セキュリティホール memo - 2017.01

Last modified: Mon Mar 30 12:18:31 2017 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2017.01.31

マイクロソフト セキュリティ アドバイザリ 4010983 - ASP.NET Core MVC 1.1.0 の脆弱性によりサービス拒否が起こる
(Microsoft, 2017.01.28)

 ASP.NET Core MVC 1.0.x にはこの欠陥はないそうで。 ASP.NET Core MVC 1.1.1 で修正済。1.1.1 以降を使うように設定した上でアプリを再作成する。


2017.01.30

OpenSSL Security Advisory [26 Jan 2017]
(OpenSSL, 2017.01.26)

 OpenSSL 1.1.0d / 1.0.2k 公開。3 件のセキュリティ欠陥を修正。 iida さん情報ありがとうございます。


2017.01.27

Apache HTTP Server 2.2.32 Released
(Apache, 2017.01.13)

 Apache 2.2.32 公開。 CVE-2016-8743CVE-2016-5387 (httpoxy) が修正されている。 iida さん情報ありがとうございます。

WordPress 4.7.2 セキュリティリリース
(WordPress, 2017.01.27)

 WordPress 4.7.2 公開。3 件のセキュリティ修正を含む。 日本語版 4.7.2 はまだ公開されてないみたい。

2017.01.30 追記:

 日本語版 4.7.2 公開されてます。

2017.02.06 追記:

 詳細解説: WordPress 4.7.1 の権限昇格脆弱性について検証した (徳丸浩の日記, 2017.02.06)。

認証不要で、攻撃に特別な情報も必要とせず、極めて容易にコンテンツが改ざんできるため、深刻な脆弱性であることがわかります。

 関連:

2017.02.09 追記:

 WordPressの脆弱性突く攻撃が激増、6万以上のWebサイトで改ざん被害 (ITmedia, 2017.02.09)

Chrome Stable Channel Update for Desktop
(Google, 2017.01.25)

 Chrome 56.0.2924.76 が stable に。51 件のセキュリティ修正を含む。


2017.01.26


2017.01.25

Firefox 51.0 / ESR 45.7.0 公開
(Mozilla, 2017.01.24)

 出ました。

 関連:

2017.02.13 追記:

 Android 版 Firefox のみ 51.0.3 が公開されました。 キャッシュディレクトリに誰でも書き込めちゃう状態になっていたようで。


2017.01.24


2017.01.23


2017.01.21


2017.01.20


2017.01.19


2017.01.18

Oracle Critical Patch Update Advisory - January 2017
(Oracle, 2017.01.17)

 Oracle 四半期更新来ました。

 Java は 8u121 が公開されています。

 で、8u122 は出ないようです。


2017.01.17

PowerDNS Authoritative Server及びPowerDNS Recursorの脆弱性について (CVE-2016-7068、CVE-2016-7072、CVE-2016-7073、CVE-2016-7074、 CVE-2016-2120) - バージョンアップを推奨 -
(JPRS, 2017.01.17)

 PowerDNS Recursor 4.0.4 / 3.7.4、PowerDNS Authoritative Server 4.0.2 / 3.4.11 公開。複数のセキュリティ欠陥を修正。


2017.01.16


2017.01.14


2017.01.13


2017.01.12

WordPress 4.7.1 Security and Maintenance Release
(WordPress, 2017.01.11)

 WordPress 4.7.1 公開、複数のセキュリティ修正を含む。PHPMailer の件についても、影響は受けないが、対応されている。 日本語版はまだみたい。

2017.01.13 追記:

 WordPress 4.7.1 日本語版出ました。

2017 年 1 月のマイクロソフト セキュリティ情報の概要
(Microsoft, 2017.01.11)

 Edge、Office 2016 / SharePoint Enterprise Server 2016、Flash Player、Windows Vista / Server 2008 / 7 / Server 2008 R2。 IE の修正はない。 0-day もない模様。

ISC BIND 9 に対する複数の脆弱性に関する注意喚起
(JPCERT/CC, 2017.01.12)

 BIND 9.x に 4 種類のセキュリティ欠陥、remote から named を停止できる。

欠陥 対象 深刻度 リスク その他
CVE-2016-9444 9.11.0〜9.11.0-P1
9.10.0〜9.10.4-P4
9.9.3〜9.9.9-P4
9.8.5〜9.8.8
9.6-ESV-R9〜9.6-ESV-R11-W1
フルリゾルバー: 高
権威 DNS サーバー: 限定的
CVE-2016-9147 9.11.0-P1
9.10.4-P4
9.9.9-P4
フルリゾルバー: 高
権威 DNS サーバー: 限定的
DNSSEC 検証関連処理の欠陥だが、DNSSEC 検証を使用していない場合も影響を受ける。
CVE-2016-9131 9.11.0〜9.11.0-P1
9.10.0〜9.10.4-P4
9.9.3〜9.9.9-P4
9.8.5〜9.8.8
9.4.0〜9.6-ESV-R11-W1
フルリゾルバー: 高
権威 DNS サーバー: 限定的
RTYPE=ANY のクエリをフィルタすることで回避できる。
CVE-2016-9778 9.11.0〜9.11.0-P1 nxdomain-redirect オプション有効、かつ、nxdomain-redirect オプションに自身が権威を持つゾーンを指定していた場合にのみ、本欠陥の影響を受ける nxdomain-redirect オプションを無効にする、あるいは、redirect namespace 機能 ではなく redirect zone 機能を使うことで回避できる。

 BIND 9.11.0-P2 / 9.10.4-P5 / 9.9.9-P5 で修正されている。


2017.01.11

いろいろ (2017.01.11)
(various)

GnuTLS

 GnuTLS 3.3.26 / 3.5.8 公開。 OSS-Fuzz によって発見された 2 件のセキュリティ欠陥を修正。 iida さん情報ありがとうございます。

APSB17-01 - Security Updates Available for Adobe Acrobat and Reader
(Adobe, 2017.01.10)

 Acrobat / Acrobat Reader DC Continuous 15.023.20053 / Classic 15.006.30279、Acrobat / Adobe Reader XI 11.0.19 公開。29 件のセキュリティ欠陥 CVE-2017-2939 CVE-2017-2940 CVE-2017-2941 CVE-2017-2942 CVE-2017-2943 CVE-2017-2944 CVE-2017-2945 CVE-2017-2946 CVE-2017-2947 CVE-2017-2948 CVE-2017-2949 CVE-2017-2950 CVE-2017-2951 CVE-2017-2952 CVE-2017-2953 CVE-2017-2954 CVE-2017-2955 CVE-2017-2956 CVE-2017-2957 CVE-2017-2958 CVE-2017-2959 CVE-2017-2960 CVE-2017-2961 CVE-2017-2962 CVE-2017-2963 CVE-2017-2964 CVE-2017-2965 CVE-2017-2966 CVE-2017-2967 を修正。 0-day はないみたい。CVE-2017-2947 (セキュリティ機能の回避) を除いた他は、任意のコードの実行を許す欠陥。Priority rating は 2。

APSB17-02 - Security updates available for Adobe Flash Player
(Adobe, 2017.01.10)

 Flash Player 24.0.0.194 公開。13 件のセキュリティ欠陥 CVE-2017-2925 CVE-2017-2926 CVE-2017-2927 CVE-2017-2928 CVE-2017-2930 CVE-2017-2931 CVE-2017-2932 CVE-2017-2933 CVE-2017-2934 CVE-2017-2935 CVE-2017-2936 CVE-2017-2937 CVE-2017-2938 を修正。 0-day はないみたい。 CVE-2017-2938 (情報漏洩) を除いた他は、任意のコードの実行を許す欠陥。Priority rating は Linux 版が 3、他は 1。


2017.01.10

Quick Homepage Makerには二つの脆弱性があります
(合同会社くまさん, 2016.12.29)

 Quick Homepage Maker (QHM) 5.x 以前、および HAIK 6.0.x、7.0.0.Beta.x に欠陥。 同梱されている SWFUpload (QHM 5.x 以前では Pro 版にのみ同梱?) に欠陥があり、無認証で任意のファイルをアップロードし実行できてしまう。結果として、たとえば PHP シェルをアップロードされてサイトを乗っ取られるといった事態が発生し得る。

 HAIK 6.0.8、7.0.0.Beta.2 で修正されている。ただし、HAIK 6.0.8 / 7.0.0.Beta.2 には別の欠陥が残存しているので注意。

 関連:


2017.01.07

追記

Apache Tomcat 8.5.9、9.0.0.M15 公開 (2016.12.13)

 Apache Tomcat 6.x, 7.x, 8.0.x にも欠陥があることが明らかとなりました。

 Apache Tomcat 6.0.49 / 7.0.74 / 8.0.40 で修正される予定だそうです (未リリース)。

いろいろ (2017.01.07)
(various)

SKYSEA Client View

2017.03.08 追記:

2017.01.06

 あけましておめでとうございます。


[セキュリティホール memo]
[私について]