更新日：＜2017.10.16＞
Thunderbird 52.4 では、任意のコード実行を許してしまう脆弱性、サービス不能攻撃、情報漏洩、なりすまし、セキュリティ機構の迂回を許してしまう脆弱性など、1 件のセキュリティアドバイザリに含まれる計 9 件の脆弱性を解決しています。任意のコード実行はメモリ破損の問題に起因しています。
Adobe Flash Player 27.0.0.159 は、不具合の修正や改善を目的としたリリースです。リリース時点で、セキュリティアップデートの報告はありません。
2017年10月の月例セキュリティアップデートでは、66 件のマイクロソフト製品のセキュリティ問題を解決しています。脆弱性による影響は、任意のコード実行 33 件、サービス不能 2 件、アクセス権限の昇格 10 件、情報漏洩 13 件、セキュリティ機構の迂回 5 件です。
商業施設分野で利用されている独 Siemens (siemens.com) の設備管理のための BACnet フィールドパネル Web サーバには、認証機構の迂回 (CVE-2017-9946)、ディレクトリトラバーサル問題 (CWE-22)(CVE-2017-9947) に起因して、情報漏洩を許してしまう脆弱性が存在します。
通信、重要製造業、公共衛生・ヘルスケア、輸送分野で利用されているオランダ NXP(nxp.com) のリアルタイムオペレーティングシステム MQX RTOS には、DHCP 処理にバッファオーバーフロー (CWE-119)(CVE-2017-12718)、DNS クライアント処理に領域外のメモリ参照 (out-of-bounds read：CWE-125)(CVE-2017-12722) の脆弱性が存在します。脆弱性を悪用された場合、任意のコード実行やサービス不能攻撃を許してしまう可能性があります。
商業施設、通信、上下水道分野で利用されているイスラエル Envitech (envitech.co.il) の排出ガス、大気、水質モニタリングシステム EnviDAS Ultimate には、適切でない認証 (CWE-287) に起因して、機器の設定変更や情報漏洩を許してしまう脆弱性 (CVE-2017-9625) が存在します。
重要製造業、エネルギー、上下水道分野で利用されている中国 WECON (we-con.com.cn) の HMI プログラミングソフトウェアである LeviStudio HMI Editor には、スタックオーバーフロー (CWE-121) に起因して、任意のコード実行やサービス不能攻撃を許してしまう脆弱性 (CVE-2017-13999) が存在します。
上下水道分野で利用されている米 ProMinent(prominent.us) のボイラコントローラである MultiFLEX には、不正アクセスや情報漏洩を許してしまう複数の脆弱性が存在します。報告されている脆弱性は、サーバで実施すべきセキュリティ施策をクライアント側のみで実施してしまっている問題 (CVE-2017-14013)、適切でないセッション管理 (CVE-2017-14007)、クロスサイトリクエストフォージェリ問題 (CWE-352)(CVE-2017-14011)、パスワードが平文のまま取り扱われている問題 (CVE-2017-14009)、古いパスワード検証のないパスワード変更 (CWE-620)(CVE-2017-14005) です。
重要製造業分野で利用されている台湾 JanTek (jantek.com.tw) の TCP/IP コンバータ JTC-200 には、クロスサイトリクエストフォージェリ問題 (CWE-352)(CVE-2017-14011)、適切でない認証 (CWE-287) に起因して、アクセス権限の昇格を伴う任意のコード実行を許してしまう脆弱性 (CVE-2016-5789、CVE-2016-5791) が存在します。
商業施設、重要製造業分野で利用されているカナダ LAVA Computer MFG(lavalink.com) の RS-232 シリアル -LAN 変換アダプタである Ether-Serial Link には、なりすましによる認証機能の迂回を許してしまう脆弱性が存在します。
キャッシュ DNS サーバの一つである Unbound のバージョン 1.6.7 は、不具合の修正を目的としたリリースで、セキュリティアップデートは含まれていません。このバージョンでは、RFC 8145 で規定されている使用中のトラストアンカーの情報を権威 DNS サーバに定期的に送信する機能の設定が、デフォルトで YES に変更となりました。
カーネル、MySQL、Thunderbird、JBoss 関連コンポーネントのセキュリティアップデート (RHSA-2017:2869、RHSA-2017:2886、RHSA-2017:2885、RHSA-2017:2888, RHSA-2017:2889) がリリースされました。カーネルではアクセス権限の昇格を許してしまう脆弱性、MySQL では、1 月、4 月、7 月の四半期セキュリティアップデートで解決した脆弱性、Thunderbird では、52.4 で解決した脆弱性に対応しています。
担当：寺田、大西／HIRT
