更新日：＜2019.02.11＞
iOS 向け ショートカット 2.1.3 では、ショートカットコンポーネントに存在する計 2 件の脆弱性 (CVE-2019-7289、CVE-2019-7290) を解決しています。対象となった脆弱性は、情報漏洩、セキュリティ機構の迂回を許してしまう問題です。
macOS Mojave 10.14.3 追加アップデートでは、FaceTime、Foundation、Live Photos in FaceTime コンポーネントに存在する計 3 件の脆弱性 (CVE-2019-6223、CVE-2019-7286、CVE-2019-7288) を解決しています。対象となった脆弱性は、適切でないアクセス制御、サービス不能攻撃、メモリ破損 (memory corruption：CWE-119) に起因してアクセス権限の昇格を許してしまう問題です。
iOS 12.1.4 では、FaceTime、Foundation、IOKit、Live Photos in FaceTime コンポーネントに存在する計 4 件の脆弱性 (CVE-2019-6223、CVE-2019-7286 〜 CVE-2019-7288) を解決しています。対象となった脆弱性は、適切でないアクセス制御、サービス不能攻撃、メモリ破損 (memory corruption：CWE-119) に起因してアクセス権限の昇格や任意のコード実行を許してしまう問題です。
Chrome 72.0.3626.96 では、Google V8 JavaScript 実行エンジン実装上の脆弱性 (CVE-2019-5784) を解決しています。
エネルギー分野などで利用されている独 Siemens (siemens.com) の小型遠隔制御機器SICAM A8000 RTU シリーズには、例外を捕捉できない問題 (CWE-248) に起因して不正なパケットをポート番号 80/TCP、443/TCP で受信した際に、サービス不能攻撃を許してしまう脆弱性 (CVE-2018-13798) が存在します。
通信分野で利用されている独 Kunbus (kunbus.com) の Modbus TCP ネットワーク用の拡張モジュール PR100088 Modbus Gateway には、任意のコード実行、サービス不能攻撃や情報漏洩などを許してしまう複数の脆弱性 (CVE-2019-6527、CVE-2019-6529、CVE-2019-6531、CVE-2019-6533、CVE-2019-6549) が存在します。報告されている脆弱性は、適切でない認証 (CWE-287)、重要な機能に対する認証の欠如 (CWE-306)、適切でない入力確認 (CWE-20)、GET リクエストのクエリ文字列からの情報漏洩 (CWE-598)、重要な情報が平文のまま格納されている問題 (CWE-312) です。
化学、重要製造業、エネルギー、農業・食料、上下水道分野で利用されている独 Siemens (siemens.com) のコントローラ製品である SIMATIC S7-1500 CPU には、適切でない入力確認 (CWE-20) に起因して不正なパケットをポート番号 80/TCP、443/TCP で受信した際に、サービス不能攻撃を許してしまう脆弱性 (CVE-2018-16558、CVE-2018-16559) が存在します。
重要製造業、エネルギー、上下水道分野で利用されている中国 WECON (we-con.com.cn) の HMI プログラミングソフトウェアである LeviStudioU のプロジェクトファイル処理には、ヒープオーバーフロー (CWE-122)、スタックオーバーフロー (CWE-121)、メモリ破損 (memory corruption：CWE-119)に起因して任意のコード実行を許してしまう脆弱性 (CVE-2019-6537、CVE-2019-6539、CVE-2019-6541) が存在します。
重要製造業分野で利用されている米 Rockwell Automation (rockwellautomation.com) の EtherNet/IP Web サーバモジュールには、適切でない入力確認 (CWE-20) に起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2018-19016) が存在します。
化学、商業施設、重要製造業、エネルギー、農業・食料、輸送、上下水道分野で利用されている英 AVEVA(aveva.com) の HMI SCADA ソフトウェア InduSoft Web Studio、InTouch Machine Edition には、重要な機能に対する認証の欠如 (CWE-306)、リソース識別子の適切でない管理 (リソースインジェクション問題)(CWE-99) に起因して不正アクセスや不正なデータベース接続設定ファイルを使用した任意のプロセス実行を許してしまう脆弱性 (CVE-2019-6543、CVE-2019-6545) が存在します。
JP1 製品には、複数の脆弱性が存在します。脆弱性は、OpenSSL 1.0.2n で解決した秘密鍵の推測を許してしまう問題 (CVE-2017-3738)、OpenSSL 1.1.0g、1.0.2m で解決した秘密鍵の推測を許してしまう問題 (CVE-2017-3736) です。いずれも、モンゴメリ乗算に存在する不具合に起因しています。
日立ディスクアレイシステム SVP には、マイクロソフト 2019年 1月の月例セキュリティアップデートで解決した脆弱性の影響はありません。
キャッシュ DNS サーバの一つである Unbound のバージョン 1.9.0 は、不具合の修正を目的としたリリースで、セキュリティアップデートは含まれていません。このバージョンでは、EDNS0 なしで再問い合わせするワークアラウンド処理が削除されました。
PHP 7.3.2、7.2.15 では、Core、Curl、GD、ldap、Mbstring、MySQLnd、Opcache、PDO、Sockets、Standard などのコンポーネントに存在する計 35 件、18 件の不具合を修正しています。
Samba 4.8.9 では、s3-libsmb、s3-smbd、s3-vfs、s4-messaging モジュールなど計 20 件の不具合を修正しています。セキュリティアップデートは含まれていません。
Tomcat 9.0.16 は、不具合の修正や改善を目的としたリリースです。Tomcat 9.0.16 では、Tomcat Native 1.2.21 にアップデート、Web アプリケーションのディレクトリ構造を正しくスキャンしない問題や HTTP/2 タイムアウト処理の改善などを施しています。リリース時点で、セキュリティアップデートの報告はありません。9.0.15 はリリースされていません。
Tomcat から Java Native Interface (JNI) 経由で Apache Portable Runtime (APR) を利用するためのライブラリである Tomcat Native 1.2.21 がリリースされました。このリリースでは、OpenSSL 実装で TLS サポートを有効にした NIO、NIO2 コネクタでのメモリリークを解決しています。
2月 6日にリリースされた Drupal 8.6.8、7.64 は、不具合の修正や改善を目的としたリリースで、それぞれ 40 件、10 件以上の修正と改善が施されました。セキュリティアップデートは含まれていません。2月 8日にリリースされた Drupal 8.6.9 では、作り込まれてしまった不具合の修正や修正のアップデートをしています。
担当：寺田、大西／HIRT
