ミニ・いんふぉめーしょん

目 次

【1】複数の Microsoft 製品に脆弱性
【2】複数の Adobe 製品に脆弱性
【3】複数のサイボウズ製品に脆弱性
【4】Android アプリ「みずほ銀行　みずほダイレクトアプリ」に SSL サーバ証明書の検証不備の脆弱性
【今週のひとくちメモ】IPA が「中小規模向けIoT品質確認チェックリスト」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2018/wr184501.html
https://www.jpcert.or.jp/wr/2018/wr184501.xml
================================================

【1】複数の Microsoft 製品に脆弱性

情報源
US-CERT Current Activity
Microsoft Releases November 2018 Security Updates
https://www.us-cert.gov/ncas/current-activity/2018/11/13/Microsoft-Releases-November-2018-Security-Updates

概要
複数の Microsoft 製品には、脆弱性があります。結果として、遠隔の第三者
が任意のコードを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Internet Explorer
- Microsoft Edge
- Microsoft Windows
- Microsoft Office、Microsoft Office Services および Web Apps
- ChakraCore
- .NET Core
- Skype for Business
- Azure App Service on Azure Stack
- Team Foundation Server
- Microsoft Dynamics 365 (on-premises) version 8
- PowerShell Core
- Microsoft.PowerShell.Archive 1.2.2.0

この問題は、Microsoft Update などを用いて、更新プログラムを適用するこ
とで解決します。詳細は、Microsoft が提供する情報を参照してください。

関連文書 (日本語)
マイクロソフト株式会社
2018 年 11 月のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-jp/security-guidance/releasenotedetail/ff746aa5-06a0-e811-a978-000d3a33c573

JPCERT/CC Alert 2018-11-14
2018年11月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2018/at180046.html

【2】複数の Adobe 製品に脆弱性

情報源
US-CERT Current Activity
Adobe Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2018/11/13/Adobe-Releases-Security-Updates

概要
複数の Adobe 製品には、脆弱性があります。結果として、遠隔の第三者が情
報を窃取する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Adobe Flash Player Desktop Runtime (31.0.0.122) およびそれ以前 (Windows, macOS および Linux)
- Adobe Flash Player for Google Chrome (31.0.0.122) およびそれ以前 (Windows, macOS, Linux および Chrome OS)
- Adobe Flash Player for Microsoft Edge and Internet Explorer 11 (31.0.0.122) およびそれ以前 (Windows 10 および Windows 8.1)
- Adobe Acrobat Reader DC Continuous (2019.008.20080) およびそれ以前 (Windows)
- Adobe Acrobat Reader 2017 Classic 2017 (2017.011.30105) およびそれ以前 (Windows)
- Adobe Acrobat Reader DC Classic 2015 (2015.006.30456) およびそれ以前 (Windows)
- Adobe Acrobat DC Continuous (2019.008.20080) およびそれ以前 (Windows)
- Adobe Acrobat 2017 Classic 2017 (2017.011.30105) およびそれ以前 (Windows)
- Adobe Acrobat DC Classic 2015 (2015.006.30456) およびそれ以前 (Windows)
- Adobe Photoshop CC 19.1.6 およびそれ以前 (Windows および macOS)

この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新
することで解決します。詳細は、Adobe が提供する情報を参照してください。

関連文書 (日本語)
Adobe
Flash Player に関するセキュリティアップデート公開 | APSB18-39
https://helpx.adobe.com/jp/security/products/flash-player/apsb18-39.html

Adobe
Adobe Acrobat および Reader に関するセキュリティアップデート公開 | APSB18-40
https://helpx.adobe.com/jp/security/products/acrobat/apsb18-40.html

Adobe
Adobe Photoshop CC に関するセキュリティアップデート公開 | APSB18-43
https://helpx.adobe.com/jp/security/products/photoshop/apsb18-43.html

JPCERT/CC Alert 2018-11-14
Adobe Flash Player の脆弱性 (APSB18-39) に関する注意喚起
https://www.jpcert.or.jp/at/2018/at180044.html

JPCERT/CC Alert 2018-11-14
Adobe Acrobat および Reader の脆弱性 (APSB18-40) に関する注意喚起
https://www.jpcert.or.jp/at/2018/at180045.html

JPCERT/CC CyberNewsFlash
Adobe Photoshop CC のセキュリティアップデート (APSB18-43) について
https://www.jpcert.or.jp/newsflash/2018111401.html

【3】複数のサイボウズ製品に脆弱性

情報源
Japan Vulnerability Notes JVN#83739174
サイボウズ メールワイズにおけるディレクトリトラバーサルの脆弱性
https://jvn.jp/jp/JVN83739174/

Japan Vulnerability Notes JVN#15232217
サイボウズ Office における複数のディレクトリトラバーサルの脆弱性
https://jvn.jp/jp/JVN15232217/

Japan Vulnerability Notes JVN#16697622
サイボウズ デヂエにおけるディレクトリトラバーサルの脆弱性
https://jvn.jp/jp/JVN16697622

概要
複数のサイボウズ製品には、ディレクトリトラバーサルの脆弱性があります。
結果として、遠隔の第三者がサーバ上の任意のファイルを削除する可能性があ
ります。

対象となる製品およびバージョンは次のとおりです。

- サイボウズ メールワイズ 5.0.0 から 5.4.5 まで
- サイボウズ Office 10.0.0 から 10.8.1 まで
- サイボウズ デヂエ 8.0.2 から 8.1.2 まで

この問題は、該当する製品をサイボウズ株式会社が提供する修正済みのバージョン
に更新することで解決します。詳細は、サイボウズ株式会社が提供する情報を
参照してください。

関連文書 (日本語)
サイボウズ株式会社
サイボウズ メールワイズ 脆弱性に関するお知らせ
https://cs.cybozu.co.jp/2018/006755.html

サイボウズ株式会社
サイボウズ Office 10 脆弱性に関するお知らせ
https://cs.cybozu.co.jp/2018/006683.html

サイボウズ株式会社
サイボウズ デヂエ 脆弱性に関するお知らせ
https://cs.cybozu.co.jp/2018/006698.html

【4】Android アプリ「みずほ銀行　みずほダイレクトアプリ」に SSL サーバ証明書の検証不備の脆弱性

情報源
Japan Vulnerability Notes JVNVU#91640357
Android アプリ「みずほ銀行　みずほダイレクトアプリ」における SSL サーバ証明書の検証不備の脆弱性
https://jvn.jp/vu/JVNVU91640357/

概要
Android アプリ「みずほ銀行　みずほダイレクトアプリ」には、SSL サーバ証
明書の検証不備の脆弱性があります。結果として、遠隔の第三者が中間者攻撃
によって、通信内容を盗聴したり、改ざんしたりする可能性があります。

対象となるバージョンは次のとおりです。

-Android アプリ「みずほ銀行　みずほダイレクトアプリ」バージョン 3.13.0 およびそれ以前

株式会社みずほ銀行によると、iOS 版アプリは本脆弱性の影響を受けないとの
ことです。

この問題は、Android アプリ「みずほ銀行　みずほダイレクトアプリ」を株式
会社みずほ銀行が提供する修正済みのバージョンに更新することで解決します。
詳細は、株式会社みずほ銀行が提供する情報を参照してください。

関連文書 (日本語)
株式会社みずほ銀行
みずほ銀行　みずほダイレクトアプリ
https://play.google.com/store/apps/details?id=jp.co.mizuhobank.banking

１．チェックが必要な情報

（１）Apple社製品に関する脆弱性
・複数のApple製品における脆弱性に対するアップデート(JVN)(10/31)
　https://jvn.jp/vu/JVNVU96365720/index.html

・iOSメールAppにおけるサービス運用妨害(DoS)の脆弱性(JVN)(11/02)
　https://jvn.jp/jp/JVN96551318/index.html
※CVSSv3では基本値「7.5」となっています。

（２）Cisco社製品に関する脆弱性
・Cisco ASAおよびFTDのSIPインスペクション機能におけるサービス運用
妨害(DoS)の脆弱性(JVN)(11/02)
　https://jvn.jp/vu/JVNVU93926212/index.html
※CVSSv3では基本値「7.5」となっています。

（３）その他
・BlueStacks App Playerにおけるアクセス制限不備の脆弱性(JVN)(10/24)
　https://jvn.jp/jp/JVN60702986/index.html

・SecureCore Standard Editionにおける認証不備の脆弱性(JVN)(10/24)
　https://jvn.jp/jp/JVN21528670/index.html

・OpenDolphinにおける複数の脆弱性(JVN)(10/26)
　https://jvn.jp/jp/JVN59394343/index.html
※CVSSv3では基本値「8.8」となっています。

・Confluence Serverにおけるスクリプトインジェクションの脆弱性(JVN)
(10/29)
　https://jvn.jp/jp/JVN37943805/index.html

・Apache Tomcat JK mod_jk Connectorにパストラバーサルの脆弱性(JVN)
(11/01)
　https://jvn.jp/vu/JVNVU99875465/index.html

・WordPress用プラグインEvent Calendar WDにおけるクロスサイトスクリ
プティングの脆弱性(JVN)(11/02)
　https://jvn.jp/jp/JVN75738023/index.html

・Texas Instruments製マイクロコントローラCC2640およびCC2650に
バッファオーバーフローの脆弱性(JVN)(11/02)
　https://jvn.jp/vu/JVNVU98767431/index.html

・LogonTracerに複数の脆弱性(JVN)(11/07)
　https://jvn.jp/vu/JVNVU98026636/index.html
※CVSSv3では基本値「10.0」となっています。

・自己暗号化ドライブ製品における複数の脆弱性(JVN)(11/07)
　https://jvn.jp/vu/JVNVU90149383/index.html

・「セキュリティ対策ツール」に対するWindows10 Fall Creators Update
向け修正モジュールのインストーラにおけるDLL読み込みに関する脆弱性
(JVN)(11/09)
　https://jvn.jp/jp/JVN15709478/index.html

・WordPress用プラグインLearnPressにおける複数の脆弱性(JVN)(11/09)
　https://jvn.jp/jp/JVN85760090/index.html
※CVSSv3では基本値「7.2」となっています。

Microsoft ExcelのIQY（Internet Query）ファイルを悪用する攻撃手口の情報が、
2018年5月に海外で公開されました。　

IQYファイルとは
Microsoft Excelに関連付けされているファイルで、次のようなアイコンのファイルです。
ファイルを開くと、Microsoft Excelが起動します。ファイルの拡張子は、「.iqy」です。

不審なメールや、不審な添付ファイルに対して警戒いただくようお願いいたします。

詳しくは　独立行政法人情報処理推進機構 IPA　を閲覧ください。

https://www.ipa.go.jp/files/000068065.pdf

Apple をかたるフィッシングメールが出回っています。

詳細はこちら

マイクロソフトは6日、9月11日に提供するセキュリティアップデートの事前情報を公開
しました。内容は緊急4件、重要10件あります。

リモートでのコード実行や、特権の昇格、情報漏えい、サービス拒否が起こりうる
脆弱性に対応しています。
Microsoft OfficeやWindows、.NET Frameworkで影響があります。

詳細はhttp://technet.microsoft.com/ja-jp/security/bulletin/ms13-sep

「 ウェブサイトが改ざんされないように対策を！ 」
～　サーバーやパソコンのみならず、システム全体での対策が必要です　～

IPA 独立行政法人情報処理推進機構

2013 年 5 月のセキュリティ情報

MS13-037
Internet Explorer 用の累積的なセキュリティ更新プログラム
MS13-038
Internet Explorer 用のセキュリティ更新プログラム (2847204)

「2013 年 3 月公開のセキュリティ情報」

・Internet Explorer 10 上の Adobe Flash Player の脆弱性用の更新プログラム(2755801)
・不正なデジタル証明書により、なりすましが行われる(2798897)
・Internet Explorer の脆弱性により、リモートでコードが実行される(2794220)
・認証に対する保護の強化(973811)
・署名されたマイクロソフト バイナリに影響を与える互換性の問題(2749655)

本日フィッシング対策協議会のWebページに「緊急情報」が掲載されましたのでお
伝えします。

[緊急情報]
1、件名    ：au をかたるフィッシング（2012/10/26）
   URL     ：https://www.antiphishing.jp/news/alert/au_20121025.html

Internet Explorer の脆弱性により、リモートでコードが実行される。

詳しくはこちら

http://technet.microsoft.com/ja-jp/security/advisory/2757760