更新日：＜2018.12.10＞
Adobe Flash Player 32.0.0.101 では、メモリの解放後使用 (use-after-free: CWE-416) に起因して任意のコード実行を許してしまう脆弱性 (CVE-2018-15982) を解決しています。また、Adobe Flash Player Installer31.0.0.122 では、不正な外部 DLL の読み込みを許してしまう問題 (制御されていない検索パス問題)(CWE-427) に起因して、アクセス権限の昇格を許してしまう脆弱性 (CVE-2018-15983) を解決しています。
watchOS 5.1.2 では、Airport、ディスクイメージ、カーネル、LinkPresentation、Profiles、WebKit、コンポーネントに存在する計 15 件の脆弱性を解決しています。対象となった脆弱性は、なりすまし、サービス不能攻撃、型の取り違え (type confusion：CWE-843) に起因してアクセス権限の昇格を許してしまう問題、メモリ破損に起因して任意のコード実行を許してしまう問題などです。
Windows 版 iCloud 7.9 では、Safari、WebKit コンポーネントに存在する計 8 件の脆弱性 (CVE-2018-4437 〜 CVE-2018-4443、CVE-2018-4464) を解決しています。対象となった脆弱性は、なりすまし、メモリ破損に起因して任意のコード実行を許してしまう問題などです。
Safari 12.0.2 では、Safari、WebKit コンポーネントに存在する計 9 件の脆弱性 (CVE-2018-4437 〜 CVE-2018-4443、CVE-2018-4445、CVE-2018-4464) を解決しています。対象となった脆弱性は、なりすまし、メモリ破損に起因して任意のコード実行を許してしまう問題などです。
Windows 版 iTunes 12.9.2 では、Safari、WebKit コンポーネントに存在する計 8 件の脆弱性 (CVE-2018-4437 〜 CVE-2018-4443、CVE-2018-4464) を解決しています。対象となった脆弱性は、なりすまし、メモリ破損に起因して任意のコード実行を許してしまう問題などです。
macOS Mojave 10.14.2、セキュリティアップデート 2018-003 High Sierra、セキュリティアップデート 2018-006 Sierra では、Airport、AMD、Carbon Core、ディスクイメージ、Intel Graphics Driver、IOHIDFamily、カーネル、LibreSSL、NetAuth、Simple certificate enrollment protocol (SCEP)、WindowServer コンポーネントに存在する計 13 件の脆弱性 (CVE-2018-4303、CVE-2018-4427、CVE-2018-4431、CVE-2018-4434、CVE-2018-4435 他) を解決しています。対象となった脆弱性は、サービス不能攻撃、型の取り違え (type confusion：CWE-843) に起因してアクセス権限の昇格を許してしまう問題、メモリ破損に起因して任意のコード実行を許してしまう問題などです。
iOS 向け ショートカット 2.1.2 は不具合の修正や改善を目的としたリリースです。リリース時点で、セキュリティアップデートの報告はありません。
tvOS 12.1.1 では、Airport、ディスクイメージ、カーネル、Profiles、WebKit コンポーネントに存在する計 14 件の脆弱性 (CVE-2018-4303、CVE-2018-4427、CVE-2018-4431、CVE-2018-4435 〜 CVE-2018-4438 他) を解決しています。対象となった脆弱性は、サービス不能攻撃、型の取り違え (type confusion：CWE-843) に起因してアクセス権限の昇格を許してしまう問題、メモリ破損に起因して任意のコード実行を許してしまう問題などです。
iOS 12.1.1 では、Airport、ディスクイメージ、FaceTime、File Provider、カーネル、LinkPresentation、Profiles、Safari、Safari ViewController、WebKit コンポーネントに存在する計 20 件の脆弱性 (CVE-2018-4303、CVE-2018-4429 〜 CVE-2018-4431、CVE-2018-4435 〜 CVE-2018-4447 他) を解決しています。対象となった脆弱性は、なりすまし、サービス不能攻撃、型の取り違え (type confusion：CWE-843) に起因してアクセス権限の昇格を許してしまう問題、メモリ破損に起因して任意のコード実行を許してしまう問題などです。
バージョン 71 がリリースされました。Chrome 71.0.3578.80 では、領域外メモリへの書き出し (out-of-bounds write: CWE-787)、メモリの解放後使用 (use-after-free: CWE-416)、ヒープオーバーフロー (CWE-122)、ポリシー適用が十分でない問題など、計 43 件の脆弱性 (CVE-2018-17480、CVE-2018-17481、CVE-2018-18335 〜 CVE-2018-18359 他) を解決しています。
公共衛生・ヘルスケア分野で利用されているオランダ Philips (philips.com) の健康管理用の Android 版 HealthSuite Health には、強度を持った暗号化方式で保護していない問題 (CWE-326) に起因して、不正アクセスを許してしまう複数の脆弱性 (CVE-2018-19001) が存在します。
化学、重要製造業、ダム、エネルギー、農業・食料、政府施設、輸送、上下水道分野で利用されている米 GE (ge.com) の Proficy Global Discovery Server (Proficy GDS) には、外部に置かれたファイルを呼び出す XXE (Xml eXternal Entity) 問題 (CWE-611)に起因して、情報漏洩などを許してしまう脆弱性 (CVE-2018-15362) が存在します。Proficy GDS は、HMI/SCADA とデバイス間のセキュアな通信を管理する製品です。
重要製造業分野で利用されているスイス iniNet Solutions (spidercontrol.net) の SCADA Web サーバには、クロスサイトスクリプティング問題 (CWE-79)(CVE-2018-18991) が存在します。
重要製造業分野で利用されているオムロン (omron.co.jp) の FA 統合ツールパッケージである CX-One には、スタックオーバーフロー (CWE-121)、メモリの解放後使用 (use-after-free: CWE-416) に起因して任意のコード実行を許してしまう複数の脆弱性 (CVE-2018-18989、CVE-2018-18993) が存在します。
重要製造業、農業・食料、輸送、上下水道分野で利用されている米 Rockwell Automation (rockwellautomation.com) の MicroLogix 1400 コントローラ、1756 ControlLogix 通信モジュールには、重要な機能に対する認証の欠如 (CWE-306) に起因して、不正アクセスを許してしまう脆弱性 (CVE-2018-17924) が存在します。MicroLogix は、ネットワーク通信機能を備えた小型の PLC (Programmable Logic Controller) です。1756 ControlLogix モジュールは、開発環境を備えた制御エンジンを搭載したプログラマブルコントローラ製品です。
Hitachi Command Suite 製品および Hitachi Infrastructure Analytics Advisor には、複数の脆弱性が存在します。脆弱性は、Eclipse Jetty Server 9.3.24.v20180605、9.4.11.v20180605 で解決したアクセス制御、整数オーバーフロー、content-length ヘッダ処理、エラー処理の不具合に起因して、アクセス権限の昇格、サービス不能攻撃、情報漏洩などを許してしまう問題です。
システム運用を支援する JP1/Operations Analytics には、ディレクトリパーミッションに起因して情報漏洩や改ざんを許してしまう脆弱性が存在します。
IT インフラの性能監視分析を行う Hitachi Infrastructure Analytics Advisor には、メッセージからの情報漏洩と、ディレクトリパーミッションに起因して情報漏洩や改ざんを許してしまう脆弱性が存在します。
キャッシュ DNS サーバの一つである Unbound のバージョン 1.8.2 は、不具合の修正を目的としたリリースで、セキュリティアップデートは含まれていません。
DNS コンテンツサーバ (権威 DNS サーバ) の一つである NSD (Name Server Daemon) のバージョン 4.1.26 は、不具合の修正と改善を目的としたリリースで、セキュリティアップデートは含まれていません。
PHP 7.2.13、7.1.25、7.0.33、5.6.39 では、PHP アーカイブ Phar コンポーネントに存在するヒープオーバーフロー 問題 (CWE-122) を解決しています。また、Core、IMAP などのコンポーネントに存在する計 16 件、13 件、5 件、5 件の不具合を修正しています。 PHP 7.3.0 では、BCMath 4, CLI 2, Core、MBstring、SOAP、SPL、Standard コンポーネントなどに存在する 135 件の不具合を修正しています。不具合の中には、NULL ポインタ参照 (NULL pointer dereference：CWE-476)、メモリの解放後使用 (use-after-free：CWE-416) の問題が含まれています。
Tomcat から Java Native Interface (JNI) 経由で Apache Portable Runtime (APR) を利用するためのライブラリである Tomcat Native 1.2.19 がリリースされました。このリリースでは、OCSP チェック時に発生するメモリリークを修正し、Windows 版バイナリを OpenSSL 1.1.1a、1.0.2q と APR 1.6.5 に対応させています。
Red Hat 製品でサポートされている OpenShift Container Platform (RHSA-2018:3598、RHSA-2018:3624、RHSA-2018:3742、RHSA-2018:3752、RHSA-2018:3754)、Adobe Flash プラグイン (RHSA-2018:3795) のセキュリティアップデート (深刻度：緊急) がリリースされました。このアップデートでは、Adobe Flash Player 32.0.0.101 で解決した脆弱性に対応しています。OpenShift Container Platform では、アクセス権限の昇格を許してしまう脆弱性 (CVE-2018-1002105) を解決しています。
WordPress 5.0 では、ブロックエディタ Gutenberg の採用などの改善が施されました。
Drupal 8.6.4 は、不具合の修正や改善を目的としたリリースで、70 件以上の修正と改善が施されました。セキュリティアップデートは含まれていません。
担当：寺田、大西／HIRT
