JVNVU#90274525: バッファロー製の複数のネットワーク機器においてデバッグ機能を有効化される問題
バッファロー製の複数のネットワーク機器には、隣接するネットワーク上の第三者によりデバッグ機能を有効化される問題が存在します。 BHR-4RV ファームウェア Ver.2.55 およびそれ以前 FS-G54 ファームウェア Ver.2.04 およびそれ以前 WBR2-B11 ファームウェア Ver.2.32 およびそれ以前 WBR2-G54 ファームウェア Ver.2.32 およびそれ以前 WBR2-G54-KD ファームウェア Ver.2.32 およびそれ以前 WBR-B11 ファームウェア Ver.2.23 およびそれ以前 WBR-G54 ファームウェア Ver.2.23 およびそれ以前 WBR-G54L ファームウェア Ver.2.20 およびそれ以前 WHR2-A54G54 ファームウェア Ver.2.25 およびそれ以前 WHR2-G54 ファームウェア Ver.2.23 およびそ
JVN#97370614: マガジンガーＺ におけるクロスサイトスクリプティングの脆弱性
CGI Script Market が提供するマガジンガーＺ <http://cgiscriptmarket.com/magazinegerZ/> は、ウェブサイトにメールマガジン配信機能を提供する CGI スクリプトです。 マガジンガーＺ には、管理画面にログインした管理者のウェブブラウザ上で、意図しないスクリプトが実行される格納型クロスサイトスクリプティング (CWE-79) の脆弱性が存在します。 この案件は、2021年1月22日に開催された公表判定委員会による判定にて、平成29年経済産業省告示第19号および、情報セキュリティ早期警戒パートナーシップガイドラインにおける、次のすべての条件を満たすことを確認したため、JVN で公表することが適当と判定されました。IPA は、その判定を踏まえ、脆弱性情報を公表すると判断しました。 当該案件が調整不能であること 製品開発者への連絡方法として
JVN#67447798: 複数のソニー製 Bluetooth ヘッドホンにおける Bluetooth ペアリング処理の脆弱性
以下の製品で、ファームウェアバージョンが 4.5.2 より前のもの WF-1000X WF-SP700N WH-1000XM2 WH-1000XM3 WH-CH700N WH-H900N WH-XB700 WH-XB900N WI-1000X WI-C600N WI-SP600N
JVNVU#94282488: トレンドマイクロ株式会社製の複数の製品に複数の脆弱性
Trend Micro Deep Security Manager Trend Micro Deep Security Agent Trend Micro Virtual Patch for Endpoint(TMVP) Manager 2.0 SP2 Patch7 Critical Patch およびそれ以前のバージョン 開発者によると、Trend Micro Deep Security Agent は Windows 版のみ影響を受けるとのことです。 Trend Micro Deep Security Manager および Trend Micro Virtual Patch for Endpoint(TMVP) Manager の LDAP 通信において暗号化されていない通信が行われる脆弱性 - CVE-2019-15626
JVNVU#96213168: ウイルスバスターコーポレートエディションにおけるディレクトリトラバーサルの脆弱性
トレンドマイクロ株式会社が提供するウイルスバスターコーポレートエディションには、ディレクトリトラバーサル (CWE-22) の脆弱性が存在します。 ウイルスバスターコーポレートエディションの管理コンソールで認証されたユーザにより、任意の zip ファイルを特定のフォルダ配下にアップロードされた後、展開・実行される可能性があります。 第三者によって、ウイルスバスターコーポレートエディション管理コンソールで使用している Web サービスアカウントの権限で、任意のコードを実行される可能性があります。 パッチを適用する 開発者が提供する情報をもとに、パッチを適用してください。 開発者は、本脆弱性の対策として次のパッチをリリースしています。 ウイルスバスター コーポレートエディション XG Service Pack 1 Critical Patch (ビルド 5427) ウイルスバスター コーポレー
JVNVU#94367039: OpenSSL に複数の脆弱性
2019年9月11日（日本標準時）、OpenSSL Project より OpenSSL Security Advisory [10 September 2019] が公開されました。 アドバイザリによると、次に挙げる脆弱性が修正され、修正版の OpenSSL 1.0.2t、1.1.0l、1.1.1d がリリースされています。 深刻度 - 低 (Severity: Low) ECDSA remote timing attack (CVE-2019-1547) Fork Protection (CVE-2019-1549) Padding Oracle in PKCS7_dataDecode and CMS_decrypt_set1_pkey (CVE-2019-1563)
JVNVU#94741708: Microsoft Windows リモートデスクトップのネットワークレベル認証に Windows ロックスクリーンをバイパスされる問題
JVNVU#94741708 Microsoft Windows リモートデスクトップのネットワークレベル認証に Windows ロックスクリーンをバイパスされる問題 Microsoft Windows リモートデスクトップのネットワークレベル認証には、Windows ロックスクリーンをバイパスされる問題が存在します。 Microsoft のリモートデスクトップでは、接続時の認証を RDP レイヤではなくネットワークレイヤで行う、ネットワークレベル認証 (NLA, Network Level Authentication) という機能をサポートしています。 また、Windows ではユーザセッションがロックされると、認証情報の入力を要求するロックスクリーンが表示され、適切な認証情報を入力しないとセッションを継続できない仕組みになっています。RDP 経由のセッションにおいてもセッションロック
JVNVU#99119322: Intel 製品に複数の脆弱性
Intel PROSet Wireless Driver - INTEL-SA-00169 Intel USB 3.0 eXtensible Host Controller Driver for Microsoft Windows 7 - INTEL-SA-00200 Intel Unite - INTEL-SA-00214 Intel Data Center Manager SDK - INTEL-SA-00215 Intel OpenVINO 2018 for Linux - INTEL-SA-00222 影響を受ける製品やバージョンは環境により異なります。詳細については各アドバイザリを参照してください。
JVNVU#92431031: 複数の Apple 製品における脆弱性に対するアップデート
iOS 12.1.1 より前のバージョン macOS Mojave 10.14.2 より前のバージョン macOS High Sierra (Security Update 2018-003 未適用) macOS Sierra (Security Update 2018-006 未適用) tvOS 12.1.1 より前のバージョン Safari 12.0.2 より前のバージョン iTunes 12.9.2 for Windows より前のバージョン iCloud for Windows 7.9 より前のバージョン watchOS 5.1.2 より前のバージョン 想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。 権限昇格 アクセス制限回避 任意のコード実行 サービス運用妨害 (DoS) 情報漏えい 不正な構成プロファイルの使用 UI スプーフィング アドレ
JVNVU#99302544: LAN における DNS 動的登録・更新および、機器の自動検出機能に複数の問題
JVNVU#99302544 LAN における DNS 動的登録・更新および、機器の自動検出機能に複数の問題 ルータの DNS 動的登録・更新機能が有効になっており、クライアント PC で自動検出機能が有効になっているネットワークにおいて、当該ネットワークにアクセスできる攻撃者が "wpad" というホスト名を持つ機器をネットワークに追加することで、通信内容が取得されたり改ざんされたりする可能性があります。 家庭やオフィスで使用されている (Google WiFi や Ubiquiti UniFi 等を含む一般的な) ルータでは、多くの場合 DNS の動的登録・更新機能が使用されています。DNS の動的登録・更新機能では DHCP リクエストでクライアント側から送られてくるホスト名をそのまま使用して A レコードが自動的に登録・更新されます。 ネットワークにアクセスできる攻撃者は "wpa
JVNVU#90390242: Ghostscript に -dSAFER オプションによる保護が回避される複数の脆弱性
Ghostscript には -dSAFER オプションによる保護が回避される複数の脆弱性が存在し、この脆弱性を利用する遠隔の第三者によって、任意のコマンドを実行される可能性があります。 Artifex Software 社が提供している Ghostscript には PostScript による危険な動作を防ぐための -dSAFER オプションが存在します。PostScript には -dSAFER による保護機能が回避されてしまう複数の処理が存在し、攻撃者によって任意のコマンドを実行される可能性があります。この脆弱性は ImageMagick, GraphicsMagick, evince, Okular, Nautilus などの Ghostscript を活用しているアプリケーションにも影響します。 本脆弱性のエクスプロイトコードが公開されています。 遠隔の第三者によって細工された
JVN#93226941: H2O におけるバッファオーバーフローの脆弱性
H2O は、オープンソースのウェブサーバソフトウェアです。H2O には、アクセスログの出力処理に起因するバッファオーバーフロー (CWE-119) の脆弱性が存在します。
JVNVU#97971879: 投機的実行機能を持つ CPU に対するキャッシュサイドチャネル攻撃
投機的実行機能を持つ CPU はキャッシュサイドチャネル攻撃に対して脆弱性があります。"Variant 4" あるいは "SpectreNG" と呼ばれています。 投機的実行機能を持つ CPU に対してキャッシュタイミングサイドチャネル攻撃を行う下記の脆弱性が報告されています。 CVE-2018-3639 (Variant 4 "SpectreNG") : Speculative Store Bypass (SSB) CVE-2018-3640 (Variant 3a) : Rogue System Register Read (RSRE) 詳細については、Project Zero bug report、Intel security advisory INTEL-SA-00115 および ARM whitepaper を参照してください。 本脆弱性は、過去に公表された脆弱性 CVE-201
JVNVU#98401336: Intel ハードウェアアーキテクチャのデバッグ例外を適切に処理していない問題
いくつかのオペレーティングシステムやハイパーバイザーでは、Intel ハードウェアアーキテクチャにおけるデバッグ例外の発生を想定していない、あるいは適切な処理を行っていない問題が存在します。 例外的な状況に対する不適切なチェックまたは処理 (CWE-703) - CVE-2018-8897 Intel Software Developer Manual (SDM) Vol. 3A section 6.8.3 によれば、MOV SS 命令および POP SS 命令は、次の命令の命令境界まで、NMIs を含む割り込み、データブレークポイント、およびシングルステップトラップ例外を禁止します (MOV SS 命令や POP SS 命令自体によりアクセスされるメモリ上のデータブレークポイントが禁止されます)。 SDM Vol 3A section 2.3 によれば、デバッグ例外は EFLAGS レジ
JVN#01161596: Safari におけるスクリプトインジェクションの脆弱性
Apple が提供する Safari には、サーバ証明書エラーの表示処理にスクリプトインジェクション (CWE-81) の脆弱性が存在します。 サーバ証明書の検証でエラーとなった際に Safari が表示するエラーページには、サイトにアクセスした際に使われたドメイン名がそのまま出力されるため、細工されたドメイン名のサイトに誘導された結果として表示されるエラーページを通じて、ウェブブラウザ上でスクリプトが実行される可能性があります。
JVNVU#93502675: OpenSSL に複数の脆弱性
2018年3月27日、OpenSSL Project より OpenSSL Security Advisory [27 Mar 2018] が公開されました。 アドバイザリによると、次に挙げる脆弱性が修正され、修正版の OpenSSL 1.0.2o、1.1.0h がリリースされています。 なお、CVE-2017-3738 については以前の OpenSSL security advisory で情報公開され、OpenSSL 1.0.2 向けの修正バージョンがリリースされていましたが、今回 OpenSSL 1.1.0 向けの修正バージョンもリリースされました。 深刻度 - 中 (Severity: Moderate) Incorrect CRYPTO_memcmp on HP-UX PA-RISC (CVE-2018-0733) Constructed ASN.1 types with a r
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
JVN#37230341: アクセス解析CGI An-Analyzer における複数の脆弱性
JVNVU#98453159: 複数の Apple 製品における脆弱性に対するアップデート
JVN#20040004: 「フレッツ・ウイルスクリア 申込・設定ツール」および「フレッツ・ウイルスクリアv6 申込・設定ツール」のインストーラにおける実行ファイル呼び出しに関する脆弱性
JVN#77753476: iOSアプリ「はてなブックマーク」におけるアドレスバー偽装の脆弱性