セキュリティ情報（2019年8月20日）

日立ディスクアレイシステムにおけるSVP脆弱性（2019年7月分）対策について

公開日: 2019年8月20日
（株）日立製作所 ITプロダクツ統括本部

セキュリティ情報ID
 hitachi-sec-2019-307

1.日立ディスクアレイシステムに対する脆弱性対策のお知らせ

Microsoft製品に対して、以下に示す脆弱性が公開されました。

[新規情報]

1. 最新のサービス スタック更新プログラム(ADV990001)
2. Microsoft splwow64 の特権の昇格の脆弱性(CVE-2019-0880)
3. リモート デスクトップ サービスのリモートでコードが実行される脆弱性(CVE-2019-0887)
4. DirectX の特権の昇格の脆弱性(CVE-2019-0999)
5. スクリプト エンジンのメモリ破損の脆弱性(CVE-2019-1001)
6. スクリプト エンジンのメモリ破損の脆弱性(CVE-2019-1004, etc)
7. WCF/WIF SAML トークンの認証バイパスの脆弱性(CVE-2019-1006)
8. スクリプト エンジンのメモリ破損の脆弱性(CVE-2019-1056)
9. Chakra スクリプト エンジンのメモリ破損の脆弱性(CVE-2019-1062, etc)
10. Internet Explorer のメモリ破損の脆弱性(CVE-2019-1063)
11. Windows カーネルの特権の昇格の脆弱性(CVE-2019-1067)
12. Windows カーネルの情報漏えいの脆弱性(CVE-2019-1071)
13. Windows カーネルの情報漏えいの脆弱性(CVE-2019-1073)
14. Microsoft Windows の特権の昇格の脆弱性(CVE-2019-1082)
15. .NET のサービス拒否の脆弱性(CVE-2019-1083)
16. Windows WLAN サービスの特権の昇格の脆弱性(CVE-2019-1085)
17. Windows Audio Serviceの特権の昇格の脆弱性(CVE-2019-1086, etc)
18. Windows Audio Serviceの特権の昇格の脆弱性(CVE-2019-1088)
19. Windows RPCSS の特権の昇格の脆弱性(CVE-2019-1089)
20. Microsoft unistore.dll の情報漏えいの脆弱性(CVE-2019-1091)
21. DirectWrite の情報漏えいの脆弱性(CVE-2019-1093, etc)
22. Windows GDI の情報漏えいの脆弱性(CVE-2019-1094, etc)
23. Win32k の情報漏えいの脆弱性(CVE-2019-1096)
24. Windows GDI の情報漏えいの脆弱性(CVE-2019-1098)
25. Windows GDI の情報漏えいの脆弱性(CVE-2019-1099, etc)
26. GDI+ のリモート コードが実行される脆弱性(CVE-2019-1102)
27. Microsoft ブラウザーのメモリ破損の脆弱性(CVE-2019-1104)
28. リモート デスクトップ プロトコル クライアントの情報漏えいの脆弱性(CVE-2019-1108)
29. .NET Framework のリモートでコードが実行される脆弱性(CVE-2019-1113)
30. Windows カーネルの情報漏えいの脆弱性(CVE-2019-1125)
31. Windows の特権の昇格の脆弱性(CVE-2019-1130)
32. Win32k の特権の昇格の脆弱性(CVE-2019-1132)

日立ディスクアレイシステムのSVPにおける、上記(1)〜(32)の脆弱性の影響は下記の通りです。

1. 本件は、最新のサービス スタック更新プログラムです。サービス スタック更新プログラムは、Windowsの更新プログラムをインストールするコンポーネント、サービス スタックに修正プログラムを提供します。
   • 詳細：ADV990001
2. splwow64.exe が特定の呼び出しを処理する方法に、ローカルの特権の昇格の脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特定の方法で splwow64.exe を呼び出す必要があります。SVPでは、本件の対象となる splwow64.exe を使用する Print Spooler Service が無効化されています。または、本件の対象となる OS を使用していません。
   • 詳細：CVE-2019-0880
3. 認証された攻撃者がクリップボードのリダイレクトを悪用した場合に、リモート デスクトップ サービス (旧称ターミナル サービス) にリモートでコードが実行される脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、SVPからの攻撃者によって侵害されているシステムにリモート デスクトップ サービスを用いて接続する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。
   • 詳細：CVE-2019-0887
4. DirectX がメモリ内のオブジェクトを正しく処理しない場合に、特権の昇格の脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工したアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。または、本件の対象となる OS を使用していません。
   • 詳細：CVE-2019-0999
5. スクリプト エンジンが Microsoft ブラウザーでメモリ内のオブジェクトを処理する方法に、リモートでコードが実行される脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工されたサイトをホストし、表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。または、本件の対象となるMicrosoft ブラウザー を使用していません。
   • 詳細：CVE-2019-1001
6. スクリプト エンジンが Internet Explorer でメモリ内のオブジェクトを処理する方法に、リモートでコードが実行される脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工されたサイトをホストし、表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。または、本件の対象となるバージョンの Internet Explorer を使用していません。
   • 詳細：CVE-2019-1004, CVE-2019-1059
7. Windows Communication Foundation (WCF) と Windows Identity Foundation (WIF) に、任意の対称キーによる SAML トークンの署名が可能になる認証バイパスの脆弱性が存在します。認証されていない攻撃者は、任意の対称キーを使用して SAML トークンに署名することで本脆弱性を悪用する可能性があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。
   • 詳細：CVE-2019-1006
8. スクリプト エンジンが Internet Explorer でメモリ内のオブジェクトを処理する方法に、リモートでコードが実行される脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工されたサイトをホストし、表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。または、本件の対象となるバージョンの Internet Explorer を使用していません。
   • 詳細：CVE-2019-1056
9. Chakra スクリプト エンジンが Microsoft Edge でメモリ内のオブジェクトを処理する方法に、リモートでコードが実行される脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工されたURLをクリックする必要があります。SVPでは本件の対象となるMicrosoft Edgeを使用していません。または、本件の対象となる OS を使用していません。
   • 詳細：CVE-2019-1062, CVE-2019-1092, CVE-2019-1103, CVE-2019-1107
10. Internet Explorer がメモリ内のオブジェクトに不適切にアクセスする場合に、リモートでコードが実行される脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工されたサイトをホストし、表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。または、本件の対象となるバージョンの Internet Explorer を使用していません。
    • 詳細：CVE-2019-1063
11. Windows カーネルがメモリ内のオブジェクトの適切な処理に失敗した場合に、特権の昇格の脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工したアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。または、本件の対象となる OS を使用していません。
    • 詳細：CVE-2019-1067
12. Windows カーネルがメモリ内のオブジェクトを適切に処理しない場合に情報漏えいの脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工したアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。
    • 詳細：CVE-2019-1071
13. Windows カーネルがメモリ内のオブジェクトを適切に処理しない場合に情報漏えいの脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工したアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。
    • 詳細：CVE-2019-1073
14. Microsoft Windows に、ローカル サービス特権を持つ特定の dll がカスタマイズされた dll の植え付けとの競合に対して脆弱である、特権の昇格の脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工したdllをSVPに配置する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。
    • 詳細：CVE-2019-1082
15. Microsoft Common Object Runtime Library が Web 要求を適切に処理しない場合に、サービス拒否の脆弱性が存在します。攻撃者が本脆弱性を悪用するためには.NET アプリケーションに対して特別に細工された要求を出す必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。
    • 詳細：CVE-2019-1083
16. wlansvc.dll がメモリ内のオブジェクトを処理する方法に、特権の昇格の脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工したアプリケーションを実行する必要があります。SVPでは、本件の対象となる wlansvc.dll を使用する WLANSVC Service が無効化されています。
    • 詳細：CVE-2019-1085
17. Windows Audio Serviceに、特権の昇格の脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工したアプリケーションを実行する必要があります。SVPでは本件の対象となるWindows Audio Serviceを使用していません。または、本件の対象となる OS を使用していません。
    • 詳細：CVE-2019-1086, CVE-2019-1087
18. Windows Audio Serviceに、特権の昇格の脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工したアプリケーションを実行する必要があります。SVPでは本件の対象となるWindows Audio Serviceを使用していません。
    • 詳細：CVE-2019-1088
19. RPC サービスのアクティブ化カーネルが RPC 要求を適切に処理しない場合に、rpcss.dll に特権の昇格の脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工したアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。
    • 詳細：CVE-2019-1089
20. Unistore.dll がメモリ内のオブジェクトを適切に処理しない場合に、情報漏えいの脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工したアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。または、本件対象となるOSを使用していません。
    • 詳細：CVE-2019-1091
21. DirectWrite がメモリの内容を不適切に開示するときに情報漏えいの脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、細工された文書を開いたり、信頼されていない Web ページにアクセスする必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。
    • 詳細：CVE-2019-1093, CVE-2019-1097
22. Windows GDI コンポーネントがメモリの内容を不適切に開示するときに情報漏えいの脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、細工された文書を開いたり、信頼されていない Web ページにアクセスする必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。
    • 詳細：CVE-2019-1094, CVE-2019-1095
23. win32k コンポーネントがカーネル情報を不適切に提供する場合に、情報漏えいの脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工したアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。
    • 詳細：CVE-2019-1096
24. Windows GDI コンポーネントがメモリの内容を不適切に開示するときに情報漏えいの脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、細工された文書を開いたり、信頼されていない Web ページにアクセスする必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。または、本件の対象となる OS を使用していません。
    • 詳細：CVE-2019-1098
25. Windows GDI コンポーネントがメモリの内容を不適切に開示するときに情報漏えいの脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、細工された文書を開いたり、信頼されていない Web ページにアクセスする必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。または、本件の対象となる OS を使用していません。
    • 詳細：CVE-2019-1099, CVE-2019-1100, CVE-2019-1101, CVE-2019-1116
26. Windows Graphics Device Interface (GDI) がメモリ内のオブジェクトを処理する方法に、リモートでコードが実行される脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、細工された文書を開いたり、信頼されていない Web ページにアクセスする必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。
    • 詳細：CVE-2019-1102
27. Microsoft ブラウザーがメモリ内のオブジェクトにアクセスする方法に、リモートでコードが実行される脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工されたサイトをホストし、表示する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。または、本件の対象となるMicrosoft ブラウザー を使用していません。
    • 詳細：CVE-2019-1104
28. Windows RDP クライアントがメモリの内容を不適切に開示するときに情報漏えいの脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、影響を受けるシステムにリモート接続して、特別に細工されたアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。
    • 詳細：CVE-2019-1108
29. .NET ソフトウェアがファイルのソース マークアップをチェックできない場合に、リモートでコードが実行される脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、.NET で特別に細工されたファイルを開く必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。
    • 詳細：CVE-2019-1113
30. 特定の中央処理装置 (CPU) が投機的にメモリにアクセスする場合に情報漏えいの脆弱性が存在します。SVPでは、本件の対象となるCPUを使用していません。
    • 詳細：CVE-2019-1125
31. Windows AppX Deployment Service (AppXSVC) がハード リンクを適切に処理しない場合に、特権の昇格の脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工したアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。または、本件の対象となる OS を使用していません。
    • 詳細：CVE-2019-1130
32. Win32k コンポーネントがメモリ内のオブジェクトの適切な処理に失敗した場合に、Windows に特権の昇格の脆弱性が存在します。攻撃者が本脆弱性を悪用するためには、特別に細工したアプリケーションを実行する必要があります。SVPはサブシステム管理専用装置であり、このような操作が行われることはありません。または、本件の対象となる OS を使用していません。
    • 詳細：CVE-2019-1132

よって、今回公開された脆弱性については特に対策の必要はありません。

SVPは直接ストレージ機能には係わりませんので、万一攻撃者から攻撃された場合であってもストレージとしてのデータの内容およびRead/Write機能に支障はありません。また日立ディスクアレイシステムに蓄積されているデータを読み取られることもありません。

2. 対象製品

Microsoft Windows OSを搭載したSVPを装備する下記の製品が本件の対象となります。

• Hitachi Virtual Storage Platform G1000,G1500
• Hitachi Virtual Storage Platform F1500
• Hitachi Virtual Storage Platform VX7
• Hitachi Unified Storage VM (HUS VM)
• Hitachi Virtual Storage Platform
• Hitachi Virtual Storage Platform VP9500
• Hitachi Universal Storage Platform V
• Hitachi Universal Storage Platform VM

注：

Hitachi Virtual Storage Platform G130, G150, G350, G370, G700, G900、Hitachi Virtual Storage Platform F350, F370, F700, F900、Hitachi Virtual Storage Platform G100, G200, G400, G600, G800、Hitachi Virtual Storage Platform F400, F600, F800、Hitachi Unified Storage 100、Hitachi Adaptable Modular Storage、Hitachi Workgroup Modular Storage、および　Hitachi Simple Modular Storage、は影響を受けません。

3.クライアントPC、もしくは管理サーバ^*1のご使用について

クライアントPCでのStorage Navigatorのご使用については、Storage Navigator機能に限ったご使用であれば特に問題ありません。
クライアントPCを他の用途でもご利用されている場合や、管理サーバをご利用されている場合は、ご利用内容によっては今回の脆弱性の影響を受ける可能性があります。
詳しくはメーカにお尋ねいただくか、以下のセキュリティサイトをご確認の上対応をお願い致します。

• https://portal.msrc.microsoft.com/ja-jp/security-guidance

*1

Hitachi Virtual Storage Platform G100, G200, G400, G600, G800、Hitachi Virtual Storage Platform F400, F600, F800、Hitachi Virtual Storage Platform G130, G150, G350, G370, G700, G900、およびHitachi Virtual Storage Platform F350, F370, F700, F900、を管理するためのサーバ(SVP)のことを管理サーバと表現しています。

4. 本セキュリティホールに関する情報

1. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV990001
2. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-0880
3. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-0887
4. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-0999
5. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1001
6. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1004
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1059
7. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1006
8. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1056
9. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1062
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1092 https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1103 https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1107
10. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1063
11. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1067
12. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1071
13. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1073
14. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1082
15. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1083
16. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1085
17. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1086
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1087
18. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1088
19. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1089
20. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1091
21. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1093
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1097
22. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1094
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1095
23. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1096
24. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1098
25. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1099
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1100 https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1101 https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1116
26. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1102
27. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1104
28. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1108
29. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1113
30. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1125
31. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1130
32. https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-1132

5. 本件に関する問合せ窓口

• 問い合わせ先はこちら

6. 更新履歴

• 2019年8月20日: このセキュリティ情報ページを新規作成および発信しました。
• 2019年8月29日: CVE-2019-1125に関する情報を追加しました。

*1

弊社では、セキュリティ対応に関して正確な情報を提供するよう努力しておりますが、セキュリティ問題に関する情報は変化しており、当ホームページで記載している内容を予告なく変更することがありますので、あらかじめご了承ください。情報ご参照の際には、常に最新の情報をご確認いただくようお願いします。

*2

当ホームページに記載されている製品には、他社開発製品が含まれております。これらのセキュリティ情報については他社から提供、または公開された情報を基にしております。弊社では、情報の正確性および完全性について注意を払っておりますが、開発元の状況変化に伴い、当ホームページの記載内容に変更が生じることがあります。

*3

当ホームページはセキュリティ情報の提供を目的としたものであり、法律上の責任を負うものではありません。お客様が独自に行なった(あるいは行なわなかった)セキュリティ対応その他のご行為の結果につきまして、弊社では責任を負いかねます。