1. 日立ディスクアレイシステムに対するセキュリティホール対策のお知らせ
Microsoft製品に対して、以下に示すセキュリティホールが公開されました。
[新規情報]
- Adobe Flash Playerの脆弱性の更新プログラム(ADV180001)
- Windowsの脆弱性の更新プログラム(ADV180002)
- Microsoft Color Managementの脆弱性の更新プログラム(CVE-2018-0741)
- Windowsの脆弱性の更新プログラム(CVE-2018-0744)
- Windowsの脆弱性の更新プログラム(CVE-2018-0746)
- Windowsの脆弱性の更新プログラム(CVE-2018-0747)
- Windowsの脆弱性の更新プログラム(CVE-2018-0748)
- Windows SMBの脆弱性の更新プログラム(CVE-2018-0749)
- Windows GDIの脆弱性の更新プログラム(CVE-2018-0750)
- Windowsの脆弱性の更新プログラム(CVE-2018-0751,etc)
- Windowsのサービス拒否の脆弱性の更新プログラム(CVE-2018-0753)
- OpenTypeフォント(OTF)ドライバーの脆弱性の更新プログラム(CVE-2018-0754)
- スクリプトエンジンの脆弱性の更新プログラム(CVE-2018-0758,etc)
- スクリプトエンジンの脆弱性の更新プログラム(CVE-2018-0762,etc)
- .NETの脆弱性の更新プログラム(CVE-2018-0764)
- Microsoft Edgeの脆弱性の更新プログラム(CVE-2018-0766)
- スクリプトエンジンの脆弱性の更新プログラム(CVE-2018-0780)
- .NETの脆弱性の更新プログラム(CVE-2018-0786)
- OpenTypeフォント(OTF)ドライバーの脆弱性の更新プログラム(CVE-2018-0788)
- Microsoft Edgeの脆弱性の更新プログラム(CVE-2018-0803)
日立ディスクアレイシステムのSVPにおける、上記(1)〜(20)の脆弱性の影響は下記の通りです。
- 本件はAdobe Flash Playerの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたWebサイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件はWindowsの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには投機的実行機能を持つCPUに対するサイドチャネル攻撃を行う必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件はMicrosoft Color Managementの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたWebサイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件はWindowsの脆弱性により、特権の昇格が起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件はWindowsの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件はWindowsの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件はWindowsの脆弱性により、特権の昇格が起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件はWindows SMBの脆弱性により、特権の昇格が起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件はWindows GDIの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたWebサイトを表示する、またはファイルを開く必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件はWindowsの脆弱性により、特権の昇格が起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 詳細:CVE-2018-0751,CVE-2018-0752
- 本件はWindowsのサービス拒否の脆弱性により、サービス拒否が起こるというものです。本脆弱性を攻撃者が悪用するためにはIPsecを利用する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件はOpenTypeフォント(OTF)ドライバーの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたフォントを含むドキュメントを開く必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。
- 本件はスクリプトエンジンの脆弱性により、リモートでコードが実行されるというものです。SVPでは本件の対象となるMicrosoft Edgeを使用していないため、本脆弱性の影響は受けません。
- 詳細:CVE-2018-0758,CVE-2018-0769,CVE-2018-0770,CVE-2018-0776,CVE-2018-0777
- 本件はスクリプトエンジンの脆弱性により、リモートでコードが実行されるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたWebサイトを表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるMicrosoftブラウザを使用していないため、本脆弱性の影響は受けません。
- 詳細:CVE-2018-0762,CVE-2018-0772
- 本件は.NETの脆弱性により、サービス拒否が起こるというものです。本脆弱性を攻撃者が悪用するためには.NETアプリケーションを利用する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となる.NETを使用していないため、本脆弱性の影響は受けません。
- 本件はMicrosoft Edgeの脆弱性により、情報漏えいが起こるというものです。SVPでは本件の対象となるMicrosoft Edgeを使用していないため、本脆弱性の影響は受けません。
- 本件はスクリプトエンジンの脆弱性により、情報漏えいが起こるというものです。SVPでは本件の対象となるMicrosoft Edgeを使用していないため、本脆弱性の影響は受けません。
- 本件は.NETの脆弱性により、セキュリティ機能のバイパスが起こるというものです。本脆弱性を攻撃者が悪用するためには.NETアプリケーションを利用する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となる.NETを使用していないため、本脆弱性の影響は受けません。
- 本件はOpenTypeフォント(OTF)ドライバーの脆弱性により、情報漏えいが起こるというものです。本脆弱性を攻撃者が悪用するためには特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。このため、SVPでは本脆弱性の影響は受けません。または本件の対象となるOSを使用していないため、本脆弱性の影響は受けません。
- 本件はMicrosoft Edgeの脆弱性により、特権の昇格が起こるというものです。SVPでは本件の対象となるMicrosoft Edgeを使用していないため、本脆弱性の影響は受けません。
よって、今回公開された脆弱性については特に対策の必要はありません。
SVPは直接ストレージ機能には係わりませんので、万一攻撃者から攻撃された場合であってもストレージとしてのデータの内容およびRead/Write機能に支障はありません。また日立ディスクアレイシステムに蓄積されているデータを読み取られることもありません。
しかしながら万一SVPが攻撃された場合、装置の構成変更設定や保守作業に支障をきたす等の可能性があります。
そのため今般、対象となる製品に対しまして、予防処置をさせていただきます。