更新日：＜2019.11.18＞
2019年11月のセキュリティ更新プログラムでは 76 件のマイクロソフト製品のセキュリティ問題を解決しています。脆弱性による影響は、任意のコード実行 17 件、サービス不能 6 件、アクセス権限の昇格 26 件、なりすまし 3 件、情報漏洩 16 件、セキュリティ機構の迂回 6 件です。
公共衛生・ヘルスケア分野で利用されているオランダ Philips (philips.com) の医療装置の通信プラットフォームとして動作する IntelliBridge EC40/80 には、強度を持った暗号化方式で保護していない問題 (CWE-326) に起因して SSH 通信からの情報漏洩を許してしまう脆弱性 (CVE-2019-18241) が存在します。
公共衛生・ヘルスケア分野で利用されているアイルランド Medtronic (medtronic.com) の電気手術用発電機である Valleylab FT10、FX8 には、不正アクセスを許してしまう複数の脆弱性 (CVE-2019-13539、CVE-2019-13543、CVE-2019-3464) が存在します。報告されている脆弱性は、資格情報がハードコーディングされている問題 (CWE-798)、脆弱なハッシュアルゴリズムを使用している問題 (CWE-328)、適切でない入力確認 (CWE-20) です。
公共衛生・ヘルスケア分野で利用されているアイルランド Medtronic (medtronic.com) の電気手術用発電機である Valleylab FT10、LS10 には、適切でない認証 (CWE-287) に起因して RFID セキュリティ機構を迂回し、不正な機器接続を許してしまう脆弱性 (CVE-2019-13531)、保護メカニズムの不具合 (CWE-693) に起因して RFID セキュリティ設定に関する情報の漏洩を許してしまう脆弱性 (CVE-2019-13535) が存在します。
化学、重要製造業、ダム、エネルギー、農業・食料、上下水道分野で利用されているスイス ABB (abb.com) の発電情報管理製品である Power Generation Information Manager (PGIM)、Plant Connect には、代替経路やチャネルによる認証機構の迂回 (CWE-288) に起因して不正アクセスを許してしまう脆弱性 (CVE-2019-18250) が存在します。
エネルギー分野で利用されているオムロン (omron.co.jp) の制御システム向け製品である CX-Supervisor に同梱されている Teamviewer には、サポートが終了した機能の使用 (CWE-477) に起因して情報漏洩、不正アクセス、サービス不能攻撃などを許してしまう脆弱性 (CVE-2019-18251) が存在します。
化学、重要製造業、エネルギー、農業・食料、上下水道分野で利用されている独 Siemens (siemens.com) のホームインテリジェントシステム用制御ユニット Desigo PX には、不変と想定される Web パラメータの外部制御 (CWE-472) に起因してサービス不能攻撃を許してしまう脆弱性 (CVE-2019-13927) が存在します。
化学、重要製造業、エネルギー、農業・食料、上下水道分野で利用されている独 Siemens (siemens.com) のコントローラ製品である SIMATIC S7-1200 には、危険なメソッドや機能の公開 (CWE-749) に起因して UART (Universal Asynchronous Receiver/Transmitter) インタフェースに物理的にアクセスできる攻撃者に、診断機能への不正アクセスを許してしまう脆弱性 (CVE-2019-13945) が存在します。
重要製造業分野で利用されている独 Siemens (siemens.com) の Mentor Nucleus ネットワークモジュールには、適切でない入力確認 (CWE-20) に起因して機器の完全性や可用性に影響を与える脆弱性 (CVE-2019-13939) が存在します。不正な DHCP パケットを受信した際に影響を受ける可能性があります。
PostgreSQL 9.4 が 2020年 2月13日で EOL (End-Of-Life) に入ることがアナウンスされました。
PostgreSQL 12.1、11.6、10.11、9.6.16、9.5.20、9.4.25 は、不具合の修正と改善を目的としたリリースです。これらのバージョンでは、ALTER TABLE 追加時に発生するクラッシュ、データベースの不要領域を回収する VACUUM のが実行中トランザクションに関係する古い多重 ID をフリーズさせてしまうなど、50 件以上の不具合の修正と改善を施しています。
VMware Workstation、Fusion には、e1000e 仮想ネットワークアダプタにおける領域外メモリへの書き出し (out-of-bounds write: CWE-787)(CVE-2019-5541)、vmnetdhcp からの情報漏洩を許してしまう脆弱性 (CVE-2019-5542)、RPC ハンドラにおけるサービス不能攻撃を許してしまう脆弱性 (CVE-2018-12207) が存在します。
VMware ESXi、Workstation、Fusion には、ページサイズ変更時に Machine Check Error を発生させることでサービス不能攻撃を許してしまう脆弱性 (CVE-2018-12207)、Transactional Synchronization Extensions で非同期異常終了 (TAA: TSX Asynchronous Abort) を発生させることで情報漏洩を許してしまう脆弱性 (CVE-2019-11135) が存在します。いずれも、インテルプロセッサの脆弱性に起因しています。
Squid 4.9 では、ヒープオーバーフロー (CWE-122) に起因して URN 処理時に任意のコード実行を許してしまう脆弱性 (CVE-2019-12526)、URL 処理に存在するサービス不能攻撃を許してしまう脆弱性 (CVE-2019-12523、CVE-2019-18676)、クロスサイトリクエストフォージェリ問題 (CWE-352)(CVE-2019-18677)、HTTP リクエストを悪用した HTTP リクエストスマグリング攻撃を許してしまう脆弱性 (CVE-2019-18678)、HTTP Digest 認証時に情報漏洩を許してしまう脆弱性 (CVE-2019-18679) を解決しています。
Drupal 8.7.10 は、不具合の修正や改善を目的としたリリースで、Symfony を 3.4.35 にアップデートしています。リリース時点で、セキュリティアップデートの報告はありません。
WordPress 5.3 では、ブロックエディターの機能強化、デザイン柔軟性の拡張、WordPress のデフォルトテーマへの Twenty Twenty の導入、画像の自動回転、サイトヘルスチェックの改良、管理者メールアドレスの検証などの改善が施されました。
12 件のセキュリティノートがリリースされています。該当する製品は、S4HANA Sales、SAP BusinessObjects Business Intelligence Platform、SAP Diagnostics Agent、SAP Enable Now、SAP ERP Sales、SAP NetWeaver Application Server Java、SAP NetWeaver AS Java、SAP Quality Management、SAP Treasury and Risk Management、SAP UI です。報告されている脆弱は、OS コマンドインジェクション問題 (CWE-78)(CVE-2019-0330)、認可の欠落 (CWE-862)(CVE-2019-0383、CVE-2019-0384、CVE-2019-0386)、クロスサイトスクリプティング問題 (CWE-79)(CVE-2019-0382、CVE-2019-0385)、SQL インジェクション問題 (CWE-89)(CVE-2019-0393)、情報漏洩 (CVE-2019-0390、CVE-2019-0391)、なりすまし (CVE-2019-0388)、アクセス権限の昇格を許してしまう脆弱性 (CVE-2019-0389) などです。
担当：寺田、大西／HIRT
