脆弱性

【サイバーセキュリティ白書】2019年6月の脆弱性情報まとめ

2019.07.03

脆弱性

Site tampering-Detection-mechanism

サイバー攻撃の被害が後を絶たない昨今、最新の脆弱性を収集して把握することはセキュリティ対策を行う上で必要不可欠となっています。本シリーズ「サイバーセキュリティ白書」では、クラウド型WAF「攻撃遮断くん」やAWS WAF自動運用サービス「WafCharm」を開発運営するサイバーセキュリティクラウドのセキュリティエンジニアが調査した脆弱性情報を解説していきます。※本記事は2019年6月度 脆弱性情報のまとめとなります。

目次

2019年6月発表の脆弱性情報

2019年6月に公開された新たな脆弱性について、いくつかご紹介します。

Adobe ColdFusionに複数の脆弱性

危険なタイプのファイルアップロードに関する脆弱性
CVE-ID:CVE-2019-7838
CVSS v3 Base Score:9.8
CVSS v3 Vector:AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源:https://nvd.nist.gov/vuln/detail/CVE-2019-7838

コマンドインジェクションの脆弱性
CVE-ID: CVE-2019-7839
CVSS v3 Base Score:9.8
CVSS v3 Vector:AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源:https://nvd.nist.gov/vuln/detail/CVE-2019-7839

信頼性のないデータのデシリアライゼーションに関する脆弱性
CVE-ID: CVE-2019-7840
CVSS v3 Base Score:9.8
CVSS v3 Vector:AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源:https://nvd.nist.gov/vuln/detail/CVE-2019-7840

Adobe ColdFusionはアプリケーションフレームワーク、アプリケーションサーバです。
上記3つの脆弱性は、ColdFusion 2018のUpdate 3以前、
ColdFusion 2016のUpdate 10以前、ColdFusion 11のUpdate 18以前に
影響があります。
推奨の対応策はColdFusion 2018のUpdate 4、ColdFusion 2016のUpdate 11、
ColdFusion 11のUpdate 19へのアップデートとなります。

Apache TomcatにDoSの脆弱性

CVE-ID:CVE-2019-10072
CVSS v3 Base Score:7.5
CVSS v3 Vector:AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源:https://nvd.nist.gov/vuln/detail/CVE-2019-10072
バージョン9.0.0.M1から9.0.19、8.5.0から8.5.40に影響があります。
2019年3月のCVE-2019-0199の修正が不足していたことに起因するもので
HTTP/2による接続にてスレッドの枯渇によりDoS状態となる可能性があるものです。
バージョン9.0.20、8.5.41へのアップデートが推奨の対応策となります。

Djangoにクロスサイトスクリプティングの脆弱性

CVE-ID:CVE-2019-12308
CVSS v3 Base Score:6.1
CVSS v3 Vector:AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
情報源:https://nvd.nist.gov/vuln/detail/CVE-2019-12308
DjangoはPythonで実装されたWebアプリケーションフレームワークです。
バージョン1.11.21、2.1.9、2.2.2より前のバージョンに影響があります。
バージョン1.11.21、2.1.9、2.2.2へのアップデートが推奨の対応策となります。

Joomla!に複数の脆弱性

アクセス制御不備の脆弱性
CVE-ID:CVE-2019-12764
CVSS v3 Base Score:6.5
CVSS v3 Vector:AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
情報源:https://nvd.nist.gov/vuln/detail/CVE-2019-12764

CSVインジェクションの脆弱性
CVE-ID:CVE-2019-12765
CVSS v3 Base Score:9.8
CVSS v3 Vector:AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源:https://nvd.nist.gov/vuln/detail/CVE-2019-12765

クロスサイトスクリプティングの脆弱性
CVE-ID: CVE-2019-12766
CVSS v3 Base Score:6.1
CVSS v3 Vector:AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
情報源:https://nvd.nist.gov/vuln/detail/CVE-2019-12766

Joomla! は人気のあるCMSの一つです。
上記の脆弱性はともに、バージョン3.9.7より前のバージョンに影響があります。
バージョン3.9.7へのアップデートが推奨の対応策となります。

Joruri CMS 2017にクロスサイトスクリプティングの脆弱性

CVE-ID:CVE-2019-5967
CVSS v3 Base Score:RESERVED
CVSS v3 Vector:RESERVED
情報源:https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-5967
Joruri CMSはRubyおよびMySQLで開発されたオープンソースCMSです
Joruri CMS 2017 Release2以前に影響があります。
最新版へのアップデートが推奨の対応策となります。

Linux kernelにDoSの脆弱性

CVE-ID:CVE-2019-11477
CVSS v3 Base Score:7.5
CVSS v3 Vector:AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源:https://nvd.nist.gov/vuln/detail/CVE-2019-11477

CVE-ID:CVE-2019-11478
CVSS v3 Base Score:7.5
CVSS v3 Vector:AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源:https://nvd.nist.gov/vuln/detail/CVE-2019-11478

CVE-ID:CVE-2019-11479
CVSS v3 Base Score:7.5
CVSS v3 Vector:AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源:https://nvd.nist.gov/vuln/detail/CVE-2019-11479

TCPのMSS (最大セグメントサイズ、Maximum Segment Size) と
SACK (選択的確認応答、Selective Acknowledgement) パケットが関連する不具合に
起因した脆弱性です。リモートからDoS状態にできる可能性があります。
TCP SACK PANICとも呼称されています。

Microsoft IISにDoSの脆弱性

CVE-ID:CVE-2019-0941
CVSS v3 Base Score:7.5
CVSS v3 Vector:AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
情報源:https://nvd.nist.gov/vuln/detail/CVE-2019-0941
オプションのリクエストフィルタリング機能が要求を適切に処理しない場合、
DoS状態を引き起こす可能性があります。
2019年6月のWindows Updateを適用することで、修正が可能です。

Microsoft Windows リモートデスクトップの認証に脆弱性

CVE-ID:CVE-2019-9510
CVSS v3 Base Score:RESERVED
CVSS v3 Vector:RESERVED
情報源:https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-9510
2018年4月にリリースされた Windows 10 1803 および Windows Server 2019が
対象となる脆弱性で、セッションロックの際に意図しない動作が発生することに
起因します。
ネットワークの異常により RDP 接続が一時的に切断され、
自動的に再接続が行われると、リモートシステムがどの様な状態であったかに
関わらず、RDP セッションはロックが解除された状態で復元されるというものです。

Oracle WebLogic Serverに安全でないデシリアライゼーションの脆弱性

CVE-ID:CVE-2019-2729
CVSS v3 Base Score:9.8
CVSS v3 Vector:AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源:https://nvd.nist.gov/vuln/detail/CVE-2019-2729
Oracle WebLogic ServerはWebアプリケーションサーバの一つです。
バージョン10.3.6.0.0、12.1.3.0.0、12.2.1.3.0に影響があります。
Oracle社提供のセキュリティパッチの適用が推奨されます。
Oracle社のSecurity Alert Advisoryについては以下のリンクにあります。
https://www.oracle.com/technetwork/security-advisory/alert-cve-2019-2729-5570780.html
JPCERTコーディネーションセンターも注意喚起を実施しています。
https://www.jpcert.or.jp/at/2019/at190028.html

XAMPPにSQLインジェクションの脆弱性

CVE-ID:CVE-2019-8923
CVSS v3 Base Score:9.8
CVSS v3 Vector:AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源:https://nvd.nist.gov/vuln/detail/CVE-2019-8923
XAMPPはWEBアプリケーションの実行に必要なフリーソフトウェアを
パッケージとしてまとめたApache ディストリビューションです。
主として開発用あるいは学習用として利用されます。
バージョン5.6.8以前に影響があります。最新のバージョンは7.3.6となっています。

まとめ

今回ご紹介した脆弱性ですが、実際に公開された脆弱性の数からするとほんの一握りです。
それぞれの脆弱性に対して、製品を提供しているベンダーから推奨の対応策が提供されていますので、早急に対応を実施することが推奨されます。
ただし、様々な理由により、推奨の対策が実施できない場合もあると思います。そういった場合には、マネージドセキュリティサービスを利用してカバーすることも非常に有効となります。