チェックしておきたい脆弱性情報 ＜2018.01.22＞

Java SE 8 Update 161 には、AWT、Deployment、ホットスポット、インストーラ、LDAP、ライブラリなどに関する計 19 件のセキュリティアップデートが含まれています。報告された脆弱性のうち、認証操作なしでリモートからの攻撃を許してしまう脆弱性の件数は 17 件です。また、Java SE 8 Update 161 では、8192 ビット長の DHE、3072 ビット長の DSA のサポート、TLS FFDHE(Finite Field Diffie-Hellman Ephemeral Parameters) 機能が新たに導入されました。また、RSA 公開鍵の検証方法、1024 ビット未満の Diffie-Hellman 鍵の取扱い、デフォルトの鍵長などの変更が施されました。同時にリリースされた Java SE 8 Update 162 には、セキュリティアップデートに加えて複数バグの修正が含まれています。

• Oracle Critical Patch Update Advisory - January 2018
• Java 8 リリースのハイライト : Java 8 Update 161 (8u161)
• Java 8 Update 161 (8u161) リリースノート

化学、エネルギー、農業・食料、上下水道分野などで利用されている独 Siemens (siemens.com) の SIMATIC WinCC Add-On には、不正な ASN1 ストリーム、ファイル名を処理した際に、スタックオーバーフロー (CWE-121) に起因して、任意のコード実行を許してしまう脆弱性 (CVE-2017-11496、CVE-2017-11497)、不正な HTML ファイルを処理した際に、適切でない入力確認 (CWE-20) に起因して、サービス不能攻撃を許してしまう脆弱性 (CVE-2017-11498) が存在します。

• ICSA-18-018-01: Siemens SIMATIC WinCC Add-On

日立ディスクアレイシステム SVP には、マイクロソフト 2018年 1月の月例セキュリティアップデートで解決した脆弱性の影響はありません。

• hitachi-sec-2017-312: 日立ディスクアレイシステムにおける SVP セキュリティホール (2018年 1月分) 対策について

Hitachi Command Suite 製品には、Apache httpd 2.4.27 で解決した mod_http2 モジュールに存在するサービス不能攻撃 (CVE-2017-7668)、mod_mime モジュールに存在する情報漏洩 (CVE-2017-7679) が存在します。

• hitachi-sec-2018-101: Hitachi Command Suite 製品における複数の脆弱性
• CVSS:2.0/AV:N/AC:L/Au:N/C:P/I:P/A:P
• CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

電子メールセキュリティのアプライアンス製品である Email Security Appliance、コンテンツセキュリティのアプライアンス製品である Content Security Management Appliance には、アクセス権限の昇格を許してしまう脆弱性 (CVE-2018-0095) が存在します。この問題は、管理 CLI のネットワーク設定が適切でないために、管理者権限でのコマンド実行が可能となるというものです。

• cisco-sa-20180117-esasma: Cisco Email Security and Content Security Management Appliance Privilege Escalation Vulnerability

NX-OS 系製品の Pong ツールには、メモリの 2 重解放 (double free：CWE-415) に起因して、サービス不能攻撃を許してしまう脆弱性 (CVE-2018-0102) が存在します。この問題は、pong 応答パケットが FabricPath ポートと非 FabricPath ポートの両方に出力されるようなネットワーク上の場所から、pong 要求を送信された場合に影響を受ける可能性があります。

• cisco-sa-20180117-nx-os: Cisco NX-OS Software Pong Packet Denial of Service Vulnerability

Cisco Unified Customer Voice Portal のアプリケーションサーバには、サービス不能攻撃を許してしまう脆弱性 (CVE-2018-0086) が存在します。Cisco Virtualized Voice Browser と通信中に、不正な SIP INVITE メッセージを受信した場合に影響を受ける可能性があります。

• cisco-sa-20180117-cvp: Cisco Unified Customer Voice Portal Denial of Service Vulnerability

Oracle Critical Patch Update Advisory - January 2018 には、Database Server 系 5 件、Fusion Middleware 系 27 件、Applications 系 40 件、仮想化系 14 件、MySQL 系 25 件、Java SE 系 22 件、計 238 件のセキュリティアップデートが含まれています。認証操作なくリモートからの攻撃を許してしまう脆弱性の件数は計 136 件となっています。

• Oracle Critical Patch Update Advisory - January 2018

BIND 9.11.2-P1、9.10.6-P1、9.9.11-P1 では、反復検索処理でのメモリの解放後使用 (use-after-free：CWE-416) に起因して、サービス不能攻撃を許してしまう脆弱性 (CVE-2017-3145) を解決しています。DNSSEC 検証が有効にしているキャッシュ DNS サーバが影響を受けるとしています。

• BIND 9 Security Vulnerability Matrix
• CVE-2017-3145: Improper fetch cleanup sequencing in the resolver can cause named to crash
• BIND 9.x の脆弱性 (DNS サービスの停止) について (CVE-2017-3145) 〜 DNSSEC 検証が有効に設定されている場合のみ対象、バージョンアップを強く推奨 〜

MySQL 5.7.21、5.6.39 の sha256_password 認証プラグインではパスワードを最大 256 文字に制限しました。また、OpenSSL ライブラリをリンクしている MySQL Commercial Server については、OpenSSL のバージョンを 1.0.2n にアップデートしています。5.5.59 では、InnoDB Storage Engine 処理などに存在する不具合を修正しています。

• Changes in MySQL 5.7.21 (2018-01-15)
• Changes in MySQL 5.6.39 (2018-01-15)
• Changes in MySQL 5.5.59 (2018-01-15)

VMware Workstation、Fusion の VMware NAT サービスには、IPv6 モードが有効な場合に、メモリの解放後使用 (use-after-free：CWE-416)、整数オーバーフロー (CWE-190) に起因して任意のコード実行を許してしまう脆弱性 (CVE-2017-4949, CVE-2017-4950) が存在します。

• VMSA-2018-0005: VMware Workstation, and Fusion updates resolve use-after-free and integer-overflow vulnerabilities

VMware ESXi、Workstation、Fusion における Spectre の影響の追加報告です。Spectre で報告されている問題のうち、分岐先予測への介入 (CVE-2017-5715) を利用して、権限なしでメモリアクセスを許してしまう問題に対する新たな攻撃アプローチへの対応です。

• VMSA-2018-0004: VMware vSphere, Workstation and Fusion updates add Hypervisor-Assisted Guest Remediation for speculative execution issue.

DHCP 4.1.0 〜 4.1-ESV-R15、4.2.0 〜 4.2.8、4.3.0 〜 4.3.6 には、終了した OMAPI(Object Management Application Programming Interface) コネクションが適切にクリーンアップされないために、ソケット資源を使い尽くしてしまう脆弱性 (CVE-2017-3144) が存在します。悪用された場合、DHCP クライアントに対するサービスは継続しつつも、管理者が OMAPI 経由で DHCP サーバにアクセスできなくなります。ISC では、パッチを準備し、対策版は今後のリリースで提供するとしています。

• CVE-2017-3144: Failure to properly clean up closed OMAPI connections can exhaust available sockets

Red Hat 製品でサポートされている Java (java-1.8.0-oracle) のセキュリティアップデート (RHSA-2018:0099) がリリースされました。このアップデートでは、Java SE 8 Update 161 で解決した脆弱性に対応しています。

• Red Hat Security Advisories

• HIRT-PUB
• 活動参考資料
• CSIRTメモ