セキュリティホール memo - 2018.07

Last modified: Mon Mar 30 12:18:31 2018 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


■ 2018.07.31


■ 2018.07.30


■ 2018.07.27

■ 追記

Bluetooth SIG Security Update (2018.07.25)


■ 2018.07.26


■ 2018.07.25

■ 追記

いろいろ (2018.07.24) Mailman

 Mailman 2.1.28 での変更に不具合があり、Mailman 2.1.29 が公開されました。 二木さん情報ありがとうございます。

■ Chrome Stable Channel Update for Desktop
(Google, 2018.07.24)

 Chrome 68.0.3440.75 が stable に。42 件のセキュリティ修正を含む。 また http なサイトは全て「保護されていません」と表示される。

■ Bluetooth SIG Security Update
(Bluetooth SIG, 2018.07.23)

 既存の Bluetooth 仕様に欠陥。Bluetooth の機能 Secure Simple Pairing および LE Secure Connections において、公開鍵の検証が必須 (require) でなく推奨 (recommends) だったため、これを実装していない機器間でのペアリングにおいて中間介入攻撃 (man-in-the-middle attack) が可能だった。

 これに対応するため、Bluetooth 仕様に対して Erratum 10734 が発行された。今後、公開鍵の検証は必須となる。

 VU#304725 - Bluetooth implementations may not sufficiently validate elliptic curve parameters during Diffie-Hellman key exchange (US-CERT, 2018.07.23) によると、具体的には楕円曲線ディフィー・ヘルマン鍵共有 (elliptic-curve Diffie-Hellman (ECDH) key exchange) における欠陥、ということになる模様。現時点において、欠陥ありとして Apple, Broadcom, Intel, QUALCOMM の名前が挙がっている。 今後、順次修正されることになるのだろう。

2018.07.27 追記:

 macOS については、 Apple 方面 (iOS, tvOS, watchOS, macOS, Safari, iCloud for Windows, iTunes for Windows 更新) (2018.07.09) の About the security content of macOS High Sierra 10.13.6, Security Update 2018-004 Sierra, Security Update 2018-004 El Capitan (Apple, 2018.07.09) で修正されている。CVE-2018-5383


■ 2018.07.24

■ いろいろ (2018.07.24)
(various)

Mailman

 二木さん情報ありがとうございます。

2018.07.25 追記:

 Mailman 2.1.28 での変更に不具合があり、Mailman 2.1.29 が公開されました。 二木さん情報ありがとうございます。

日医標準レセプトソフト

DLL 読み込みに関する脆弱性

Apache Tomcat Native Connector

Moodle

■ Windows 10 で導入されたファイル形式 .SettingContent-ms がマルウェアに悪用されているのだそうで
(various)

 old news ですが……。

■ 追記

2018 年 7 月のセキュリティ更新プログラム (月例) (2018.07.12)

 .NET Framework の更新プログラム、不具合のために公開が停止されたそうです。


■ 2018.07.23

■ Apache Tomcat における複数の脆弱性に関する注意喚起
(JPCERT/CC, 2018.07.23)

 Apache Tomcat 7.0.x / 8.0.x / 8.5.x / 9.0.x に計 3 件の欠陥 CVE-2018-8014 CVE-2018-8034 CVE-2018-8037。 Tomcat 7.0.90 / 8.0.53 / 8.5.32 / 9.0.10 で修正。


■ 2018.07.20

■ いろいろ (2018.07.20)
(various)

PHP

Apache httpd

 iida さん情報ありがとうございます。

Wireshark

■ 追記

2018 年 7 月のセキュリティ更新プログラム (月例) (2018.07.12)

 更新プログラムの不具合の件、MS 公式ブログで解説されてました:

  • 7 月の更新プログラムを適用すると Stop エラーなどの問題が発生する (Ask the Network & AD Support Team, 2018.07.19)

    [ 原因 ]
    OS の tcpip.sys ドライバーの問題により、NSI (Network Store Interface) サービスに対して TCP コネクションテーブル等のネットワークに関する情報の要求があった場合に、タイミングによって問題が発生する可能性があります。
    このような NSI に対する要求は OS の通常動作時にも発生し得ます。
    また、Microsoft Network Monitor や Wireshark などの Network Monitoring ソフトが動作している環境では、特に頻繁に発生するため、問題の発生確率が上がります。

    更新プログラムが公開されているので適用すればよい。マンスリー ロールアップの場合についても記載されている。


■ 2018.07.19

■ ソーシャルウェブサービスにおける新たなプライバシー脅威「Silhouette」を発見 ~Twitter、Microsoft、Mozillaらに働きかけ、世界の主要サービス・ブラウザのセキュリティ機構を改善~
(NTT, 2018.07.18)

 各種 SNS のブロック機能を悪用することで、攻撃者が用意した web サイトに訪問したユーザーの SNS アカウント名を特定できてしまう状態だった模様。

NTTでは、この新たな脅威に対してSWSが脆弱であるか評価する手法を確立しました。また、世界的に著名な複数のSWSにおいて実際にアカウント名が特定されうる状態にあることを解明し、SWSの事業者に対して脅威の詳細や対策方法の共有と、対策の有効性を検証する実験協力を行いました。この取り組みを受けて、TwitterなどのSWSが仕様変更によってセキュリティ機構を向上させ、アカウント名特定の脅威を未然に防ぐことができました。さらに、Microsoft Edge、Internet Explorer、Mozilla Firefoxといった主要ブラウザにおいて、本研究や類似手法によって発生しうる脅威を回避するためにCookieのSameSite属性(※4)が追加されました。
(中略)
※4 (中略) 本研究成果の以前には、Google ChromeやOperaといったChromium系ブラウザのみで利用可能であった。

 この研究成果を使った攻撃については、現在は対応されているようだ。

 関連:


■ 2018.07.18

■ 2018年 7月 Oracle 製品のクリティカルパッチアップデートに関する注意喚起
(JPCERT/CC, 2018.07.18)

 Oracle 四半期定例 patch 出ました。Java SE は 8u181 と 10.0.2 になってます。ダウンロード。 Oracle Java SE サポート・ロードマップ もどうぞ。

■ 追記

2018 年 7 月のセキュリティ更新プログラム (月例) (2018.07.12)

 上記、Windows 10, version 1607 / 1703 / 1709 について追加した。

 また、Windows Server 2012、Windows 8.1 / Server 2012 R2 用の .NET Framework 更新プログラムについても不具合があるそうで:

 2018.07.17 付で新しい .NET Framework patch (KB4340557, KB4340558) が流れてきているので、 上記が修正されているのかな?


■ 2018.07.17

■ 追記

2018 年 7 月のセキュリティ更新プログラム (月例) (2018.07.12)

 今回の更新プログラムにはいくつか不具合があったようで、対応の更新プログラムが公開されているものがあります。例:

Windows 7 SP1 / Server 2008 R2 SP1
  • July 10, 2018—KB4338823 (Security-only update) (Microsoft)

    • After installing this update, some devices running network monitoring workloads may receive the 0xD1 Stop error because of a race condition.
    • Restarting the SQL Service may fail occasionally with the error, “Tcp port is already in use”.
    • When an administrator tries to stop the World Wide Web Publishing Service (W3SVC), the W3SVC remains in a "stopping" state, but cannot fully stop or be restarted.

    KB4345459 で修正されている。

  • July 10, 2018—KB4338818 (Monthly Rollup) (Microsoft)

    • There is an issue with Windows and third-party software related to a missing file (oem<number>.inf). Because of this issue, after you apply this update, the network interface controller will stop working.
    • 他、KB4338823 と同じ 3 件

    最初のものについては回避策を記載、 他のものについてはまだ作業中、になっている。

Server 2012
  • July 10, 2018—KB4338820 (Security-only update) (Microsoft)

    • After installing this update, some devices running network monitoring workloads may receive the 0xD1 Stop error because of a race condition.
    • Restarting the SQL Service may fail occasionally with the error, “Tcp port is already in use”.
    • When an administrator tries to stop the World Wide Web Publishing Service (W3SVC), the W3SVC remains in a "stopping" state, but cannot fully stop or be restarted.

    KB4345425 で修正されている。

  • July 10, 2018—KB4338830 (Monthly Rollup) (Microsoft)。上記と同じ不具合が列挙されているが、 まだ作業中、になっている。

Windows 8.1 / Server 2012 R2
  • July 10, 2018—KB4338824 (Security-only update) (Microsoft)

    • After installing this update, some devices running network monitoring workloads may receive the 0xD1 Stop error because of a race condition.
    • Restarting the SQL Service may fail occasionally with the error, “Tcp port is already in use”.
    • When an administrator tries to stop the World Wide Web Publishing Service (W3SVC), the W3SVC remains in a "stopping" state, but cannot fully stop or be restarted.

    KB4345424 で修正されている。

  • July 10, 2018—KB4338815 (Monthly Rollup) (Microsoft)。上記と同じ不具合が列挙されているが、 まだ作業中、になっている。

Windows 10, version 1803
  • July 10, 2018—KB4338819 (OS Build 17134.165) (Microsoft)

    • After installing this update on a DHCP Failover Server, Enterprise clients may receive an invalid configuration when requesting a new IP address. This may result in loss of connectivity as systems fail to renew their leases.
    • After installing this update, some devices running network monitoring workloads may receive the 0xD1 Stop error because of a race condition.
    • Restarting the SQL Server service may fail occasionally with the error, “Tcp port is already in use”.
    • When an administrator tries to stop the World Wide Web Publishing Service (W3SVC), the W3SVC remains in a "stopping" state, but cannot fully stop or be restarted.

    KB4345421 で修正されている。


■ 2018.07.16


■ 2018.07.13

■ 新たなサイドチャンネル攻撃 TLBleed 登場
(various)

 また出ました。

■ いろいろ (2018.07.13)
(various)

VMware Tools

cURL

Kea DHCP server

Explzh

■ 追記

2018 年 7 月のセキュリティ更新プログラム (月例) (2018.07.12)

いろいろ (2018.07.09) Aterm HC100RC, W1200EX / W1200EX-MS, W300P, W500P, WF300HP2, WF800HP, WG1200HP, WG1200HP2, WG1200HS, WG1200HS2, WG1900HP, WR8165N

WG1200HP, W300P, HC100RC についてより詳細な情報が開示された模様:

他の奴も似たりよったりということなんですかねえ。


■ 2018.07.12

■ 注意! 2019年2月から主要DNSサーバソフトウェアの挙動が変わります
(JPNIC, 2018.07.10)

 BIND・Knot Resolver・Unbound・PowerDNS Recursor における、EDNS に対応しない/できない機器への回避策の実装を、2019.02.01 以後はもうやめる (削除する) そうです。 堪忍袋の緒が切れた、という感じでしょうか。

 とりあえず、https://dnsflagday.net/ を見ながらテストするのが吉のようです。

■ 追記

Key Reinstallation Attacks - Breaking WPA2 by forcing nonce reuse (2017.10.17)

 Apple Boot Camp が 6.4.0 で対応されました:

Security updates available for Adobe Acrobat and Reader | APSB18-09 (2018.05.15)

 Security updates available for Adobe Acrobat and Reader | APSB18-09 ですが、2018.05.25 付の変更で、Track 名称が Consumer から Continuous に改訂されていました。

■ 2018 年 7 月のセキュリティ更新プログラム (月例)
(Microsoft, 2018.07.11)

 出ました。IE / Edge, Windows, Office, SharePoint, ChakraCore, Flash Player, .NET Framework / ASP.NET, Microsoft Research JavaScript Cryptography Library, Skype for Business / Lync, Visual Studio, Wireless Display Adapter V2, PowerShell Editor Services / Extension for Visual Studio Code, Web Customizations for Active Directory Federation Services。多いね!

 EMET は 2018.07.31 でいよいよサポート終了だそうです。 手元の Windows 7 機の移行作業も実施しないと……。

 関連:

2018.07.13 追記:

 関連:

2018.07.17 追記:

 今回の更新プログラムにはいくつか不具合があったようで、対応の更新プログラムが公開されているものがあります。例:

Windows 7 SP1 / Server 2008 R2 SP1
  • July 10, 2018—KB4338823 (Security-only update) (Microsoft)

    • After installing this update, some devices running network monitoring workloads may receive the 0xD1 Stop error because of a race condition.
    • Restarting the SQL Service may fail occasionally with the error, “Tcp port is already in use”.
    • When an administrator tries to stop the World Wide Web Publishing Service (W3SVC), the W3SVC remains in a "stopping" state, but cannot fully stop or be restarted.

    KB4345459 で修正されている。

  • July 10, 2018—KB4338818 (Monthly Rollup) (Microsoft)

    • There is an issue with Windows and third-party software related to a missing file (oem<number>.inf). Because of this issue, after you apply this update, the network interface controller will stop working.
    • 他、KB4338823 と同じ 3 件

    最初のものについては回避策を記載、 他のものについてはまだ作業中、になっている。

Server 2012
  • July 10, 2018—KB4338820 (Security-only update) (Microsoft)

    • After installing this update, some devices running network monitoring workloads may receive the 0xD1 Stop error because of a race condition.
    • Restarting the SQL Service may fail occasionally with the error, “Tcp port is already in use”.
    • When an administrator tries to stop the World Wide Web Publishing Service (W3SVC), the W3SVC remains in a "stopping" state, but cannot fully stop or be restarted.

    KB4345425 で修正されている。

  • July 10, 2018—KB4338830 (Monthly Rollup) (Microsoft)。上記と同じ不具合が列挙されているが、 まだ作業中、になっている。

Windows 8.1 / Server 2012 R2
  • July 10, 2018—KB4338824 (Security-only update) (Microsoft)

    • After installing this update, some devices running network monitoring workloads may receive the 0xD1 Stop error because of a race condition.
    • Restarting the SQL Service may fail occasionally with the error, “Tcp port is already in use”.
    • When an administrator tries to stop the World Wide Web Publishing Service (W3SVC), the W3SVC remains in a "stopping" state, but cannot fully stop or be restarted.

    KB4345424 で修正されている。

  • July 10, 2018—KB4338815 (Monthly Rollup) (Microsoft)。上記と同じ不具合が列挙されているが、 まだ作業中、になっている。

Windows 10, version 1607 / Server 2016
  • July 10, 2018—KB4338814 (OS Build 14393.2363) (Microsoft)

    • Addresses an issue that may cause some devices running network monitoring workloads to receive the 0xD1 Stop error because of a race condition after installing the July update.
    • Addresses an issue with the DHCP Failover server that may cause enterprise clients to receive an invalid configuration when requesting a new IP address. This results in a loss of connectivity.
    • Addresses an issue that may cause the restart of the SQL Server service to fail occasionally with the error, “Tcp port is already in use”.
    • Addresses an issue that occurs when an administrator tries to stop the World Wide Web Publishing Service (W3SVC). The W3SVC remains in a "stopping" state, but cannot fully stop or it cannot be restarted.

    KB4345418 で修正されている。

Windows 10, version 1703
  • July 10, 2018—KB4338826 (OS Build 15063.1206) (Microsoft)

    • After installing this update, some devices running network monitoring workloads may receive the 0xD1 Stop error because of a race condition.
    • Restarting the SQL Server service may fail occasionally with the error, “Tcp port is already in use”.
    • When an administrator tries to stop the World Wide Web Publishing Service (W3SVC), the W3SVC remains in a "stopping" state, but cannot fully stop or be restarted.

    KB4345419 で修正されている。

Windows 10, version 1709
  • July 10, 2018—KB4338825 (OS Build 16299.547) (Microsoft)

    • Some non-English platforms may display the following string in English instead of the localized language: ”Reading scheduled jobs from file is not supported in this language mode.” This error appears when you try to read the scheduled jobs you've created and Device Guard is enabled.
    • When Device Guard is enabled, some non-English platforms may display the following strings in English instead of the localized language:
      • "Cannot use '&' or '.' operators to invoke a module scope command across language boundaries."
      • "'Script' resource from 'PSDesiredStateConfiguration' module is not supported when Device Guard is enabled. Please use 'Script' resource published by PSDscResources module from PowerShell Gallery."
    • After installing this update on a DHCP Failover Server, Enterprise clients may receive an invalid configuration when requesting a new IP address. This may result in loss of connectivity as systems fail to renew their leases.
    • After installing this update, some devices running network monitoring workloads may receive the 0xD1 Stop error because of a race condition
    • Restarting the SQL Server service may fail occasionally with the error, “Tcp port is already in use”.
    • When an administrator tries to stop the World Wide Web Publishing Service (W3SVC), the W3SVC remains in a "stopping" state, but cannot fully stop or be restarted.

    前 2 者については作業中、 後 4 者については KB4345420 で修正されている。

Windows 10, version 1803
  • July 10, 2018—KB4338819 (OS Build 17134.165) (Microsoft)

    • After installing this update on a DHCP Failover Server, Enterprise clients may receive an invalid configuration when requesting a new IP address. This may result in loss of connectivity as systems fail to renew their leases.
    • After installing this update, some devices running network monitoring workloads may receive the 0xD1 Stop error because of a race condition.
    • Restarting the SQL Server service may fail occasionally with the error, “Tcp port is already in use”.
    • When an administrator tries to stop the World Wide Web Publishing Service (W3SVC), the W3SVC remains in a "stopping" state, but cannot fully stop or be restarted.

    KB4345421 で修正されている。

2018.07.18 追記:

 上記、Windows 10, version 1607 / 1703 / 1709 について追加した。

 また、Windows Server 2012、Windows 8.1 / Server 2012 R2 用の .NET Framework 更新プログラムについても不具合があるそうで:

 2018.07.17 付で新しい .NET Framework patch (KB4340557, KB4340558) が流れてきているので、 上記が修正されているのかな?

2018.07.20 追記:

 更新プログラムの不具合の件、MS 公式ブログで解説されてました:

2018.07.24 追記:

 .NET Framework の更新プログラム、不具合のために公開が停止されたそうです。


■ 2018.07.11

■ Adobe 方面 (Acrobat, Connect, Experience Manager, Flash Player)
(Adobe, 2018.07.10)

 Adobe 方面出てました。Priority は 2 (Linux 用 Flash Player だけ 3)。

 関連:

■ Apple 方面 (iOS, tvOS, watchOS, macOS, Safari, iCloud for Windows, iTunes for Windows 更新)
(apple, 2018.07.09)

 Apple 方面出てました。

 関連:

■ ClamAV 0.100.1 has been released!
(ClamAV, 2018.07.09)

 ClamAV 0.100.1 公開。セキュリティ修正 3 件を含みます。


■ 2018.07.09

■ いろいろ (2018.07.09)
(various)

Aterm HC100RC, W1200EX / W1200EX-MS, W300P, W500P, WF300HP2, WF800HP, WG1200HP, WG1200HP2, WG1200HS, WG1200HS2, WG1900HP, WR8165N

Knot Resolver

LTE

■ WordPress 4.9.7 セキュリティ・メンテナンスリリース
(Wordpress, 2018.07.08)

 セキュリティ修正は次の件のようです。

バージョン 4.9.6 以前の WordPress は、特定の権限を持つユーザーが uploads ディレクトリ外のファイルを削除できてしまう可能性のあるメディアの問題の影響を受けます。

 これに加えて 17 件の不具合修正が含まれるそうです。


■ 2018.07.05

■ 人気のFirefox拡張機能「Stylish」がポリシー違反でブロック、すべての閲覧履歴を収集か
(窓の杜, 2018.07.04)

 Firefox 用のユーザースタイルシート管理用アドオン Stylish に欠陥。 プライバシーポリシーでは非個人的なデータのみを収集することになっているが、 実際には、全ての閲覧履歴を収集していた模様。

パスワードのリセットなどで用いられる認証トークンを含んだURLや、コンテンツの共有に使われるワンタイムURLも含まれるため、個人の特定はおろか、機密情報の入手も不可能ではない。

 Firefox 用 Stylish は 2018.07.03 付でブロックされた。

 Chrome 用 Stylish にも同様の問題があるかどうかは不明。

 関連: "Stylish" browser extension steals all your internet history (Robert Heaton, 2018.07.02)


■ 2018.07.04

■ VMSA-2018-0016 - VMware ESXi, Workstation, and Fusion updates address multiple out-of-bounds read vulnerabilities
(2018.06.28)

 VMware ESXi 6.7、Workstation 14.x、Fusion 10.x の shader translator に複数の欠陥、情報漏洩や、一般ユーザー権限での VM の crash を招く。 CVE-2018-6965 CVE-2018-6966 CVE-2018-6967。 ESXi 5.5 / 6.0 / 6.5 にはこの欠陥はない。

 ESXi 6.7 用の patch ESXi670-201806401-BG、および Workstation 14.1.2、Fusion 10.1.2 で修正されている。

■ 追記

Security updates available for Adobe Acrobat and Reader | APSB18-09 (2018.05.15)

Drupal core - Highly critical - Remote Code Execution - SA-CORE-2018-004 (2018.04.26)

■ Firefox 61.0 / ESR 60.1.0 / ESR 52.9.0 公開
(Mozilla, 2018.06.26)

 そういえば出てましたね。iida さん情報ありがとうございます。 ESR 52 系列はいよいよ終了です。

 Thunderbird 52.9.0 も 2018.07.03 付で出てました。


■ 2018.07.02


[セキュリティホール memo]
[私について]