更新日：＜2017.11.06＞
iCloud 7.1 では、WebKit コンポーネントに存在する計 14 件の脆弱性を解決しています。対象となった脆弱性は、メモリ破損に起因して任意のコード実行を許してしまう問題です。
Windows 用 iTunes 12.7.1 では、WebKit コンポーネントに存在する計 14 件の脆弱性を解決しています。対象となった脆弱性は、メモリ破損に起因して任意のコード実行を許してしまう問題です。
Safari 11.0.1 では、Safari、WebKit 関連などのコンポーネントに存在する計 16 件の脆弱性を解決しています。対象となった脆弱性は、アドレスバーのなりすましや、メモリ破損に起因して任意のコード実行などを許してしまう問題です。
tvOS 11.1 では、CoreText、カーネル、StreamingZip、WebKit、Wi-Fi コンポーネントに存在する計 21 件の脆弱性を解決しています。対象となった脆弱性は、メモリ破損に起因して任意のコード実行やサービス不能攻撃などを許してしまう問題です。また、WPA2 プロトコルの KRACK (Key Reinstallation Attacks) 問題として報告された脆弱性 (CVE-2017-13077、CVE-2017-13078、CVE-2017-13080) に対応しています。
macOS High Sierra 10.13.1、セキュリティアップデート 2017-001 Sierra、セキュリティアップデート 2017-004 El Capitan では、802.1X、apache、オーディオ、カーネル、QuickTime、サンドボックス、セキュリティ、Wi-Fi などのコンポーネントに存在する計 152 件の脆弱性を解決しています。対象となった脆弱性は、なりすまし、カーネルメモリからの情報漏洩を許してしまう脆弱性、メモリ破損に起因して任意のコード実行やサービス不能攻撃などを許してしまう問題です。また、WPA2 プロトコルの KRACK (Key Reinstallation Attacks) 問題として報告された脆弱性 (CVE-2017-13077、CVE-2017-13078、CVE-2017-13080) に対応しています。
iOS 11.1 では、CoreText、カーネル、メッセージ、Siri、StreamingZip、UIKit、WebKit、Wi-Fi コンポーネントに存在する計 24 件の脆弱性を解決しています。対象となった脆弱性は、メモリ破損に起因して任意のコード実行やサービス不能攻撃などを許してしまう問題です。また、WPA2 プロトコルの KRACK (Key Reinstallation Attacks) 問題として報告された脆弱性 (CVE-2017-13077、CVE-2017-13078、CVE-2017-13080) に対応しています。
重要製造業、エネルギー、上下水道分野で利用されている台湾 Advantech (advantech.com) のリモート制御および管理機能を提供する Advantech Webaccess HMI/SCADA 製品には、スタックオーバーフロー (CWE-121)、信頼できないポインタの参照 (CWE-822) に起因して任意のコード実行を許してしまう脆弱性 (CVE-2017-14016、CVE-2017-12719) が存在します。
化学、エネルギー、農業・食料、上下水道分野で利用されている独 Siemens (siemens.com) のプロセスコントロールシステムのためのソフトウェアである SIMATIC PCS 7 には、DCOM インタフェースで不正なメッセージを受信した場合に、適切でない入力確認 (CWE-20) に起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2017-14023) が存在します。
化学、通信、重要製造業、エネルギー、農業・食料、輸送、上下水道分野で利用されているカナダの Trihedral (trihedral.com) の VTScada には、アクセス権限の昇格を許してしまう脆弱性 (CVE-2017-14029)、攻撃者により細工された外部 DLL の読み込みを許してしまう問題 (DLL プリロード攻撃)(CWE-427)(CVE-2017-14031) に起因して、任意のコード実行を許してしまう可能性があります。VTScada は、可視化を配慮した制御システム向けの管理製品です。
通信分野で利用されているスイス ABB (abb.com) の通信機器 FOX515T には、適切でない入力確認 (CWE-20) に起因してサーバ上のファイル探索により情報漏洩を許してしまう脆弱性 (CVE-2017-14025) が存在します。
Aironet 系 Access Point Platform には、802.11 フレーム処理が適切でないことに起因して、サービス不能攻撃を許してしまう脆弱性 (CVE-2017-12273、CVE-2017-12274) が存在します。不正な 802.11 アソシエーション要求、EAP (Extensible Authentication Protocol) フレームを受信した場合に、脆弱性を悪用される可能性があります。
Wireless LAN Controller の SNMP サブシステム処理には、メモリリークに起因して、サービス不能攻撃を許してしまう脆弱性 (CVE-2017-12278)、802.11v BSS (Basic Service Set) トランザクション管理機能には、パケット処理が適切でないことに起因して、サービス不能攻撃を許してしまう脆弱性 (CVE-2017-12275) が存在します。
Identity Services Engine には、コマンドラインインタフェースの入力検証が適切でないために、アクセス権限昇格を伴う任意のコマンド実行を許してしまう脆弱性 (CVE-2017-12261) が存在します。SSH 接続によって、脆弱性を悪用される可能性があります。
Firepower の Smart Licensing Manager と Security Appliance には、Smart Licensing configuration パラメタの入力検証が適切でないために、任意のコマンドをインジェクションを許してしまう脆弱性 (CVE-2017-12277) が存在します。
ネットワーク管理製品である Cisco Prime Collaboration のプロビジョニングの Web フレームワークインタフェースには、SQL インジェクション問題 (CWE-89)(CVE-2017-12276) が存在します。
アプリケーションセントリックインフラストラクチャネットワークの一元的な自動化および管理を実現する Application Policy Infrastructure Controller の Enterprise Module には、ファイアウォールのルール設定が適切でないために、内部インタフェースに対して、アクセス権限昇格を伴う不正アクセスを許してしまう脆弱性 (CVE-2017-12262) が存在します。
OpenSSL 1.1.0g、1.0.2m では、8 月に報告された不正な IPAddressFamily 拡張が記述された X.509 証明書を取り扱うことにより、領域外のメモリ参照 (out-of-bounds read：CWE-125) が発生する脆弱性 (CVE-2017-3735) を解決しています。また、x86_64 環境のモンゴメリ乗算に存在する不具合に起因して、秘密鍵の推測を許してしまう脆弱性 (CVE-2017-3736) を解決しています。
Samba 4.7.1 では、s3-smbd、vfs 関連モジュールなどに存在する計 31 件の不具合を修正しています。セキュリティアップデートは含まれていません。
Drupal 8.4.2 は、不具合の修正や改善を目的としたリリースです。
Drupal 8.4.1 は、不具合の修正や改善を目的としたリリースです。8.4.1 では、単語の移行、NodeType source プラグイン、http:// なしの URL など、移行に関する問題を修正しています。
WordPress 4.8.3 では、SQL インジェクション問題 (CWE-89)、クロスドメイン Flash インジェクション問題、パスワードのハッシュ関数として MD5 を使用している問題などを解決しています。
担当：寺田、大西／HIRT
