更新日：＜2017.11.20＞
Firefox 57.0 では、任意のコード実行を許してしまう脆弱性、サービス不能攻撃、情報漏洩、なりすまし、セキュリティ機構の迂回を許してしまう脆弱性など、1 件のセキュリティアドバイザリに含まれる計 15 件の脆弱性を解決しています。任意のコード実行はメモリ破損の問題に起因しています。また、ESR として 3 件の脆弱性を解決したバージョン 52.5 がリリースされました。
Acrobat Reader DC ならびに Acrobat DC (2018.009.20044 / 2015.006.30392)、Acrobat Reader 2017 ならびに Acrobat 2017 (2017.011.30068) では、計 61 件の脆弱性を解決しています。脆弱性は、セキュリティ機構の迂回に起因して情報漏洩を許してしまう脆弱性、メモリの解放後使用 (use-after-free：CWE-416)、領域外のメモリ参照 (out-of-bounds read：CWE-125) などに起因して任意のコード実行を許してしまう脆弱性です。
Adobe Flash Player 27.0.0.187 では、計 5 件の脆弱性を解決しています。脆弱性は、領域外のメモリ参照 (out-of-bounds read：CWE-125)、メモリの解放後使用 (use-after-free：CWE-416) に起因して任意のコード実行を許してしまう問題 (CVE-2017-3112、CVE-2017-3114、CVE-2017-11213、CVE-2017-11215、CVE-2017-11225) を解決しています。
Adobe Shockwave Player 12.3.1.201 では、メモリ破損に起因して任意のコード実行を許してしまう脆弱性 (CVE-2017-11294) を解決しています。
iOS 11.1.2 では、iOS 11.1 で解決したメモリ破損に起因して任意のコード実行やサービス不能攻撃などを許してしまう問題に対応しています。
Chrome 62.0.3202.94 では、領域外のメモリ参照 (out-of-bounds read：CWE-125) の脆弱性 (CVE-2017-15428) を解決しています。
2017年11月の月例セキュリティアップデートでは、55 件のマイクロソフト製品のセキュリティ問題を解決しています。脆弱性による影響は、任意のコード実行 25 件、サービス不能 3 件、アクセス権限の昇格 3 件、情報漏洩 18 件、セキュリティ機構の迂回 5 件です。
公共衛生・ヘルスケア分野で利用されているオランダ Philips (philips.com) の心血管臨床情報の管理や電子カルテとの連携を図る IntelliSpace Cardiovascular、Xcelera には、資格情報が平文のまま格納されている問題に起因して情報漏洩やアクセス権限の昇格を許してしまう脆弱性 (CVE-2017-14111) が存在します。
エネルギー分野などで利用されている独 Siemens (siemens.com) の SICAM 小型遠隔制御機器には、重要な機能に対する認証の欠如 (CWE-306) により情報漏洩を許してしまう脆弱性 (CVE-2017-12737)、クロスサイトスクリプティング問題 (CWE-79)(CVE-2017-12738)、コードインジェクションにより、リモートからのコード実行を許してしまう脆弱性 (CVE-2017-12739) が存在します。
ダム、重要製造業、エネルギー、輸送分野で利用されている台湾 MOXA (moxa.com) の NPort 5110、5130、5150 シリーズには、パケットインジェクションによりサービス不能攻撃を許してしまう脆弱性 (CVE-2017-16719)、情報漏洩を許してしまう脆弱性 (CVE-2017-16715)、大量の TCP SYN パケットを受信した場合にリソース消費を意図するサービス不能攻撃を許してしまう脆弱性 (CVE-2017-14028) が存在します。NPort シリーズはシリアルと Modbus/TCP 接続、シリアルとイーサネット接続などの接続機器です。
重要製造業、エネルギー分野で利用されているスイス ABB (abb.com) の WPA2 プロトコルを使用可能な TropOS ブロードバンドメッシュルータには、KRACK (Key Reinstallation Attacks) 問題で報告された暗号化処理における Nonce や鍵ペアの再利用 (CWE-323) の脆弱性 (CVE-2017-13077 〜 CVE-2017-13082、CVE-2017-13084、CVE-2017-13086 〜 CVE-2017-13088) が存在します。
化学、エネルギー、農業・食料、公共衛生・ヘルスケア、輸送、上下水道分野で利用されている独 Siemens (siemens.com) の WPA2 プロトコルを使用可能な SCALANCE、SIMATIC、RUGGEDCOM、SINAMIC 製品には、KRACK (Key Reinstallation Attacks) 問題で報告された暗号化処理における Nonce や鍵ペアの再利用 (CWE-323) の脆弱性 (CVE-2017-13077 〜 CVE-2017-13082、CVE-2017-13084、CVE-2017-13086 〜 CVE-2017-13088) が存在します。
Voice Operating System 系製品のアップグレード機構には、管理者権限での不正アクセスを許してしまう脆弱性 (CVE-2017-12337) が存在します。
Oracle Tuxedo の Jolt server には、リモートからの不正アクセスを許してしまう、CVE-2017-10269 と 4 件の脆弱性が存在します。
Samba 4.7.2、4.6.10 では、python、s3-smbd モジュールなどに存在する、計 5 件、計 11 件の不具合を修正しています。セキュリティアップデートは含まれていません。
NSX Edge には、クロスサイトスクリプティング問題 (CWE-79)(CVE-2017-4929) が存在します。
VMware Workstation、VMware Fusion には、VMNAT 機器にヒープオーバーフロー (CVE-2017-4934)、Cortado ThinPrint を介した領域外メモリへの書き出し (out-of-bounds write：CWE-787)(CVE-2017-4935)、領域外のメモリ参照 (out-of-bounds read：CWE-125)(CVE-2017-4936、CVE-2017-4937) に起因して任意のコード実行を許してしまう脆弱性、Guest RPC での NULL ポインタ参照 (NULL pointer dereference：CWE-476) に起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2017-4938)、Workstation インストーラに攻撃者により細工された外部 DLL の読み込みを許してしまう問題 (DLL プリロード攻撃)(CWE-427)(CVE-2017-4939) に起因して、任意のコード実行を許してしまう可能性があります。
Red Hat 製品でサポートされている Firefox のセキュリティアップデート (RHSA-2017:3247)、Adobe Flash プラグインのセキュリティアップデート (RHSA-2017:3222) がリリースされました。このアップデートでは、Firefox 52.5.0 ESR、Adobe Flash Player 27.0.0.187 で解決した脆弱性に対応しています。
WordPress 4.9 は、カスタマイザワークフローの改善、コーディング機能の強化、ウィジェットのアップデート、サイト構築の改善などが施されました。
13 件のセキュリティノートがリリースされています。SAP Management Console への不正アクセスを許してしまう問題、SAP BI Mobile Server でのディレクトリトラバーサル問題 (CWE-22)、SAP HANA でのアクセス権限の昇格を許してしまう問題、NwSapSetu や自己解凍ファイルでのアプリケーション DLL 問題、SAPUI5、SAP BusinessObjects Analysis Edition for OLAP、SAP CRM Mail Form Editor などでのクロスサイトスクリプティング問題 (CWE-79) が報告されています。
担当：寺田、大西／HIRT
