チェックしておきたい脆弱性情報＜2015.10.13＞

　9月27日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。

Struts 2.3.24.1リリース（2015/09/24）

　WebアプリケーションフレームワークStrutsのバージョン2.3.24.1がリリースされました。バージョン2.3.24.1では、内部オブジェクトを不正に操作される脆弱性（CVE-2015-5209）を解決しています。この問題の影響を受けるStruts 2.0.0～Struts Struts 2.3.24は、除外指定のパラメーターフィルターを適用するか、バージョン2.3.24.1にアップデートする必要があります。

• Apache Struts：Version Notes 2.3.24.1
• Apache Struts：Manipulation of Struts' internals, altering of user session

米シスコIOSに複数の脆弱性（2015/09/23）

　Cisco IOS関連で、3件のセキュリティアドバイザリーが公開され、4件のセキュリティ問題が解決されています。脆弱性による影響はサービス拒否攻撃、ユーザー認証機構の迂回です。

■cisco-sa-20150923-fhs
　Cisco IOSおよびCisco IOS XEのIPv6ファーストホップセキュリティ機能のIPv6スヌーピングパケット処理には、サービス拒否攻撃を許してしまう脆弱性（CVE-2015-6278、CVE-2015-6279）が存在します。不正なIPv6 Neighbor Discoveryパケットを受信した場合に、機器のリロードが発生する可能性があります。ファーストホップセキュリティ機能は、インタフェースまたはVLANに適用できる一連のIPv6セキュリティ機能を提供しています。

■cisco-sa-20150923-sshpk
　Cisco IOSおよびCisco IOS XEのSSHバージョン2の実装には、RSAベースのユーザー認証機構の迂回を許してしまう脆弱性（CVE-2015-6280）が存在します。

■cisco-sa-20150923-iosxe
　Cisco IOS XEのネットワークアドレス変換（NAT）ならびに、マルチプロトコルラベルスイッチング（MPLS）のIPv4パケット処理には、サービス拒否攻撃を許してしまう脆弱性（CVE-2015-6282）が存在します。NATとMPLSサービスを利用する不正なIPv4パケットを受信した場合に、機器のリロードが発生する可能性があります。

• シスコ：Cisco Event Response: September 2015 Semiannual Cisco IOS and IOS XE Software Security Advisory Bundled Publication

米アドビ システムズ Adobe Flash Player 19.0.0.185リリース：APSB15-23（2015/09/24）

　Adobe Flash Player 19.0.0.185では、型の取り違え（type confusion：CWE-843）、メモリーの解放後使用（use-after-free：CWE-416）、メモリー破損、バッファオーバーフローに起因して任意のコード実行を許してしまう問題18件（CVE-2015-5567、CVE-2015-5570、CVE-2015-5572～CVE-2015-5575、CVE-2015-5577～CVE-2015-5582、CVE-2015-5584、CVE-2015-5587、CVE-2015-5588、CVE-2015-6676～CVE-2015-6679、CVE-2015-6682）、情報漏洩を許してしまう脆弱性2件など、計23件を解決しています（図1）。脆弱性を悪用された場合、攻撃者に対象システムを制御されてしまう可能性があります。また、これらの問題を解決したデスクトップランタイムWindows/Mac版Adobe AIR 19.0.0.190がリリースされました。

図1●Adobe Flash Playerの脆弱性対策件数

• 米アドビ システムズ：APSB15-23: Adobe Flash Playerに関するセキュリティアップデート公開

Firefox 41.0、ESR 38.3リリース（2015/09/22）

　Firefox 41.0では、任意のコード実行を許してしまう脆弱性、サービス拒否攻撃、情報漏洩、セキュリティ機構の迂回を許してしまう脆弱性など、19件のセキュリティアドバイザリーに含まれる計27件の脆弱性を解決しています。

• Mozilla：Firefoxセキュリティアドバイザリー
• Mozilla：Firefox ESRセキュリティアドバイザリー

Red Hat Enterprise Linux Server（v.6）（2015/09/22）

　Red Hat Enterprise Linux Serverに搭載されているFirefox、仮想化環境を提供するqemu-kvmのセキュリティアップデート（RHSA-2015:1834、RHSA-2015:1833）がリリースされました。

　Firefoxは、Firefox ESR 38.3で解決した脆弱性に対応しています。qemu-kvmでは、ネットワークドライバーRTL8139のエミュレーションに存在する情報漏洩を許してしまう脆弱性（CVE-2015-5165）を解決しています。この問題を悪用された場合、QEMUメニューのヒープメモリーを参照されてしまう可能性があります。

• Red Hat：Red Hat Enterprise Linux Server（v. 6）Security Advisories