脆弱性情報　まとめ

今週の脆弱性のまとめです。
【1】ISC BIND 9 にサービス運用妨害 (DoS) の脆弱性
【概要】
ISC BIND 9 に、クエリ応答の書き換え処理に脆弱性があります。DNS64 と RPZ の両方の設定を有効にしていると、悪意ある攻撃者によりがサービス運用妨害 (DoS) 攻撃を行う恐れがあります。
【対象】
- BIND 9.8.8
- BIND 9.9.3 から 9.9.9-P5 まで
- BIND 9.9.10b1
- BIND 9.9.3-S1 から 9.9.9-S7 まで
- BIND 9.10.0 から 9.10.4-P5 まで
- BIND 9.10.5b1
- BIND 9.11.0 から 9.11.0-P2 まで
- BIND 9.11.1b1
【対策】
この問題は、ISC BIND を ISC が提供する修正済みのバージョンに更新することで解決します。また、以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
- 設定から DNS64 もしくは RPZ を削除する
- ポリシーゾーンのコンテンツを適切に制限する
詳細は、ISC が提供する情報を参照してください。
関連文書 (日本語)
株式会社日本レジストリサービス (JPRS)
BIND 9.xの脆弱性（DNSサービスの停止）について（CVE-2017-3135）
一般社団法人日本ネットワークインフォメーションセンター (JPNIC)
BIND 9における脆弱性について(2017年2月)
Japan Vulnerability Notes JVNVU#93384765
ISC BIND にサービス運用妨害 (DoS) の脆弱性
JPCERT/CC Alert 2017-02-09
ISC BIND 9 サービス運用妨害の脆弱性 (CVE-2017-3135) に関する注意喚起
関連文書 (英語)
ISC Knowledge Base
CVE-2017-3135: Combination of DNS64 and RPZ Can Lead to Crash
【2】Cisco の複数の製品のクロック信号部品に問題
【概要】
Cisco の複数の製品のクロック信号部品には、問題があります。当該製品を約 18ヶ月間以上稼動させると障害が発生する恐れがあります。
【対象】
対象となる製品は複数あります。詳細は、Cisco が提供する情報を参照してください。
関連文書 (日本語)
Cisco Meraki
クロック信号部品に関するお知らせ
【3】脆弱性体験学習ツール AppGoat に複数の脆弱性
【概要】
脆弱性体験学習ツール AppGoat には、複数の脆弱性があります。悪意ある攻撃者が、AppGoat のユーザに悪意のある Web サーバへのアクセスを行わせることで、任意のコードを実行するなどの恐れがあります。
【対象】
- 脆弱性体験学習ツール AppGoat ウェブアプリケーション用学習ツール V3.0.0 およびそれ以前
【対策】
2017年2月13日、この問題を修正した AppGoat V3.0.1 に不具合があることが判明したため、情報処理推進構 (IPA) は当該製品の提供を一時的に停止し、使用停止を促しています。詳細は、情報処理推進構 (IPA) が提供する情報を参照してください。
関連文書 (日本語)
情報処理推進構 (IPA)
脆弱性体験学習ツール AppGoat
【4】Norton Download Manager に任意の DLL 読み込みに関する脆弱性
【概要】
Norton Download Manager には、任意の DLL 読み込みに関する脆弱性があります。悪意ある攻撃者が任意のコードを実行する恐れがあります。
【対象】
- Norton Download Manager 5.6 およびそれ以前
【対策】
この問題は、Norton Download Manager を株式会社シマンテックが提供する修正済みのバージョンに更新することで解決します。詳細は、株式会社シマンテックが提供する情報を参照してください。
関連文書 (英語)
Symantec
Security Advisories Relating to Symantec Products - Norton Download Manager DLL Loading
【5】Webmin にクロスサイトスクリプティングの脆弱性
【概要】
Webmin には、クロスサイトスクリプティングの脆弱性があります。悪意ある攻撃者が、ユーザのブラウザ上で任意のスクリプトを実行する恐れがあります。
【対象】 Webmin 1.830 より前のバージョン この問題は、Webmin を Webmin が提供する修正済みのバージョンに更新する ことで解決します。詳細は、Webmin が提供する情報を参照してください。
関連文書 (英語)
Webmin
Webmin downloads page
【6】Accellion FTP server に複数の脆弱性
【概要】
Accellion FTP server には、複数の脆弱性があります。結果として、悪意ある攻撃者が、当該製品のユーザ名を収集したりユーザのブラウザ上で任意のスクリプトを実行したりする恐れがあります。
【対象】
- Accellion FTP server version FTA_9_12_220 より前のバージョン
【対策】
この問題は、Accellion FTP server を Accellion が提供する修正済みのバージョンに更新することです。詳細は、Accellion が提供する情報を参照してください。
関連文書 (日本語)
Japan Vulnerability Notes JVNVU#98953608
Accellion FTP server に複数の脆弱性