更新日：＜2018.09.17＞
Adobe Flash Player 31.0.0.108 では、アクセス権限の昇格に起因して情報漏洩を許してしまう脆弱性 (CVE-2018-15967) を解決しています。
Chrome 69.0.3497.92 では、署名の検証に関する不具合、URL なりすましを許してしまう問題など、計 2 件の脆弱性を解決しています。
2018年 9月の月例セキュリティアップデートでは 64 件のマイクロソフト製品のセキュリティ問題を解決しています。脆弱性による影響は、任意のコード実行 23 件、サービス不能 7 件、アクセス権限の昇格 9 件、なりすまし 2 件、情報漏洩 19 件、セキュリティ機構の迂回 5 件です。
商業施設、重要製造業、エネルギー、公共衛生・ヘルスケア分野で利用されている米 Honeywell (honeywell.com) の Android 版モバイル製品には、適切でない権限管理 (CWE-269) に起因してアクセス権限の昇格を許してしまう脆弱性 (CVE-2018-14825) が存在します。
化学、エネルギー、農業・食料、公共衛生・ヘルスケア、輸送、上下水道分野で利用されている独 Siemens (siemens.com) の産業用イーサネットスイッチ SCALANCE X には、ポート番号 443/TCP の不正なパケットを受信した際に、サービス不能攻撃を許してしまう脆弱性 (CVE-2018-13807) が存在します。
化学、エネルギー、農業・食料、上下水道分野で利用されている独 Siemens (siemens.com) のシーメンス (siemens.com) の SIMATIC WinCC OA (Open Architecture) には、ポート番号 5678/TCP における適切でないアクセス制御 (CWE-284) に起因してアクセス権限の昇格を許してしまう脆弱性 (CVE-2018-13799) が存在します。SIMATIC WinCC OA は、可視化やプロセス運用などを支援する SCADA システムです。
化学、エネルギー、農業・食料、上下水道分野で利用されている独 Siemens (siemens.com) の Text Display 用の設計ツール TD Keypad Designer には、制御されていない検索パス問題 (CWE-427) に起因してアクセス権限の昇格を許してしまう脆弱性 (CVE-2018-13806) が存在します。
重要製造業分野で利用されている富士電機 (fujielectric.com) の設備の監視や操作を可能とする遠隔監視ソフトウェア V-Server Lite には、バッファオーバーフロー (CWE-120) に起因して任意のコード実行を許してしまう脆弱性 (CVE-2018-10637) が存在します。
重要製造業分野で利用されている富士電機 (fujielectric.com) の設備の監視や操作を可能とする遠隔監視ソフトウェア V-Server には、任意のコード実行を許してしまう複数の脆弱性 (CVE-2018-14809、CVE-2018-14811、CVE-2018-14813、CVE-2018-14815、CVE-2018-14817、CVE-2018-14819、CVE-2018-14823) が存在します。報告されている問題は、信頼できないポインタの参照 (CWE-822)、ヒープオーバーフロー (CWE-122)、領域外メモリへの書き出し (out-of-bounds write: CWE-787)、整数アンダーフロー (CWE-191)、領域外のメモリ参照 (out-of-bounds read: CWE-125)、スタックオーバーフロー (CWE-121) です。
日立ディスクアレイシステムには、不正な .LNK ファイルにアクセスしてしまうなど、LNK の脆弱性の更新プログラム (CVE-2018-8345、CVE-2018-8346) の問題を悪用された場合、任意のコード実行を許してしまう可能性があります。
OpenSSL 1.1.1 がリリースされました。OpenSSL 1.1.1 では、RFC8446 (TLSv1.3) が追加され、SHA3、SHA512/224、SHA512/256、EdDSA、X448、Multi-prime RSA、SM2、SM3、SM4 などの新しいアルゴリズムをサポートしています。また、OpenSSL 1.1.0i で解決した RSA 鍵生成アルゴリズムの脆弱性 (CVE-2018-0737)、サービス不能攻撃を許してしまう脆弱性 (CVE-2018-0732)、OpenSSL 1.1.0h で解決した再帰的に構成された ASN.1 データ処理に存在するサービス不能攻撃を許してしまう脆弱性 (CVE-2018-0739)、HP-UX PA-RISC での CRYPTO_memcmp 処理に存在するメッセージ偽造を許してしまう脆弱性 (CVE-2018-0733)、x86_64 環境の AVX2 モンゴメリ乗算に存在する不具合に起因して秘密鍵の推測を許してしまう脆弱性 (CVE-2017-3738) に対応しています。
PHP 7.2.10、7.1.22では、Apache2、Core、gettext、iconv、intl、libxml、mbstring、Opcache、OpenSSL、phpdbg、SPL、Standard、zlib コンポーネントに存在するメモリ破損 (memory corruption：CWE-119) など、計 20 件、計 19 件の不具合を修正しています。7.0.32、5.6.38 では、Apache2 コンポーネントに存在するクロスサイトスクリプティング問題 (CWE-79) の脆弱性 (CVE-2018-17082) を解決しています。
バージョン 4.9 系がリリースされました。Samba 4.9.0 では、Windows SPN (service principal name) 管理のためのサブコマンドの追加、パスワード変更、グループメンバシップ変更などの監査機能のサポート、LMDB(Lightning Memory-Mapped Database) を用いた LDB バックエンドの実験的な導入、samba-tool に、ドメインのバックアップや復元のためのサブコマンド追加、ドメインの名前変更ツールなどの機能強化を施しています。セキュリティアップデートは含まれていません。
Tomcat 9.0.12、8.5.34 は、不具合の修正や改善を目的としたリリースです。HTTP/2 での非同期 Servlet API 使用に関する複数の不具合の修正、%{HTTP_HOST} を使用した際の RewriteMap での不具合の修正、CATALINA_HOME、CATALINA_BASE の使用に関する情報の拡張などを施しています。リリース時点で、セキュリティアップデートの報告はありません。
Red Hat 製品でサポートされている Firefox、JBoss Enterprise Application Platform のセキュリティアップデート (RHSA-2018:2692, RHSA-2018:2693、RHSA-2018:2663、RHSA-2018:2664)(深刻度：緊急) がリリースされました。Firefox では、60.2.0 ESR で解決した脆弱性に対応しています。JBoss Enterprise Application Platform では、JavaServer Faces 向けに Ajax 機能を持つコンポーネントを提供するライブラリ RichFaces と Apache CXF パッケージのセキュリティアップデートに対応しています。
ColdFusion 2018 Update 1 では、信頼できないデータのデシリアライゼーション (CWE-502)、セキュリティ機構の迂回、ファイル一覧の表示などに起因して、任意のコード実行、情報漏洩、任意のファイルアップロードや作成を許してしまう脆弱性 (CVE-2018-15957 〜 CVE-2018-15965) を解決しています。また、これら脆弱性を解決する ColdFusion 2016 Update 7、ColdFusion 11 Update 15 がリリースされました。
Drupal 8.6.1 は、不具合の修正や改善を目的としたリリースです。taxonomy_update_8502 実行中に発生するデータアクセスの不具合を修正しています。
13 件のセキュリティノートがリリースされています。該当する製品は、SAP Business One、SAP NetWeaver BI、SAP HANA、SAP WebDynpro、SAP NetWeaver AS Java、SAP Hybris Commerce、SAP Plant Connectivity、SAP Adaptive Server Enterprise、SAP HCM Fiori "People Profile"、SAP Mobile Platform、SAP Enterprise Financial Services、SAP Business One Android application です。報告されている脆弱性は、クロスサイトスクリプティング問題 (CWE-79)(CVE-2018-2464、CVE-2018-2452)、サーバサイドリクエストフォージェリ問題 (CWE-918)(CVE-2018-2463)、許可確認の未実施 (CWE-862)(CVE-2018-2461、CVE-2018-2455、CVE-2018-2454)、情報漏洩を許してしまう脆弱性 (CVE-2018-2458、CVE-2018-2457、CVE-2018-2459)、サービス不能攻撃を許してしまう脆弱性 (CVE-2018-2465) などです。
担当：寺田、大西／HIRT
