更新日：＜2018.05.14＞
Firefox 60.0 では、任意のコード実行を許してしまう脆弱性、サービス不能攻撃、アクセス権限の昇格、情報漏洩、なりすまし、セキュリティ機構の迂回を許してしまう脆弱性など、1 件のセキュリティアドバイザリに含まれる計 26 件の脆弱性を解決しています。任意のコード実行はメモリ破損の問題に起因しています。また、ESR として 10 件の脆弱性を解決したバージョン 52.8 がリリースされました。
Firefox 59.0.3、ESR 52.7.4 では、Windows 10 との互換性に関する不具合を修正しています。セキュリティアップデートは含まれていません。
Adobe Flash Player 29.0.0.171 では、型の取り違え (type confusion: CWE-843) に起因して任意のコード実行を許してしまう問題 (CVE-2018-49447) を解決しています。
Chrome 66.0.3359.170 では、サンドボックス機構の迂回、アクセス権限の昇格、型の取り違え (type confusion: CWE-843)、ヒープオーバーフロー (CWE-122) に関する計 4 件の脆弱性 (CVE-2018-6120 〜 CVE-2018-6122 他) を解決しています。
2018年 5月の月例セキュリティアップデートでは 67 件のマイクロソフト製品のセキュリティ問題を解決しています。脆弱性による影響は、任意のコード実行 32 件、サービス不能 1 件、アクセス権限の昇格 16 件、なりすまし 1 件、情報漏洩 10 件、セキュリティ機構の迂回 8 件です。
公共衛生・ヘルスケア分野で利用されている Silex Technology (silex.jp) のシリアルデバイスサーバ SX-500/SD-320AN、米 GE Healthcare (gehealthcare.com) の MobileLink には、適切でない認証 (CWE-287)、OS コマンドインジェクション (CWE-78) に起因して、設定変更や任意のコード実行を許してしまう脆弱性 (CVE-2018-6020、CVE-2018-6021) が存在します。
重要製造業分野などで利用されている米 Rockwell Automation (rockwellautomation.com) のシミュレーション関連製品 Arena には、メモリの解放後使用 (use-after-free: CWE-416) に起因して、サービス不能攻撃を許してしまう脆弱性 (CVE-2018-8843) が存在します。
化学、エネルギー分野で利用されている米 MatrikonOPC (matrikonopc.com) の Explorer には、ファイルやディレクトリへの第三者アクセスを許してしまう脆弱性 (CVE-2018-8714) が存在します。Explorer は、OPC サーバとの接続を支援するためのユーティリティです。
商業施設分野で利用されている独 Siemens (siemens.com) の ビデオ監視システム Siveillance VMS のモバイルアプリには、適切でない証明書の確認 (CWE-295) に起因して、中間者攻撃による通信へのアクセスや関与を許してしまう問題 (CVE-2018-4849) が存在します。
独 Siemens (siemens.com) の ビデオ監視システム Siveillance VMS には、信頼できないデータのデシリアライゼーション (CWE-502) に起因して、アクセス権限の昇格やサービス不能攻撃を許してしまう脆弱性 (CVE-2018-7891) が存在します。ビデオ監視システムでは、ポート番号 6473/TCP、7474/TCP、8966/TCP、9993/TCP を使用しており、このうち、7474/TCP、9993/TCP を介して脆弱性を悪用される可能性があります。
重要製造業、農業・食料、化学、エネルギー、上下水道分野などで利用されている独 Siemens (siemens.com) の 中電圧用 SINAMICS 製品には、ポート番号 161/UDP の不正なパケットや不正な PROFINET DCP (Discovery and Configuration Protocol) ブロードキャストパケットを受信した際に、サービス不能攻撃を許してしまう脆弱性 (CVE-2017-12741、CVE-2017-2680) が存在します。
化学、重要製造業、農業・食料、上下水道分野などで利用されている米 Rockwell Automation (rockwellautomation.com) の FactoryTalk Activation Manager には、クロスサイトスクリプティング問題 (CWE-79)(CVE-2017-13754)、メモリバッファ境界での適切でない操作制限 (CWE-119)に起因して、任意のコード実行を許してしまう脆弱性 (CVE-2015-8277) が存在します。また、FactoryTalk AssetCentre、FactoryTalk Batch、FactoryTalk EnergyMetrix などの FactoryTalk サービスプラットフォーム製品が、この脆弱性の影響を受けます。
Cosminexus Component Container を構成部品として使用している Cosminexus 製品には、適切でないアクセス許可、権限、制御 (CWE-264) に関する脆弱性 (CVE-2017-7536) が存在します。脆弱性は、2017年10月にリリースされた JavaBeans の検証フレームワーク Hibernate Validator 5.4.2 で解決した問題です。
Hitachi Infrastructure Analytics Advisor には、アクセス制御に関する脆弱性が存在します。
Hitachi Command Suite 製品、および、Hitachi Infrastructure Analytics Advisor の TLS 実装には、Bleichenbacher 攻撃を許してしまう脆弱性 (CVE-2017-1000385) が存在します。脆弱性は、Erlang/OTP で報告された問題です。
DNS コンテンツサーバ (権威 DNS サーバ) である PowerDNS Authoritative Server には、不正な PCAP ファイル再生の入力でバッファオーバーフローが発生し、サービス不能攻撃や任意のコマンド実行を許してしまう脆弱性 (CVE-2018-1046) が存在します。
Tomcat 8.0.52、7.0.88 は、不具合の修正や改善を目的としたリリースです。RFC 7230、RFC 3986 に準拠しないユーザエージェントを想定した構成オプションの実装、複数ホストならびに Web アプリケーションでクロールする場合に CrawlerSessionManagerValve の有効化などを施しています。リリース時点で、セキュリティアップデートの報告はありません。7.0.87 はリリースされていません。
PostgreSQL 10.4、9.6.9、9.5.13、9.4.18、9.3.23 では、pg_logfile_rotate 関数が管理者のみが実行できるというアクセス設定を継承しないという問題 (CVE-2018-1115) を解決しています。adminpack をインストールしている場合に影響を受けます。また、50 件以上の不具合の修正と改善を施しています。
Red Hat 製品でサポートされている Adobe Flash プラグイン (RHSA-2018:1367) のセキュリティアップデートがリリースされました。このアップデートでは、Adobe Flash Player 29.0.0.171 で解決した脆弱性に対応しています。
9 件のセキュリティノートがリリースされています。該当する製品は、Internet Graphics Server、MaxDB ODBC driver、Identity Management、Internet Graphics Server、NetWeaver Application Server Java Web Container and HTTP Service、Enterprise Financial Services です。報告されている脆弱性は、適切でないアップロートファイル制限 (CVE-2018-2420)、コードインジェクション問題 (CVE-2018-2418)、情報漏洩 (CVE-2018-2417)、サービス不能攻撃を許してしまう脆弱性 (CVE-2018-2421 〜 CVE-2018-2423) などです。
担当：寺田、大西／HIRT
