更新日：＜2018.12.24＞
iOS 12.1.2 は不具合の修正や改善を目的としたリリースです。リリース時点で、CVE 番号が割り当てられたセキュリティアップデートの報告はありません。
商業施設、エネルギー、農業・食料、政府施設、輸送、上下水道分野で利用されている仏 Schneider Electric (schneider-electric.com) のプラグアンドプレイでオープンの IoT 対応相互運用プラットフォーム EcoStruxure には、オープンリダイレクト問題 (CWE-601) に起因して、Web サイトの誘導を許してしまう脆弱性 (CVE-2018-7797) が存在します。
重要製造業分野で利用されている米 Horner Automation(heapg.com) の DCS SDK プログラミングソフトウェア Cscape には、不正なファイルを読み込んだ際に、任意のコード実行を許してしまう脆弱性 (CVE-2018-19005) が存在します。
多分野で利用されているスイス ABB (abb.com) の M2M イーサーネットには、適切でない認証 (CWE-287) に起因して、不正な言語ファイルのアップロードを許してしまう問題 (CVE-2018-17928) が存在します。
多分野で利用されているスイス ABB (abb.com) の Circuit Monitoring System CMS-770 には、適切でない認証 (CWE-287) に起因して、情報漏洩を許してしまう脆弱性 (CVE-2018-17928) が存在します。
化学、重要製造業、エネルギー、農業・食料、上下水道分野で利用されている独 Siemens (siemens.com) の TIM 1531 IRC には、重要な機能に対する認証の欠如 (CWE-306) に起因して、管理者権限での不正操作を許してしまう脆弱性 (CVE-2018-13816) が存在します。不正なパケットをポート番号 102/TCP で受信した場合に脆弱性の影響を受ける可能性があります。TIM 1531 IRC は、S7-300/S7-400/S7-1500 PLC 対応の通信モジュールです。
重要製造業分野で利用されている独 Smart Software Solutions (3s-software.com) の制御システム用パッケージ製品である CoDeSys (Controller Development System) 製品には、不十分なランダム値の使用 (CWE-330)、エンドポイントに対する適切でない通信チャネルの制限 (CWE-923) に起因して、機器に格納された情報の機密性と完全性に影響を与えたり、送信元のなりすまし攻撃などを許してしまう脆弱性 (CVE-2018-20025、CVE-2018-20026) が存在します。
重要製造業、エネルギー分野で利用されている独 Smart Software Solutions (3s-software.com) の制御システム用パッケージ製品である CoDeSys (Controller Development System) 製品には、適切でないアクセス制御 (CWE-284) に起因して、不正アクセスや情報漏洩を許してしまう脆弱性 (CVE-2018-10612) が存在します。影響を受ける製品は、CmpSecureChannel または CmpUserMgr コンポーネントを含む CoDeSys V3 製品です。
重要製造業、エネルギー、上下水道分野で利用されている台湾 Advantech (advantech.com) のリモート制御および管理機能を提供する Advantech Webaccess HMI/SCADA 製品には、適切でない入力確認 (CWE-20) に起因するスタックオーバーフローの脆弱性 (CVE-2018-18999) が存在します。
重要製造業分野で利用されているスイス ABB (abb.com) の Pluto セーフティコントローラで使用している Gateway イーサネット機器 GATE-E2 には、重要な機能に対する認証の欠如 (CWE-306)、クロスサイトスクリプティング問題 (CWE-79) に起因して、機器の不正操作を許してしまう脆弱性 (CVE-2018-18995、CVE-2018-18997) が存在します。
農業・食料、輸送、上下水道分野で利用されている米 Rockwell Automation (rockwellautomation.com) の FactoryTalk Services Platform には、ヒープオーバーフロー (CWE-122) に起因して、通信妨害やサービス不能攻撃を許してしまう脆弱性 (CVE-2018-18981) が存在します。FactoryTalk Services Platform は、制御システム内の FactoryTalk 製品とアプリケーション向け共通サービスを提供します。
セキュリティアプライアンスである ASA (Adaptive Security Appliances) の Web 管理インタフェースには、ユーザ権限確認が適切でないために、不正な HTTP アクセスによりアクセス権限の昇格を許してしまう脆弱性 (CVE-2018-15465) が存在します。
Samba 4.9.4 では、dns、ctdb-daemon、vfs 関連、winbindd モジュールなど計 14 件の不具合を修正しています。セキュリティアップデートは含まれていません。このバージョンでは、Samba 4.9.3 で解決した Active Directory に関連してサービス不能攻撃を許してしまう問題 (CVE-2018-14629、CVE-2018-16853) での不具合を修正しています。
vRealize Operations には、提供しているスクリプトに対する適切でない許可 (CWE-275) に起因して、アクセス権限の昇格を許してしまう脆弱性 (CVE-2018-6978) が存在します。
ISC DHCP に変わる新たな DHCP サーバである Kea 1.5.0 がリリースされました。1.5.0 では、RFC 6020 で規定されている NETCONF 用データモデリング言語 YANG を用いた設定などの機能拡張が施されています。
Kea 1.3.0 は、2018年12月末で EOL (End-Of-Life) となり、サポートが終了します
Red Hat 製品でサポートされている Firefox のセキュリティアップデート (RHSA-2018:3831、RHSA-2018:3833)(深刻度：緊急) がリリースされました。このアップデートでは、Firefox 60.4 ESR で解決した脆弱性に対応しています。
WordPress 5.0.2 は、不具合の修正や改善を目的としたリリースで、ブロックエディタの性能改善など、計 73 件の修正と改善が施されました。セキュリティアップデートは含まれていません。
担当：寺田、大西／HIRT
