更新日：＜2019.02.18＞
Thunderbird 60.5.1 では、サービス不能攻撃、なりすましを許してしまう脆弱性など、1 件のセキュリティアドバイザリに含まれる計 4 件の脆弱性を解決し、WebDAV を用いたカレンダーサーバアクセス機能 CalDAVでの不具合を修正しています。
Firefox 65.0.1 では、サービス不能攻撃、セキュリティ機構の迂回を許してしまう脆弱性など、1 件のセキュリティアドバイザリに含まれる計 3 件の脆弱性を解決し、ビデオ機能、Mac 版での色管理、WebRTC、WebSockets などでの不具合を修正しています。また、ESR として Canvas 2D に存在するバッファオーバーフローに起因する脆弱性などを解決したバージョン ESR 60.5.1 をリリースしました。
Acrobat Reader DC ならびに Acrobat DC (2019.010.20091 / 2015.006.30475)、Acrobat Reader 2017 ならびに Acrobat 2017 (2017.011.30120) では、計 71 件の脆弱性 (CVE-2018-19725、CVE-2019-7018 〜 CVE-2019-7060、CVE-2019-7062 〜 CVE-2019-7087、CVE-2019-7089) を解決しています。対象となった脆弱性は、メモリバッファ境界での適切でない操作制限 (CWE-119)、2 重解放 (double free: CWE-415)、領域外メモリへの書き出し (out-of-bounds write: CWE-787)、型の取り違え (type confusion: CWE-843)、メモリの解放後使用 (use-after-free: CWE-416) などに起因して任意のコード実行を許してしまう問題、セキュリティ機構の迂回に起因してアクセス権限昇格を許してしまう問題、領域外のメモリ参照 (out-of-bounds read: CWE-125)、整数オーバーフロー (CWE-190) に起因して情報漏洩を許してしまう問題などです。
Adobe Flash Player 32.0.0.142、Edge/IE 11 版 (32.0.0.144) では、領域外のメモリ参照 (out-of-bounds read: CWE-125) 起因して情報漏洩を許してしまう脆弱性 (CVE-2019-7090) を解決しています。
Chrome 72.0.3626.109 は、安定性、性能、セキュリティの改善を目的としたリリースです。リリース時点で、セキュリティアップデートの報告はありません。
2019年 2月の月例セキュリティアップデートでは 80 件のマイクロソフト製品のセキュリティ問題を解決しています。脆弱性による影響は、任意のコード実行 36 件、サービス不能 0 件、アクセス権限の昇格 9 件、なりすまし 5 件、情報漏洩 19 件、セキュリティ機構の迂回 7 件です。
通信、情報技術分野で利用されている米 Pangea Communications (pangea-comm.com) の Internet FAX Analog Telephone Adapter には、不正な URL アクセスにより認証機構の迂回 (CWE-288) に起因してサービス不能攻撃を許してしまう複数の脆弱性 (CVE-2019-6551) が存在します。
化学、重要製造業、エネルギー、農業・食料、上下水道分野で利用されている独 Siemens (siemens.com) の CP1604、CP1616 には、ポート番号 23/TCP での重要な情報を平文のまま転送している問題 (CWE-319) に起因して情報漏洩を許してしまう脆弱性 (CVE-2018-13808)、クロスサイトスクリプティング問題 (CWE-79)(CVE-2018-13809)、クロスサイトリクエストフォージェリ問題 (CWE-352)(CVE-2018-13810) が存在します。CP 1604 は、PC/104 インタフェースに PROFINET を接続するための PC/104-Plus ボードに、CP 1616 は PC 接続用 PROFINET PCI ボードに搭載されています。
化学、重要製造業、エネルギー、農業・食料、上下水道分野で利用されている独 Siemens (siemens.com) の SIMATIC IPC 向けリモート管理機能である Intel Active Management Technology には、情報漏洩、任意のコード実行、サービス不能攻撃を許してしまう複数の脆弱性 (CVE-2018-3616、CVE-2018-3657、CVE-2018-3658) が存在します。報告されている問題は、暗号の問題 (CWE-310)、メモリバッファ境界での適切でない操作制限 (CWE-119)、リソース管理エラー (CWE-399) です。
化学、重要製造業、エネルギー、農業・食料、上下水道分野で利用されている独 Siemens (siemens.com) の SIMATIC S7-300 CPU のファームウェアには、サービス不能攻撃を許してしまう脆弱性 (CVE-2018-16561) が存在します。サービス不能攻撃は、defect モードに遷移させるというもので、不正なパケットを受信した場合に脆弱性を悪用される可能性があります。
エネルギー分野で利用されている独 Siemens (siemens.com) のプロセス制御用ソフトウェア SICAM 230 で使用している WibuKey Digital Rights Management には、情報漏洩 (CVE-2018-3989)、領域外メモリへの書き出し (out-of-bounds write: CWE-787) に起因してアクセス権限の昇格 (CVE-2018-3990)、ヒープオーバーフロー (CWE-122) に起因して不正なパケットをポート番号 22347/TCP で受信した場合に任意のコード実行を許してしまう脆弱性 (CVE-2018-3991) が存在します。
エネルギー分野で利用されている独 Siemens (siemens.com) の EN100 イーサネットモジュール、保護リレー製品 SIPROTEC 5 Relay には、適切でない入力確認 (CWE-20) に起因して不正なパケットをポート番号 102/TCP で受信した場合にサービス不能攻撃を許してしまう脆弱性 (CVE-2018-16563) が存在します。
米 OSIsoft (osisoft.com) の PI Vision には、クロスサイトスクリプティング問題 (CWE-79)(CVE-2018-19006) が存在します。PI Vision は、PI システムのデータにセキュアにアクセスするための Web クライアントツールです。
通信、防衛産業基盤、緊急サービス、輸送分野で利用されている gpsd Open Source Project の GPSD 経由で位置情報を取得する gpsd、JSON を処理する microjson には、には、スタックオーバーフロー (CWE-121) に起因して任意のコード実行を許してしまう脆弱性 (CVE-2018-17937) が存在します。不正なパケットをポート番号 2947/TCP で受信した場合や不正な JSON 形式を処理した際に、影響を受ける可能性があります。
2月12日に公開された Docker コンテナ等で使用する runc のアクセス権限昇格を許してしまう脆弱性 (CVE-2019-5736) の影響を報告しています。
変更の影響予測、ネットワーク全体の動作検証、ネットワークセキュリティポリシーを保証などを支援する Cisco Network Assurance Engine の CLI インタフェースには、デフォルトの管理者パスワードを使ったアクセスを許してしまう脆弱性 (CVE-2019-1688) が存在します。悪用された場合、情報漏洩や不正アクセスを許してしまう可能性があります。
Tomcat 8.5.38 は、不具合の修正や改善を目的としたリリースです。このバージョンでは、Tomcat Native 1.2.21 にアップデート、Web アプリケーションのディレクトリ構造を正しくスキャンしない問題や HTTP/2 タイムアウト処理の改善などを施しています。リリース時点で、セキュリティアップデートの報告はありません。
PostgreSQL 11.2、10.7、9.6.12、9.5.16、9.4.21 は、不具合の修正と改善を目的としたリリースです。これらのバージョンでは、PostgreSQL が fsync を失敗した際の処理を変更しています。
2月12日に公開された Docker コンテナ等で使用する runc のアクセス権限昇格を許してしまう脆弱性 (CVE-2019-5736) については、VMware Integrated OpenStack with Kubernetes、VMware PKS、VMware vCloud Director Container Service Extension、vSphere Integrated Containers に影響があります。
Red Hat 製品でサポートされている Chromium のセキュリティアップデート (RHSA-2019:0309)(深刻度：緊急) がリリースされました。このアップデートでは、Chrome 72.0.3626.81 で解決した脆弱性に対応しています。
ColdFusion 2018 Update 2 では、信頼できないデータのデシリアル化 (CWE-502) に起因して任意のコード実行を許してしまう脆弱性 (CVE-2019-7091)、クロスサイトスクリプティング問題 (CWE-79)、に起因して情報漏洩を許してしまう脆弱性 (CVE-2019-7092) を解決しています。また、これら脆弱性を解決する ColdFusion 2016 Update 8、ColdFusion 11 Update 16 がリリースされました。
13 件のセキュリティノートがリリースされています。該当する製品は、SAP Landscape Management、ABAP Platform、SAP Disclosure Management、SAP HANA Extended Application Services、SAP BusinessObjects Business Intelligence Platform Servers、SAP Manufacturing Integration and Intelligence、SAP BusinessObjects Business Intelligence Platform、SAP Business One Mobile Android App、SAP Enterprise Architecture Designer for SAP HANA、SAP WebIntelligence BILaunchPad です。報告されている脆弱性 (CVE-2019-0251、CVE-2019-0254 〜 CVE-2019-0259、CVE-2019-0261、CVE-2019-0262、CVE-2019-0265 〜 CVE-2019-0267) は、適切でない認可 (CWE-285)、ディレクトリトラバーサル問題 (CWE-22)、クロスサイトスクリプティング問題 (CWE-79)、クロスサイトリクエストフォージェリ問題 (CWE-352)、外部に置かれたファイルを呼び出す XXE (Xml eXternal Entity) 問題 (CWE-611) などです。
担当：寺田、大西／HIRT
