更新日：＜2019.01.28＞
Windows 版 iTunes 12.9.3 では、AppleKeyStore、Core Media、SQLite、WebKit コンポーネントに存在する計 14 件の脆弱性 (CVE-2019-6212、CVE-2019-6215 〜 CVE-2019-6217、CVE-2019-6221、CVE-2019-6226 他) を解決しています。対象となった脆弱性は、アクセス権限昇格、任意のコード実行を許してしまう問題などです。
Windows 版 iCloud 7.10 では、SQLite、WebKit コンポーネントに存在する計 12 件の脆弱性 (CVE-2019-6212、CVE-2019-6215 〜 CVE-2019-6217、CVE-2019-6226 他) を解決しています。対象となった脆弱性は、型の取り違え (type confusion：CWE-843) やメモリ破損に起因して任意のコード実行を許してしまう問題などです。
Safari 12.0.3 では、Safari Reader、WebKit コンポーネントに存在する計 10 件の脆弱性 (CVE-2019-6212、CVE-2019-6215 〜 CVE-2019-6217、CVE-2019-6226 〜 CVE-2019-6229、CVE-2019-6233、CVE-2019-6234) を解決しています。対象となった脆弱性は、型の取り違え (type confusion：CWE-843) やメモリ破損に起因して任意のコード実行を許してしまう問題などです。
watchOS 5.1.3 では、AppleKeyStore、Core Media、CoreAnimation、FaceTime、IOKit、カーネル、mDNSResponder、自然言語処理、SQLite、WebKit コンポーネントに存在する計 17 件の脆弱性 (CVE-2019-6202、CVE-2019-6209、CVE-2019-6210、CVE-2019-6213、CVE-2019-6214 他) を解決しています。対象となった脆弱性は、アクセス権限昇格、サービス不能攻撃、情報漏洩、任意のコード実行を許してしまう問題などです。
tvOS 12.1.2 では、AppleKeyStore、CoreAnimation、FaceTime、IOKit、カーネル、libxpc、mDNSResponder、SQLite、WebKit コンポーネントに存在する計 24 件の脆弱性 (CVE-2019-6205、CVE-2019-6208 〜 CVE-2019-6209、CVE-2019-6210、CVE-2019-6212 〜 CVE-2019-6218、CVE-2019-6224 〜 CVE-2019-6231 他) を解決しています。対象となった脆弱性は、アクセス権限昇格、情報漏洩、任意のコード実行を許してしまう問題などです。
macOS Mojave 10.14.3、セキュリティアップデート 2019-001 High Sierra、セキュリティアップデート 2019-001 Sierra では、apache_mod_php、AppleKeyStore、Bluetooth、Core Media、CoreAnimation、FaceTime、Hypervisor、Intel Graphics Driver、IOKit、カーネル、LibreSSL、libxpc、mDNSResponder、自然言語処理、QuartzCore、SQLite、WebRTC コンポーネントに存在する計 23 件の脆弱性 (CVE-2018-4452、CVE-2018-4467、CVE-2019-6200、CVE-2019-6202、CVE-2019-6205、CVE-2019-6208 〜 CVE-2019-6221 他) を解決しています。対象となった脆弱性は、アクセス権限昇格、サービス不能攻撃、情報漏洩、任意のコード実行を許してしまう問題などです。
iOS 12.1.3 では、AppleKeyStore、Bluetooth、Core Media、CoreAnimation、FaceTime、IOKit、カーネル、キーボード、libxpc、mDNSResponder、自然言語処理、Safari Reader、SQLite、WebKit、WebRTC コンポーネントに存在する計 31 件の脆弱性 (CVE-2019-6200、CVE-2019-6202、CVE-2019-6205、CVE-2019-6206、CVE-2019-6208 〜 CVE-2019-6219、CVE-2019-6221、CVE-2019-6224 〜 CVE-2019-6235 他) を解決しています。対象となった脆弱性は、アクセス権限昇格、サービス不能攻撃、情報漏洩、任意のコード実行を許してしまう問題などです。
公共衛生・ヘルスケア分野で利用されている独 Drger (draeger.com) の患者の生体情報をモニタする Infinity Delta には、適切でない入力確認 (CWE-20)、ログファイルからの情報漏洩 (CWE-532)、適切でない権限の管理 (CWE-269) に起因してサービス不能攻撃、情報漏洩、アクセス権限の昇格を伴った不正アクセスを許してしまう脆弱性 (CVE-2018-19010、CVE-2018-19012、CVE-2018-19014) が存在します。
通信、重要製造業、情報技術分野で利用されている独 Phoenix Contact Software (phoenixcontact.com) の産業用イーサネットスイッチ FL SWITCH には、クロスサイトリクエストフォージェリ問題 (CWE-352)、ブルートフォース攻撃により認証機能の迂回を許してしまう問題 (CWE-307)、重要な情報を平文のまま転送している問題 (CWE-319)、適切でないリソース消費制限 (CWE-400)、重要な情報がセキュアに格納されていない問題 (CWE-922)、メモリバッファ境界での適切でない操作制限 (CWE-119) に起因して情報漏洩、不正アクセスやサービス不能攻撃を許してしまう脆弱性 (CVE-2017-3735、CVE-2018-13990 〜 CVE-2018-13994) が存在します。不正な HTTP アクセスにより、脆弱性の影響を受ける可能性があります。
重要製造業、エネルギー、上下水道分野で利用されている台湾 Advantech (advantech.com) のリモート制御および管理機能を提供する Advantech Webaccess HMI/SCADA 製品には、適切でない認証 (CWE-287)、代替経路やチャネルによる認証機構の迂回 (CWE-288) に起因して不正アクセスを許してしまう脆弱性 (CVE-2019-6519、CVE-2019-6521)、SQL インジェクション問題 (CWE-89)(CVE-2019-6523) が存在します。
重要製造業分野で利用されている米 Johnson Controls (johnsoncontrols.com) のビルディングオートメーションシステム用 Facility Explorer には、ディレクトリトラバーサル問題 (CWE-22)、適切でない認証 (CWE-287) に起因して情報漏洩を許してしまう脆弱性 (CVE-2017-16744、CVE-2017-16748) が存在します。Metasys、BCPro は、エネルギーマネジメント機能を兼ね備えたビルオートメーションシステム製品です。
Cosminexus Developer's Kit for Java、Hitachi Developer's Kit for Java を構成部品として使用している Cosminexus 製品には、複数の脆弱性 (CVE-2018-11212、CVE-2019-2422、CVE-2019-2426) が存在します。脆弱性は、Java SE 8 Update 201 で解決した ImageIO、ライブラリ、ネットワークに存在する問題です。
Hitachi Command Suite 製品および Hitachi Infrastructure Analytics Advisor には、メッセージからの情報漏洩を許してしまう脆弱性、Java SE 8 Update 201 で解決した ImageIO、ライブラリ、ネットワークに存在する複数の脆弱性 (CVE-2018-11212、CVE-2019-2422、CVE-2019-2426) が存在します。
ストレージハードウェア管理製品である Hitachi Device Manager には、クロスサイトスクリプティング問題 (CWE-79) を許してしまう脆弱性が存在します。
Firepower Threat Defense のパケット解析処理には、トラフィック検査をするときにシステムメモリ資源の管理が適切でないために、サービス不能攻撃を許してしまう脆弱性 (CVE-2019-1669) 存在します。
エンドツーエンドの Connected Grid ネットワーク管理製品である IoT Field Network Director には、適切でないリソース消費制限 (CWE-400) に起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2019-1644) が存在します。
セキュリティの統合ポリシー管理製品である Identity Services Engine の Web インタフェースには、適切でないアクセス制御 (CWE-284) に起因してアクセス権限の昇格を許してしまう脆弱性 (CVE-2018-15459) が存在します。
WAN インフラストラクチャの管理と運用を提供する Cisco SD-WAN Solution には、複数の脆弱性 (CVE-2019-1646、CVE-2019-1647、CVE-2019-1648、CVE-2019-1650、CVE-2019-1651) が存在します。報告されている脆弱性は、適切でない許可、権限、アクセス制御 (CWE-264) に起因してアクセス権限の昇格を許してしまう問題、保存コマンドの処理において、適切でないアクセス制御 (CWE-284) に起因して不正アクセスをを許してしまう問題、適切でない入力確認 (CWE-20) に起因してファイルの上書きが発生してしまう問題、メモリバッファ境界での適切でない操作制限 (CWE-119) に起因してサービス不能攻撃を許してしまう問題です。
Webex Teams の URI 処理には、セキュアではない検索パス問題に起因して任意のコマンド実行を許してしまう脆弱性 (CVE-2019-1636) が存在します。、Webex Network Recording Player の ARF(Advanced Recording Format)、WRF(WebEx Recording Format) ファイル処理には、バッファオーバーフローに起因して任意のコード実行やサービス不能攻撃を許してしまう脆弱性 (CVE-2019-1637 〜 CVE-2019-1641) が存在します。
Small Business RV320、RV325 ルータには、コマンドインジェクション問題 (CWE-77) に起因して管理者権限での任意のコマンド実行を許してしまう脆弱性 (CVE-2019-1652)、適切でないアクセス制御 (CWE-284) に起因して情報漏洩を許してしまう脆弱性 (CVE-2019-1653) が存在します。いずれも、不正な HTTP アクセスにより、脆弱性の影響を受ける可能性があります。
Apache httpd 2.4.38 では、複数の脆弱性を解決しています。報告されている脆弱性は、mod_ssl のネゴシエーション処理においてループ状態が発生し、サービス不能攻撃を許してしまう問題 (CVE-2019-0190)、mod_session_cookie 処理において有効期限を適切に取り扱わない問題 (CVE-2018-17199)、HTTP/2 処理が Slow HTTP DoS に対して脆弱で、サービス不能攻撃を許してしまう問題 (CVE-2018-17189) です。
キャッシュ DNS サーバである Recursor 4.1.9 では、Lua hook が適切に動作しない脆弱性 (CVE-2019-3806)、DNSSEC 署名検証の迂回を許してしまう脆弱性 (CVE-2019-3807) を解決しています。
DNS flag day は、2019年 2月 1 日以降にリリースする DNS の EDNS0(Extension Mechanisms for DNS) に関する動作の一部を変更するためのイベントで、2月 1日以降、EDNS0 の応答が得られなかった場合に、EDNS0 なしで再問い合わせするワークアラウンド処理が利用できなくなります。EDNS0 は、RFC 6891 で定義された DNS の拡張方式で、512 バイトよりも大きなメッセージサイズを UDP で扱えるよう拡張する仕様です。
MySQL 8.0.14、5.7.25、5.6.43 では、InnoDB Storage Engine、レプリケーション処理などに存在する不具合を修正し、リンクしている OpenSSL ライブラリ のバージョンを 1.0.2q にアップデートしています。また、MySQL 8.0.14 では、SET PERSIST、SET PERSIST_ONLY に関わる動作の一部を変更しています。
担当：寺田、大西／HIRT
