更新日：＜2019.05.20＞
Acrobat Reader DC ならびに Acrobat DC (2019.012.20034 / 2015.006.30497)、Acrobat Reader 2017 ならびに Acrobat 2017 (2017.011.30142) では、計 83 件の脆弱性 (CVE-2019-7140 〜 CVE-2019-7145、CVE-2019-7758 〜 CVE-2019-7814、CVE-2019-7817、CVE-2019-7818、CVE-2019-7820 〜 CVE-2019-7836、CVE-2019-7841) を解決しています。対象となった脆弱性は、領域外メモリへの書き出し (out-of-bounds write: CWE-787)、型の取り違え (type confusion: CWE-843)、メモリの解放後使用 (use-after-free: CWE-416)、ヒープオーバーフロー (CWE-122)、メモリの 2 重解放 (double free: CWE-415) に起因して任意のコード実行を許してしまう問題、領域外のメモリ参照 (out-of-bounds read: CWE-125) に起因して情報漏洩を許してしまう問題です。
Adobe Flash Player 32.0.0.192、Edge/IE 11 版 (32.0.0.192) では、メモリの解放後使用 (use-after-free: CWE-416) に起因して任意のコード実行を許してしまう脆弱性 (CVE-2019-7837) を解決しています。
watchOS 5.2.1 では、AppleFileConduit、Clang、CoreAudio、CoreFoundation、ディスクイメージ、カーネル、メール、Mail Message Framework、MediaLibrary、MobileInstallation、MobileLockdown、SQLite、sysdiagnose、WebKit、Wi-Fi コンポーネントに存在する計 22 件の脆弱性 (CVE-2019-8583、CVE-2019-8585、CVE-2019-8591、CVE-2019-8593、CVE-2019-8598 他) を解決しています。対象となった脆弱性は、アクセス権限昇格、サービス不能攻撃、メモリの解放後使用 (use-after-free：CWE-416)、メモリ破損 (memory corruption：CWE-119) に起因して任意のコード実行を許してしまう問題です。
Safari 12.1.1 では、Safari、WebKit コンポーネントに存在する計 21 件の脆弱性 (CVE-2019-8583、CVE-2019-8584、CVE-2019-8586、CVE-2019-8587、CVE-2019-8594 〜 CVE-2019-8597、CVE-2019-8601、CVE-2019-8607 〜 CVE-2019-8611 他) を解決しています。対象となった脆弱性は、メモリ破損 (memory corruption：CWE-119) に起因して任意のコード実行を許してしまう問題です。
Apple TV ソフトウェア 7.3 では、Bluetooth、Wi-Fi コンポーネントに存在するスタックオーバーフロー (CWE-121)、メモリ破損 (memory corruption：CWE-119) に起因してサービス不能攻撃、任意のコードの実行を許してしまう計 3 件の脆弱性 (CVE-2017-14315、CVE-2017-6975、CVE-2017-9417) を解決しています。
tvOS 12.3 では、AppleFileConduit、CoreAudio、CoreFoundation、ディスクイメージ、カーネル、MediaLibrary、MobileInstallation、MobileLockdown、SQLite、sysdiagnose、WebKit、Wi-Fi コンポーネントに存在する計 36 件の脆弱性 (CVE-2019-8583 〜 CVE-2019-8587、CVE-2019-8591、CVE-2019-8593 〜 CVE-2019-8598、CVE-2019-8600 〜 CVE-2019-8602 他) を解決しています。対象となった脆弱性は、アクセス権限昇格、メモリの解放後使用 (use-after-free：CWE-416)、メモリ破損 (memory corruption：CWE-119)、に起因して任意のコード実行を許してしまう問題です。
iOS 12.3 では、AppleFileConduit、Clang、Contacts、CoreAudio、CoreFoundation、ディスクイメージ、カーネル、ロック画面、メール、Mail Message Framework、MediaLibrary、MobileInstallation、MobileLockdown、Photos Storage、Safari、SQLite、Status Bar、StreamingZip、sysdiagnose、WebKit、Wi-Fi コンポーネントに存在する計 41 件の脆弱性 (CVE-2019-8583 〜 CVE-2019-8587、CVE-2019-8591、CVE-2019-8593 〜 CVE-2019-8602、CVE-2019-8605、CVE-2019-8607 〜 CVE-2019-8613 他) を解決しています。対象となった脆弱性は、アクセス権限昇格、サービス不能攻撃、メモリの解放後使用 (use-after-free：CWE-416)、メモリ破損 (memory corruption：CWE-119) に起因して任意のコード実行を許してしまう問題です。
macOS Mojave 10.14.5、セキュリティアップデート 2019-003 High Sierra、セキュリティアップデート 2019-003 Sierra では、Accessibility Framework、AMD、Application Firewall、CoreAudio、CoreFoundation、DesktopServices、ディスクイメージ、EFI、Intel Graphics Driver、IOAcceleratorFamily、IOKit、カーネル、Microcode、PackageKit、Safari、セキュリティ、SQLite、StreamingZip、sysdiagnose、System Preferences、Touch Bar Support、WebKit、Wi-Fi コンポーネントに存在する計 51 件の脆弱性 (CVE-2019-8583 〜 CVE-2019-8587、CVE-2019-8589 〜 CVE-2019-8598、CVE-2019-8600 〜 CVE-2019-8612 他) を解決しています。対象となった脆弱性は、アクセス権限昇格、サービス不能攻撃、情報漏洩、メモリの解放後使用 (use-after-free：CWE-416)、メモリ破損 (memory corruption：CWE-119) に起因して任意のコード実行を許してしまう問題です。
Windows 版 Chrome 74.0.3729.157 では、1 件の脆弱性を解決しています。
2019年 5月のセキュリティ更新プログラムでは 82 件のマイクロソフト製品のセキュリティ問題を解決しています。脆弱性による影響は、任意のコード実行 42 件、サービス不能 5 件、アクセス権限の昇格 13 件、なりすまし 7 件、情報漏洩 10 件、セキュリティ機構の迂回 3 件です。
重要製造業分野で利用されている富士電機 (fujielectric.com) の高性能・汎用サーボシステム Alpha7 PC ローダには、領域外のメモリ参照 (out-of-bounds read: CWE-125) に起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2019-10975) が存在します。
多分野で利用されている仏 Schneider Electric (schneider-electric.com) の Modicon 製品には、不十分なランダム値の使用 (CWE-330) に起因して TCP 通信のシーケンス番号の推定を許してしまう脆弱性 (CVE-2018-6821) が存在します。報告された脆弱性は、プロセスコントローラ Modicon Premium、Modicon Quantum、産業加工やインフラ用中型 PLC である Modicon M580、M340 に影響があります。
通信、化学、重要製造業、エネルギー、農業・食料、上下水道分野で利用されている独 Siemens (siemens.com) の ディスプレイ付き HMI デバイス SIMATIC Panel、統合エンジニアリング環境を提供する SIMATIC WinCC TIA ポータルには、SNMP コミュニティ名がハードコーディングされている問題 (CWE-798)(CVE-2019-6572)、十分でない資格情報保護 (CWE-522) に起因して TLS セッション鍵の漏洩を許してしまう脆弱性 (CVE-2019-6576)、クロスサイトスクリプティング問題 (CWE-79)(CVE-2019-6577) が存在します。
化学、エネルギー、農業・食料、上下水道分野などで利用されている独 Siemens (siemens.com) の SIMATIC STEP7、PCS 7、WinCC、TIA ポータルには、SQL インジェクション問題 (CWE-89)(CVE-2019-10916)、例外を捕捉できない問題 (CWE-248) に起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2019-10917)、危険なメソッドや機能の公開 (CWE-749) に起因して任意のコマンド実行を許してしまう脆弱性 (CVE-2019-10918) が存在します。
化学、エネルギー、農業・食料、公共衛生・ヘルスケア、輸送、上下水道分野で利用されている独 Siemens (siemens.com) の WLAN アクセスポイント SCALANCE W1750D には、コマンドインジェクション問題 (CWE-77) に起因して任意のコマンド実行を許してしまう脆弱性 (CVE-2018-7082、CVE-2018-7084)、不正な URL アクセスにより情報漏洩 (CWE-200) を許してしまう脆弱性 (CVE-2018-7083、CVE-2018-16417)、クロスサイトスクリプティング問題 (CWE-79)(CVE-2018-7064) が存在します。
化学、エネルギー、農業・食料、公共衛生・ヘルスケア、輸送、上下水道分野で利用されている独 Siemens (siemens.com) の セルベース高圧インバータ SINAMICS PERFECT HARMONY GH180 用の Fieldbus Network 機能には、適切でない入力確認 (CWE-20) に起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2019-6574) が存在します。不正なパケットを受信した場合に脆弱性を悪用される可能性があります。
化学、エネルギー、農業・食料、公共衛生・ヘルスケア、輸送、上下水道分野で利用されている独 Siemens (siemens.com) の セルベース高圧インバータ SINAMICS PERFECT HARMONY GH180 用のドライブ NXG I、NXG II には、イーサネット Modbus インタフェースにおいて、適切でないリソース消費制限 (CWE-400) に起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2019-6578) が存在します。
商業施設、輸送分野で利用されている独 Siemens (siemens.com) の PLC LOGO!8 ベースモジュールには、ポート番号 10005/TCP 経由で、重要な機能に対する認証の欠如 (CWE-306) に起因して機器の設定変更を許してしまう脆弱性 (CVE-2019-10919)、特別な値の適切でない取扱い (CWE-231)、パスワードなどのアカウント情報が平文のまま格納されている問題 (CWE-256) に起因して情報漏洩を許してしまう脆弱性 (CVE-2019-10920、CVE-2019-10921) が存在します。
商業施設、輸送分野で利用されている独 Siemens (siemens.com) の PLC プログラミングソフトウェア LOGO! Soft Comfort には、信頼できないデータのデシリアライゼーション (CWE-502) に起因して任意のコード実行を許してしまう脆弱性 (CVE-2019-10924) が存在します。
化学、エネルギー、農業・食料、上下水道分野で利用されている独 Siemens (siemens.com) の SCADA システム用 HMI (Human Machine Interface) 製品である SIMATIC WinCC、ならびにプロセスコントロールシステムのためのソフトウェアである SIMATIC PCS 7 には、重要な機能に対する認証の欠如 (CWE-306) に起因して任意のコード実行を許してしまう脆弱性 (CVE-2019-10922) が存在します。
重要製造業分野で利用されているオムロン (omron.co.jp) の DeviceNet 向け管理製品である Network Configurator for DeviceNet には、信頼性のない検索パス (CWE-426) に起因して任意のコード実行を許してしまう脆弱性 (CVE-2019-10971) が存在します。
Hitachi IT Operations Director、JP1/IT Desktop Management - Manager、JP1/IT Desktop Management 2 - Manager には、サービス不能攻撃を許してしまう脆弱性が存在します。
有線と無線 LAN 統合管理を実現する Prime Infrastructure、統合マルチレイヤ管理を実現する Evolved Programmable Network Manager の Web 管理インタフェースには、ユーザ入力パラメタ検証が適切でないために、アクセス権限昇格を共に、任意のコード実行を許してしまう脆弱性 (CVE-2019-1821、CVE-2019-1822、CVE-2019-1823)、SQL インジェクション問題 (CWE-89)(CVE-2019-1824、CVE-2019-1825) が存在します。不正な HTTP 要求を受信した場合に影響を受ける可能性があります。
Cisco IOS XR の BGP MPLS ベースのイーサネット VPN 処理には、適切でない異常や例外条件の確認 (CWE-754) に起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2019-1849) が存在します。
また、Aggregation Services Router 9000 シリーズ用 Cisco IOS XR には、MPLS OAM(Operations, Administration, and Maintenance) パケット処理での入力確認が適切でないことに起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2019-1846) が存在します。不正な MPLS OAM パケットを受信した場合に影響を受ける可能性があります。
Secure Boot ハードウェア実装に、適切でないアクセス制御 (CWE-284) に起因して改ざんしたファームウェアの書き込みを許してしまう脆弱性 (CVE-2019-1649) が存在します。
Cisco FXOS と NX-OS ソフトウェアの SNMP 処理での入力確認が適切でないことに起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2019-1858) が存在します。不正な SNMP パケットを受信した場合に影響を受ける可能性があります。
WebEx Network Recording Player の ARF/WRF ファイル処理には、メモリバッファ境界での適切でない操作制限 (CWE-119) に起因して任意のコード実行を許してしまう脆弱性 (CVE-2019-1771、CVE-2019-1772、CVE-2019-1773) が存在します。
Small Business スイッチには、Sx200、Sx300、Sx500、ESW2 シリーズマネージメントスイッチ、Sx250、Sx350、Sx550 シリーズスイッチの SNMP パケット処理には、SNMP のデータサイズの入力確認が適切でないことに起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2019-1806) が存在します。不正な SNMP パケットを受信した場合に影響を受ける可能性があります。
ビデオ監視システム Cisco Video Surveillance Manager の Web 管理インタフェースには、ディレクトリトラバーサル問題 (CWE-22) に起因して情報漏洩を許してしまう脆弱性 (CVE-2019-1717) が存在します。不正な URL を受信した場合に影響を受ける可能性があります。
Samba 4.10.3、4.9.7、4.8.12 では、Samba AD DC で Kerberos を使用するための拡張である S4U2Self/S4U2Proxy に存在する脆弱性 (CVE-2018-16860) を解決しています。報告されている脆弱性は、ユーザ名 (プリンシパル) がチェックサムアルゴリズムの対象から外れていたために、ユーザ名 (プリンシパル) のすり替えを許してしまう問題です。
Tomcat 9.0.20、8.5.41 は、不具合の修正や改善を目的としたリリースです。これらのバージョンでは、HTTP/2 の改善と安定性向上のための修正、リソースキャッシュが無効で大きなファイルを取扱う際のエラー処理、JRE での SSLv2Hello サポート中止、Stack trace の表示改善などを施しています。
CPU 脆弱性問題の一つである Microarchitectural Data Sampling (MDS) に関する脆弱性 (CVE-2018-12126、CVE-2018-12127、CVE-2018-12130、CVE-2019-11091) への対応です。脆弱性の影響を受ける製品は、VMware vCenter Server (VC)、VMware vSphere ESXi (ESXi)、VMware Workstation Pro / Player (WS)、VMware Fusion Pro / Fusion (Fusion)、vCloud Usage Meter (UM)、Identity Manager (vIDM)、vCenter Server (vCSA)、vSphere Data Protection (VDP)、vSphere Integrated Containers (VIC)、vRealize Automation (vRA) です。
VMware Workstation には、不正な外部 DLL の読み込みを許してしまう問題 (DLL プリロード攻撃)(CWE-427)(CVE-2019-5526) に起因して任意のコード実行を許してしまう可能性があります。
Red Hat 製品でサポートされている Adobe Flash プラグイン (RHSA-2019:1234)、Java (java-1.8.0-ibm)(RHSA-2019:1238) のセキュリティアップデート (深刻度：緊急) がリリースされました。これらのアップデートでは、Adobe Flash Player 32.0.0.192 で解決した脆弱性、4 月の Critical Patch Update で報告され、Java SE 8 Update 211 で解決した脆弱性に対応しています。
8 件のセキュリティノートがリリースされています。該当する製品は、SAP Identity Management、SAP BusinessObjects Business Intelligence platform、Solution Manager、SAP Treasury and Risk Management、SAP Enterprise Financial Services、SAP E-Commerce、SAP Solution Manager system です。報告されている脆弱は、アクセス権限の昇格 (CVE-2019-0301)、情報漏洩 (CVE-2019-0287、CVE-2019-0289、CVE-2019-0291)、適切でない認可検証 (CVE-2019-0280、CVE-2019-0293、CVE-2018-2484)、クロスサイトスクリプティング問題 (CWE-79)(CVE-2019-0298) です。
Intel 製 CPU に関して、情報漏洩を許してしまう Microarchitectural Data Sampling (MDS) の脆弱性が報告されました。
担当：寺田、大西／HIRT
