FAMLog

AppleからmacOS High Sierra 10.13.3、macOS Sierra 10.12.6およびOS X El Capitan v10.11.6用のSecurity Update 2018-001が公開されています。

上記の各アップデートにはセキュリティに関わる修正が含まれていますが、OS X Yosemite用のアップデートは用意されていません。

なお、macOS Sierra 10.12.6およびOS X El Capitan v10.11.6用のSecurity Update 2018-001にはMeltdown脆弱性（CVE-2017-5754）の影響緩和策が含まれているとのことです。

［関連］ARM ベースおよび Intel CPU の投機的実行の脆弱性について（Apple）、About speculative execution vulnerabilities in ARM-based and Intel CPUs（Apple）

AppleからSpectre脆弱性（CVE-2017-5753およびCVE-2017-5715）の影響緩和策が含まれているmacOS SierraおよびOS X El Capitan用のSafari 11.0.2が配布されています。

Spectre脆弱性の影響緩和策が含まれているSafariに更新すると、macOS Sierra 10.12.6用のSafariはバージョン11.0.2 (12604.4.7.1.6)に、OS X El Capitan 10.11.6用のSafariはバージョン11.0.2 (11604.4.7.1.6)に更新されます。

なお、SpectreだけでなくMeltdownという名称の脆弱性（CVE-2017-5754）も今月上旬に公表されましたが、2018年1月11日現在、macOSではmacOS High Sierra 10.13.2にMeltdownの影響緩和策が含まれていますが、macOS Sierra以前向けのmacOSにはMeltdownの影響緩和策はリリースされていない状況です。

［関連］About speculative execution vulnerabilities in ARM-based and Intel CPUs（Apple）、APPLE-SA-2017-12-13-5 Safari 11.0.2（FAMLog）、APPLE-SA-2018-1-8-2 macOS High Sierra 10.13.2 Supplemental Update（FAMLog）

AppleからmacOS High Sierra 10.13.2 追加アップデートが公開されています。

macOS High Sierra 10.13.2 追加アップデートにはセキュリティアップデートが含まれ、SafariとWebKitにおけるSpectre脆弱性（CVE-2017-5753およびCVE-2017-5715）の影響緩和策が含まれています。

なお、SpectreだけでなくMeltdownという名称の脆弱性（CVE-2017-5754）も最近公表されましたが、AppleはiOS 11.2、macOS 10.13.2およびtvOS 11.2にMeltdownの影響緩和策を含めていたと発表しており、Apple WatchについてはMeltdownとSpectreのどちらの影響も受けないとのことです。

［関連］ARM ベースおよび Intel CPU の投機的実行の脆弱性について（Apple）、APPLE-SA-2017-12-6-1 macOS High Sierra 10.13.2（FAMLog）、APPLE-SA-2018-1-8-1 iOS 11.2.2（FAMLog）

iOSデバイス向けのソフトウェアアップデートとなるiOS 11.2.2の提供が開始されています。

iOS 11.2.2にはセキュリティアップデートが含まれ、SafariとWebKitにおけるSpectre脆弱性（CVE-2017-5753およびCVE-2017-5715）の影響緩和策が含まれています。

なお、SpectreだけでなくMeltdownという名称の脆弱性（CVE-2017-5754）も最近公表されましたが、AppleはiOS 11.2、macOS 10.13.2およびtvOS 11.2にMeltdownの影響緩和策を含めていたと発表しており、Apple WatchについてはMeltdownとSpectreのどちらの影響も受けないとのことです。

［関連］ARM ベースおよび Intel CPU の投機的実行の脆弱性について（Apple）、APPLE-SA-2017-12-6-1 macOS High Sierra 10.13.2（FAMLog）、APPLE-SA-2017-12-6-2 iOS 11.2（FAMLog）

Ruby 2.4.3、Ruby 2.3.6およびRuby 2.2.9が2017年12月中旬に公開されています。

Ruby 2.4.3、Ruby 2.3.6およびRuby 2.2.9では、Net::FTPにおけるコマンドインジェクションの脆弱性（CVE-2017-17405）が修正されています。また、Ruby 2.3.6およびRuby 2.2.9ではRubyGemsにおける安全でないオブジェクトの逆シリアル化の脆弱性も修正されています。

なお、Ruby 2.2系列は現在セキュリティメンテナンスフェーズにあり、このフェーズ中は重大なセキュリティ上の問題への対応のみが行われます。現在の予定では、2018年3月末頃を目処に、Ruby 2.2系列のセキュリティメンテナンスならびに公式サポートが終了する見込みとなっています。

Node.js v8.9.3、Node.js v6.12.2およびNode.js v4.8.7が2017年12月上旬に公開されています。

Node.js v8.9.3、Node.js v6.12.2およびNode.js v4.8.7では、OpenSSLがバージョン1.0.2nに更新されてCVE-2017-3738に対する修正が行われています。また、Node.js v8系列以降に存在する複数のセキュリティ脆弱性も修正されています。

FileMaker Server 16とFileMaker Cloud 1.16のFileMaker Data API エンジンではNode.js v6系列が使われていて、FileMaker Server 16.0.3ではNode.js v6.9.2、FileMaker Cloud 1.16.0ではNode.js v6.9.4が使用されています。

［関連］OpenSSL 1.0.2nが公開（FAMLog）

通信暗号化ライブラリとして広く利用されているOpenSSLの新バージョンであるOpenSSL 1.0.2nが公開されています。

OpenSSL 1.0.2nでは2点のセキュリティ脆弱性（CVE-2017-3737およびCVE-2017-3738）が修正されています。CVE-2017-3737はOpenSSL 1.1.0系統には影響せず、OpenSSL 1.1.0系統におけるCVE-2017-3738に対する修正はOpenSSL 1.1.0hで行われる予定ですが、CVE-2017-3738は影響度が低いことから今回OpenSSL 1.1.0系統の更新は行われていません。

FileMaker Pro 16.0.3にはOpenSSL 1.0.2lが同梱されています。なお、OpenSSL 1.0.2系列が使用されているのはFileMaker Pro 14.0.4以降です。

「Apache HTTP Server 2.4.29」が公開されています。

Apache HTTP Server 2.4.29は、Apache HTTP Server 2.4系統の最新版です。バージョン2.4.29では、mod_proxyの不具合が修正されている他、mod_http2がv0.10.12に更新されています。

Apache HTTP Server 2.2系統の保守はバージョン2.2.34をもって終了となっていて、今後はApache HTTP Server 2.4系統を利用することが推奨される状況となっています。バージョン2.2系統のセキュリティ修正は2017年12月までの予定となっており、CVE-2017-9798を修正するセキュリティパッチについてはhttps://www.apache.org/dist/httpd/patches/apply_to_2.2.34/で公開されています。

「Apache HTTP Server 2.4.28」が公開されています。

Apache HTTP Server 2.4.28は、Apache HTTP Server 2.4系統の最新版です。バージョン2.4.28では、OptionsBleed脆弱性（CVE-2017-9798）が修正されています。

Apache HTTP Server 2.2系統の保守はバージョン2.2.34をもって終了となっていて、今後はApache HTTP Server 2.4系統を利用することが推奨される状況となっています。バージョン2.2系統のセキュリティ修正は2017年12月までの予定となっており、CVE-2017-9798を修正するセキュリティパッチについてはhttps://www.apache.org/dist/httpd/patches/apply_to_2.2.34/で公開されています。

Apache Tomcat 8.0.47とApache Tomcat 7.0.82が公開されています。

Apache Tomcat 8.0.47およびApache Tomcat 7.0.82では、readonlyパラメーターをfalseに設定し、HTTP PUTリクエストを受付可能としている場合に、細工したリクエストを受けることで、遠隔から任意のコードが実行される可能性があるセキュリティ脆弱性（CVE-2017-12617）が修正されています。また、Tomcat Native Libraryがバージョン1.2.14に更新されています。

FileMaker Server 13、FileMaker Server 14、FileMaker Server 15およびFileMaker Server 16のWeb公開機能とAdmin Console用管理サーバーではTomcat 7.0系列が使用されていて、バージョン16.0.2ではApache Tomcat 7.0.77が使用されています。

［関連］Apache Tomcat 8.5.23が公開（FAMLog）、Apache Tomcat における脆弱性に関する注意喚起（JPCERT コーディネーションセンター）

（2017/10/14追記：「バージョン16.0.2ではApache Tomcat 7.0.78が使用されています」を「バージョン16.0.2ではApache Tomcat 7.0.77が使用されています」に変更・修正しました。）