更新日：＜2018.08.20＞
Acrobat Reader DC ならびに Acrobat DC (2018.011.20058 / 2015.006.30448)、Acrobat Reader 2017 ならびに Acrobat 2017 (2017.011.30099) では、領域外メモリへの書き出し (out-of-bounds write：CWE-787)、信頼できないポインタの参照 (CWE-822) に起因して任意のコード実行を許してしまう脆弱性 (CVE-2018-12808、CVE-2018-12799) を解決しています。
Adobe Flash Player 30.0.0.154 では、領域外のメモリ参照 (out-of-bounds read: CWE-125) に起因して情報漏洩を許してしまう脆弱性 (CVE-2018-12824、CVE-2018-12826、CVE-2018-12827)、セキュリティ機構の迂回、アクセス権限の昇格を許してしまう脆弱性 (CVE-2018-12825、CVE-2018-12828) を解決しています。
2018年 8月の月例セキュリティアップデートでは 63 件のマイクロソフト製品のセキュリティ問題を解決しています。脆弱性による影響は、任意のコード実行 30 件、アクセス権限の昇格 14 件、なりすまし 2 件、情報漏洩 11 件、セキュリティ機構の迂回 4 件です。
公共衛生・ヘルスケア分野で利用されているオランダ Philips (philips.com) の休息用心電計 PageWriter には、適切でない入力確認 (CWE-20)、資格情報がハードコーディングされている問題 (CWE-798) に起因して、機器への不正アクセスを許してしまう脆弱性 (CVE-2018-14799、CVE-2018-14801) が存在します。
公共衛生・ヘルスケア分野で利用されているオランダ Philips (philips.com) の心血管臨床情報の管理や電子カルテとの連携を図る IntelliSpace Cardiovascular には、適切でない権限管理 (CWE-269)、引用符で囲まれていないプログラムパス (CWE-428) に起因して、アクセス権限の昇格や任意のコード実行を許してしまう脆弱性 (CVE-2018-14787、CVE-2018-14789) が存在します。
化学、エネルギー分野で利用されている Emerson (emerson.com) の分散型制御システム (DCS) Delta-V の ワークステーションには、制御されていない検索パス問題 (CWE-427)、相対ディレクトリトラバーサル問題 (CWE-23)、適切でない権限管理 (CWE-269)、スタックオーバーフロー (CWE-121) に起因して、任意のコード実行を許してしまう脆弱性 (CVE-2018-14791、CVE-2018-14793、CVE-2018-14795、CVE-2018-14797) が存在します。
化学、エネルギー、農業・食料、上下水道分野で利用されている独 Siemens (siemens.com) のライセンス管理パッケージである Automation License Manager には、相対ディレクトリトラバーサル問題 (CWE-23) に起因して任意のコード実行を許してしまう脆弱性 (CVE-2018-11455)、適切でない入力確認 (CWE-20) に起因してポート状態情報の取得を許してしまう脆弱性 (CVE-2018-11456) が存在します。
重要製造業分野で利用されている米 Tridium (tridium.com) の ビルディングオートメーション統合のためのソフトウェア Niagara には、ディレクトリトラバーサル問題 (CWE-22)、適切でない認証 (CWE-287) に起因する脆弱性 (CVE-2017-16744、CVE-2017-16748) が存在します。
化学、重要製造業、エネルギー、農業・食料、上下水道分野で利用されている独 Siemens (siemens.com) の制御システム製品には、OpenSSL 1.0.2n で解決したハンドシェイク中にエラーが発生した場合に遷移するエラー状態機構が正しく動作しない脆弱性 (CVE-2017-3737) が存在します。
化学、エネルギー、農業・食料、上下水道分野で利用されている独 Siemens (siemens.com) の独 Siemens (siemens.com) の SIMATIC 製品 STEP 7、WinCC には、適切でないデフォルトアクセス許可 (CWE-276) に起因して、不正アクセスを許してしまう脆弱性 (CVE-2018-11453、CVE-2018-11454) が存在します。
Web セキュリティのアプライアンス製品である Cisco Web Security Appliance に同梱されている Cisco AsyncOS ソフトウェアの Web プロキシ機能には、TCP 通信に関する適切でないリソース消費制限 (CWE-400) に起因して、サービス不能攻撃を許してしまう脆弱性 (CVE-2018-0410) が存在します。
セッション管理プラットフォームである Cisco Unified Communications Manager の IM & Presence サービス、Cisco TelePresence Video Communication Server、Expressway の XCP ルータサービスには、適切でない入力確認 (CWE-20) に起因して、サービス不能攻撃を許してしまう脆弱性 (CVE-2018-0410) が存在します。IPv4 あるいは、IPv6 の不正なパケットをポート番号 7400/TCP で受信した場合に脆弱性の影響を受ける可能性があります。
DNS コンテンツサーバ (権威 DNS サーバ) の一つである NSD (Name Server Daemon) のバージョン 4.1.24 では、RFC 8162 で規定されている S/MIME 証明書を取り扱う SMIMEA リソースレコードをサポートするとともに、CAA (Certification Authority Authorization) リソースレコード処理の不具合など修正しています。
PHP 7.2.9、7.1.21 では、Calendar、Filter、PDO_Firebird、PDO_PgSQL、SQLite3、Standard、Zip、コンポーネントに存在するメモリリークの問題など、計 9 件の不具合を修正しています。
Samba 4.8.4、4.7.9、4.6.16 では、サービス不能攻撃、情報漏洩を許してしまう問題など、計 5 件の脆弱性を解決しています。報告されている脆弱性は、AD DC DRSUAPI サーバ、DNS/LDAP サーバでのサービス不能攻撃を許してしまう問題 (CVE-2018-10918、CVE-2018-1140)、AD LDAP サーバから情報漏洩を許してしまう問題 (CVE-2018-10919)、弱い認証プロトコルを受け入れてしまう問題 (CVE-2018-1139)、libsmbclient での適切でない入力確認 (CWE-20) に起因してメモリの上書きを許してしまう問題 (CVE-2018-10858) です。
Tomcat 9.0.11、8.5.33 は、不具合の修正や改善を目的としたリリースです。URL デコード処理の修正、ライブラリ格納場所に関する記述の追記 (9.0.11)、コンパイルオプションの拡充 (8.5.33)、Jasper Java ファイル生成プロセスのマルチスレッド化などを施しています。リリース時点で、セキュリティアップデートの報告はありません。
7月22日、Tomcat 9.0.10、で解決した脆弱性情報が掲載されました。報告された脆弱性は、WebSocket クライアントの TLS 接続においてホスト名が検証されない問題 (CVE-2018-8034)、NIO、NIO2 コネクタでのセッション競合により情報漏洩を許してしまう問題 (CVE-2018-8037)、UTF-8 デコーダの補助文字処理でのサービス不能攻撃を許してしまう問題 (CVE-2018-1336) です。
Workstation and Fusion には、領域外メモリへの書き出し (out-of-bounds write：CWE-787)(CVE-2018-6973) に起因して、任意のコード実行を許してしまう可能性があります。
vCloud Usage Meter、Identity Manager、vCenter Server、vSphere Data Protection、vSphere Integrated Containers、vRealize Automation における Meltdown、Spectre から派生した CPU 脆弱性問題として、L1 データキャッシュからの情報漏洩を許してしまう L1 Terminal Fault (L1TF) OS/SMM 問題 (CVE-2018-3620) の影響を報告しています。
vCenter Server、ESXi、Workstation、Fusion における Meltdown、Spectre から派生した CPU 脆弱性問題として、L1 データキャッシュからの情報漏洩を許してしまう L1 Terminal Fault (L1TF) VMM 問題 (CVE-2018-3646) の影響を報告しています。
Red Hat 製品でサポートされている Fuse Integration Service のセキュリティアップデート (RHSA-2018:2405)(深刻度：緊急) がリリースされました。認証機構の迂回、セキュリティ機構の迂回、任意のコード実行、情報漏洩などを許してしまう脆弱性 (CVE-2017-12196、CVE-2017-8046、CVE-2018-1199、CVE-2018-1295、CVE-2018-9159) を解決しています。
NTP 4.2.8p12 では、ntpd、ntpdc に存在する脆弱性を解決しています。報告された脆弱性は、時刻の改ざんを許してしまう問題 (CVE-2016-1549)、コマンドラインでのホスト名処理において、バッファ領域外への書き出しを許してしまう問題です。また、27 件の不具合の修正、4 件の改善を施しています。
12 件のセキュリティノートがリリースされています。該当する製品は、SAP ABAP Change and Transport System (CTS)、SAP BusinessObjects Business Intelligence Platform、SAP BusinessObjects Financial Consolidation、SAP HANA Extended Application Services、SAP Identity Management、SAP Internet Graphics Server (IGS)、SAP MaxDB (liveCache)、SAP Supplier Relationship Management Master Data Management Catalog です。報告されている脆弱性は、適切でない認証 (CWE-287)(CVE-2018-2449)、SQL インジェクション問題 (CWE-89)(CVE-2018-2447、CVE-2018-2450)、クロスサイトリクエストフォージェリ問題 (CWE-352)(CVE-2018-2442)、サーバサイドリクエストフォージェリ問題 (CWE-918)(CVE-2018-2445)、クロスサイトスクリプティング問題 (CWE-79)(CVE-2018-2444)、情報漏洩を許してしまう脆弱性 (CVE-2018-2446)(CVE-2018-2448) などです。
担当：寺田、大西／HIRT
