更新日：＜2017.08.14＞
Firefox 55.0.1 では、タブ処理、「最新情報ページ」が表示されない不具合などを修正しています。セキュリティアップデートは含まれていません。
Firefox 55.0 では、任意のコード実行を許してしまう脆弱性、サービス不能攻撃、アクセス権限の昇格、情報漏洩、なりすまし、セキュリティ機構の迂回を許してしまう脆弱性など、1 件のセキュリティアドバイザリに含まれる計 24 件の脆弱性を解決しています。任意のコード実行はメモリ破損の問題に起因しています。また、ESR として 20 件の脆弱性を解決したバージョン 52.3 がリリースされました。
Reader ならびに Acrobat のバージョン XI (11.0.21)、Acrobat Reader DC ならびに Acrobat DC (2017.012.20093 / 2015.006.30352)、Acrobat Reader 2017 ならびに Acrobat 2017(2017.011.30059) では、任意のコード実行、情報漏洩、セキュリティ機構の迂回を許してしまう脆弱性、計 67 件の脆弱性を解決しています。任意のコード実行を許してしまう脆弱性は、26 件のメモリ破損 (memory corruption：CWE-119)、10 件のメモリの解放後使用 (use-after-free：CWE-416)、5 件のヒープオーバーフロー (CWE-124)、2 件の型の取り違え (type confusion：CWE-843) などに起因しています。
Acrobat XI Pro / Acrobat XI Standard / Acrobat Reader XI は、2017年10月15日で EOL (End-Of-Life) となり、サポートが終了します。
Adobe Flash Player 26.0.0.151 では、計 2 件の脆弱性を解決しています。脆弱性は、型の取り違え (type confusion：CWE-843) に起因して任意のコード実行を許してしまう問題 (CVE-2017-3106)、セキュリティ機構の迂回に起因して情報漏洩を許してしまう問題 (CVE-2017-3085) です。
Chrome 60.0.3112.101 は、安定性、性能、セキュリティの改善を目的としたリリースです。リリース時点で、セキュリティアップデートの報告はありません。
2017年 8月の月例セキュリティアップデートでは、49 件のマイクロソフト製品のセキュリティ問題を解決しています。脆弱性による影響は、任意のコード実行 28 件、サービス不能 4 件、アクセス権限の昇格 6 件、なりすまし 1 件、情報漏洩 7 件、セキュリティ機構の迂回 3 件です。
重要製造業分野などで利用されているスイス ABB (abb.com) のイーサネットアダブタモジュール SREA には、HTTP 要求のファイル参照パラメタのディレクトリトラバーサル問題 (CWE-22) に起因して、情報漏洩を許してしまう脆弱性 (CVE-2017-9664) が存在します。
重要製造業、エネルギー分野などで利用されている富士電機 (fujielectric.com) の Monitouch V-SFT には、スタックオーバーフロー (CWE-121)、ヒープオーバーフロー (CWE-124) に起因して、任意のコード実行やサービス不能攻撃などを許してしまう脆弱性 (CVE-2017-9659、CVE-2017-9660) が存在します。また、インストールディレクトリのアクセス制御が適切でないために、アクセス権限の昇格 (CVE-2017-9662) を許してしまう可能性があります。Monitouch V-SFT は、プログラマブル表示器 MONITOUCH 専用の作画ソフト製品です。
エネルギー分野で利用されているチェコ Solar Controls(solarcontrols.cz) の WATTConfig には、攻撃者により細工された外部 DLL の読み込みを許してしまう問題 (DLL プリロード攻撃)(CWE-427)(CVE-2017-9646) に起因して、任意のコード実行を許してしまう可能性があります。WATTConfig は、プログラマブルコントローラ WATTrouter の設定機能を提供しています。
エネルギー分野で利用されているチェコ Solar Controls(solarcontrols.cz) の加熱制御 Heating Control Downloader(HCDownloader) には、攻撃者により細工された外部 DLL の読み込みを許してしまう問題 (DLL プリロード攻撃)(CWE-427)(CVE-2017-9646) に起因して、任意のコード実行を許してしまう可能性があります。
化学、商業施設、重要製造業、防衛産業基盤、エネルギー、農業・食料、政府施設、公共衛生・ヘルスケア、原子炉・核物質・核廃棄物分野などで利用されているロシア SIMPlight(simplight.ru) の SCADA ソフトウェアには、攻撃者により細工された外部 DLL の読み込みを許してしまう問題 (DLL プリロード攻撃)(CWE-427)(CVE-2017-9661) に起因して、任意のコード実行を許してしまう可能性があります。
台湾 MOXA (moxa.com) の SoftNVR-IA Live Viewer には、攻撃者により細工された外部 DLL の読み込みを許してしまう問題 (CWE-427)(CVE-2017-5170) が存在します。攻撃にあたっては、管理者権限でデフォルトインストールディレクトリにアクセスする必要があるとしています。SoftNVR-IA Live Viewer は、重要製造業、エネルギー、輸送分野などで利用されているビデオ監視システムの表示機能です。
米 OSIsoft (osisoft.com) の PI Integrator には、クロスサイトスクリプティング問題 (CWE-79)、適切でないアクセス許可 (CWE-285) に起因してシステム全体への不正アクセスを許してしまう脆弱性 (CVE-2017-9653、CVE-2017-9655) が存在します。PI Integrator は、PI データを外部システムと連携するための製品です。
Samba 4.6.7では、s3-client、s3-libsmb、s3-smbd、s4-cldap/netlogon、s4-dsdb/netlogonモジュールなどに存在する領域外のメモリ参照 (out-of-bounds read：CWE-125)、メモリの解放後使用 (use-after-free：CWE-416) など、計 16 件の不具合を修正しています。セキュリティアップデートは含まれていません。
Tomcat 8.5.20 は、不具合の修正や改善を目的としたリリースです。設定ファイルで Windows インストーラで使用するデフォルト値を指定する機能、WebSocket での接続の際に WebSocket クライアントでのリダイレクト追跡、要求の最後での接続状態をアクセスログに記録する %X のサポートなどの改善を施しています。リリース時点で、セキュリティアップデートの報告はありません。
PostgreSQL 9.6.4、9.5.8、9.4.13、9.3.18、9.2.22 では、認証処理における空パスワードを受け付けてしまう問題 (CVE-2017-7546)、pg_user_mappings catalog view でのパスワードの漏洩を許してしまう脆弱性 (CVE-2017-7547)、lo_put 関数での適切でないアクセス制御 (CVE-2017-7548) を解決しています。
PostgreSQL 9.2 系 は、2017年 9月末で EOL (End-Of-Life) となり、サポートが終了します。
VMware NSX-V Edge の OSPF の実装には、LSA(Link-State Advertisement) の取扱いが適切でないことに起因して、ルータ間でのリンク情報の送受信により、ループ状態に陥るか、接続性を損なうというサービス不能攻撃を許してしまう脆弱性 (CVE-2017-4920) が存在します。
Red Hat 製品でサポートされている Java(java-1.7.0-openjdk、java-1.8.0-ibm)、Adobe Flash プラグイン、Firefox、のセキュリティアップデート (RHSA-2017:2424、RHSA-2017:2457、RHSA-2017:2456、RHSA-2017:2469) がリリースされました。このアップデートでは、Java SE 8 Update 141、Java SE 7 Update 151 で解決した脆弱性、Firefox ESR 52.3 で解決した脆弱性に対応しています。また、Adobe Flash プラグインをバージョン 26.0.0.15 にアップデートしています。
16 件のセキュリティノートがリリースされています。SAP NetWeaver AS Java Web Container でのディレクトリトラバーサル問題 (CWE-22)、Visual Composer でのコードインジェクション問題、SAP BusinessObjects でのクロスサイト AJAX 問題、クロスサイトリクエストフォージェリ問題 (CWE-352)、クロスサイトスクリプティング問題 (CWE-79)、SQL インジェクション問題 (CWE-89) などが報告されています。
担当：寺田、大西／HIRT
