasPer、仮想化環境を提供する qemu-kvm、Ghostscript のセキュリティアップデート (RHSA-2017:1204、RHSA-2017:1208、RHSA-2017:1206、RHSA-2017:1230) がリリースされました。このアップデートでは、Java SE 7u131 で解決した脆弱性に対応しています。JPEG 2000 の画像処理実装 JasPer では、JPEG 2000 ファイル処理に存在する任意のコード実行やサービス不能攻撃を許してしまう 30 件の脆弱性を解決しています。qemu-kvm では、ヒープオーバーフロー、領域外のメモリ参照 (out-of-bounds read：CWE-125)、領域外メモリへの書き出し (out-of-bounds write：CWE-787) に起因してサービス不能攻撃や任意のコード実行を許してしまう脆弱性、Ghostscript では、-dSAFER プロテクションの迂回に起因して、不正なファイルにより任意のコード実行を許してしまう脆弱性を解決しています。
9 件のセキュリティノートがリリースされています。クロスサイトスクリプティング (CWE-79)、サービス不能攻撃、権限チェックの迂回を許してしまう脆弱性などが報告されています。
担当：寺田、大西／HIRT
