更新日：＜2017.10.02＞
Firefox 56.0 では、任意のコード実行を許してしまう脆弱性、サービス不能攻撃、情報漏洩、なりすまし、セキュリティ機構の迂回を許してしまう脆弱性など、1 件のセキュリティアドバイザリに含まれる計 18 件の脆弱性を解決しています。任意のコード実行はメモリ破損の問題に起因しています。また、ESR として 9 件の脆弱性を解決したバージョン 52.4 がリリースされました。
iOS 11.0.1 では、iOS 11 で解決したメモリ破損に起因して任意のコード実行やサービス不能攻撃などを許してしまう問題に対応しています。
macOS Server 5.4 では、FreeRadius コンポーネントに存在する FreeRadius に存在する複数の脆弱性を解決するため、FreeRADIUS 2.2.10 にアップデートしています。
iCloud 7.0 では、SQLite、WebKit コンポーネントに存在する計 22 件の脆弱性を解決しています。対象となった脆弱性は、アドレスバーのなりすましや、メモリ破損に起因して任意のコード実行を許してしまう問題です。
macOS High Sierra 10.13 では、アプリケーションファイアウォール、カーネル、メール、WebKit 関連などのコンポーネントに存在する計 43 件の脆弱性を解決しています。対象となった脆弱性は、メモリ破損に起因して任意のコード実行やサービス不能攻撃などを許してしまう問題です。
エネルギー、公共衛生・ヘルスケア、輸送分野で利用されている独 Siemens (siemens.com) の RuggedCom ROS(Rugged Operating System)、ならびに ROS を搭載した マネージドスイッチ SCALANCE には、RCDP(Ruggedcom Discovery Protocol) 処理に、不正アクセスにつながる適切でないアクセス制御 (CWE-284) を許してしまう脆弱性 (CVE-2017-12736) が存在します。
JP1/ 秘文で作成した自己復号型機密ファイルには、実行ファイルと同じディレクトリに置かれた外部 DLL の読み込みを許してしまう問題 (CWE-427) に起因して、任意のコード実行を許してしまう可能性があります。
日立ディスクアレイシステム SVP には、マイクロソフト 2017年 9月の月例セキュリティアップデートで解決した NetBIOS のリモートでコードが実行される脆弱性 (CVE-2017-0161) が存在します。
Cisco IOS XE ソフトウェアの Web ユーザインタフェースの REST API には、認証機構の迂回を許してしまう脆弱性 (CVE-2017-12229)、アクセス権限の昇格を許してしまう脆弱性 (CVE-2017-12230) が存在します。このほか、Wireless Controller GUI にアクセス権限の昇格を許してしまう脆弱性、Wireless Controller Manager でのサービス不能攻撃を許してしまう脆弱性、LISP(Locator/ID Separation Protocol) 処理に認証機構の迂回を許してしまう脆弱性などが報告されています。
Cisco IOS と IOS XE ソフトウェアの DHCP 中継サブシステムには、サービス不能攻撃を許してしまう脆弱性 (CVE-2017-12240) が存在します。このほか、IKE(Internet Key Exchange) でのサービス不能攻撃を許してしまう脆弱性、Plug-and-Play で使用する証明書検証が適切でないために中間者攻撃を許してしまう脆弱性が存在します。
IOS ソフトウェアの CIP(Common Industrial Protocol)、Virtual Private LAN サービス、PROFINET DCP (Discovery and Configuration Protocol)、イーサネットフレーム、Network Address Translation 処理には、サービス不能攻撃を許してしまう脆弱性が存在します。
PHP 7.1.10、7.0.24 では、BCMath、CLI server、Core、CURL、GD、Gettext、Intl、PDO_OCI、SPL、Standard のコンポーネントに存在する計 17 件、14 件の不具合を修正しています。PHP 7.1.10 には、整数オーバーフローに起因する問題が含まれています。
Tomcat 8.5.23、8.0.47、7.0.82 では、不正な HTTP PUT リクエストで JSP ファイルのアップロードが可能となり、任意のコード実行を許してしまう脆弱性 (CVE-2017-12617) を解決しています。8.5.22 はリリースされていません。
Red Hat 製品でサポートされている Firefox のセキュリティアップデート (RHSA-2017:2831) がリリースされました。Firefox では、ESR 52.4 で解決した脆弱性に対応しています。また、カーネルでは、ELF バイナリを読み込む実装に起因してアクセス権限の昇格を許してしまう脆弱性 (CVE-2017-1000253) を解決しています。
担当：寺田、大西／HIRT
