■02/16(日)～02/22(土) のセキュリティ関連情報
目 次
【1】複数の Cisco 製品に脆弱性
【2】複数の Adobe 製品に脆弱性
【3】Google Chrome に複数の脆弱性
【4】PHP に複数の脆弱性
【5】VMware vRealize Operations for Horizon Adapter に複数の脆弱性
【6】三菱電機製 MELSEC C言語コントローラユニットおよび MELIPC シリーズ MI5000 に複数の脆弱性
【7】WordPress 用プラグイン Easy Property Listings にクロスサイトリクエストフォージェリの脆弱性
【8】日本電気株式会社製無線 LAN ルータに複数の脆弱性
【今週のひとくちメモ】Japan Security Analyst Conference 2020 開催レポートを公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr200801.html
https://www.jpcert.or.jp/wr/2020/wr200801.xml
============================================================================
【1】複数の Cisco 製品に脆弱性
情報源
US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/02/20/cisco-releases-security-updates
概要
複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、
情報を窃取したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可能
性があります。
影響度 Critical および High の脆弱性情報に記載されている製品は次のとお
りです。
- Cisco Smart Software Manager On-Prem
- Cisco Unified Contact Center Express Software
- Firepower Management Center 1000
- Firepower Management Center 2500
- Firepower Management Center 4500
- Secure Network Server 3500 Series Appliances
- Secure Network Server 3600 Series Appliances
- Threat Grid 5504 Appliance
- Cisco AsyncOS Software for Cisco Email Security Appliance
- Cisco AsyncOS Software for Cisco Content Security Management Appliance
- Cisco Data Center Network Manager
※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、
影響度 Medium の複数の脆弱性情報が公開されています。詳細は、Cisco が
提供する情報を参照してください。
この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。
関連文書 (英語)
Cisco Security Advisory
Cisco Smart Software Manager On-Prem Static Default Credential Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-on-prem-static-cred-sL8rDs8
Cisco Security Advisory
Cisco Unified Contact Center Express Privilege Escalation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-uccx-privesc-Zd7bvwyf#vp
Cisco Security Advisory
Multiple Cisco UCS-Based Products UEFI Secure Boot Bypass Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200219-ucs-boot-bypass
Cisco Security Advisory
Cisco Email Security Appliance and Cisco Content Security Management Appliance Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200219-esa-sma-dos
Cisco Security Advisory
Cisco Email Security Appliance Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200219-esa-dos
Cisco Security Advisory
Cisco Data Center Network Manager Privilege Escalation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200219-dcnm-priv-esc
Cisco Security Advisory
Cisco Data Center Network Manager Cross-Site Request Forgery Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200219-dcnm-csrf
【2】複数の Adobe 製品に脆弱性
情報源
US-CERT Current Activity
Adobe Releases Security Updates for After Effects and Media Encoder
https://www.us-cert.gov/ncas/current-activity/2020/02/20/adobe-releases-security-updates-after-effects-and-media-encoder
概要
複数の Adobe 製品には、脆弱性があります。結果として、第三者が、該当す
る製品を実行しているユーザの権限で任意のコードを実行する可能性がありま
す。
対象となる製品は次のとおりです。
- Adobe After Effects
- Adobe Media Encoder
この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新
することで解決します。詳細は、Adobe が提供する情報を参照してください。
関連文書 (英語)
Adobe
Security Updates Available for Adobe After Effects | APSB20-09
https://helpx.adobe.com/security/products/after_effects/apsb20-09.html
Adobe
Security Updates Available for Adobe Media Encoder | APSB20-10
https://helpx.adobe.com/security/products/media-encoder/apsb20-10.html
【3】Google Chrome に複数の脆弱性
情報源
US-CERT Current Activity
Google Releases Security Updates for Chrome
https://www.us-cert.gov/ncas/current-activity/2020/02/21/google-releases-security-updates-chrome
概要
Google Chrome には、複数の脆弱性があります。
対象となるバージョンは次のとおりです。
- Google Chrome 80.0.3987.116 より前のバージョン
この問題は、Google Chrome を Google が提供する修正済みのバージョンに更
新することで解決します。詳細は、Google が提供する情報を参照してくださ
い。
関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2020/02/stable-channel-update-for-desktop_18.html
【4】PHP に複数の脆弱性
情報源
The PHP Group
PHP 7.4.3 released
https://www.php.net/archive/2020.php#2020-02-20-3
The PHP Group
PHP 7.3.15 Released
https://www.php.net/archive/2020.php#2020-02-20-2
The PHP Group
PHP 7.2.28 Released
https://www.php.net/archive/2020.php#2020-02-20-1
概要
PHP には、複数の脆弱性があります。結果として、遠隔の第三者が任意のコー
ドを実行するなどの可能性があります。
対象となるバージョンは次のとおりです。
- PHP 7.4.3 より前のバージョン
- PHP 7.3.15 より前のバージョン
- PHP 7.2.28 より前のバージョン
この問題は、PHP を開発者や配布元が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者や配布元が提供する情報を参照してくだ
さい。
関連文書 (英語)
The PHP Group
PHP 7 ChangeLog Version 7.4.3
https://www.php.net/ChangeLog-7.php#7.4.3
The PHP Group
PHP 7 ChangeLog Version 7.3.15
https://www.php.net/ChangeLog-7.php#7.3.15
The PHP Group
PHP 7 ChangeLog Version 7.2.28
https://www.php.net/ChangeLog-7.php#7.2.28
【5】VMware vRealize Operations for Horizon Adapter に複数の脆弱性
情報源
US-CERT Current Activity
VMware Releases Security Updates for vRealize Operations for Horizon Adapter
https://www.us-cert.gov/ncas/current-activity/2020/02/19/vmware-releases-security-updates-vrealize-operations-horizon
概要
VMware vRealize Operations for Horizon Adapter には、複数の脆弱性があ
ります。結果として、遠隔の第三者が任意のコードを実行するなどの可能性が
あります。
対象となる製品およびバージョンは以下の通りです。
- VMware vRealize Operations for Horizon Adapter 6.7 系のバージョン
- VMware vRealize Operations for Horizon Adapter 6.6 系のバージョン
この問題は、VMware vRealize Operations for Horizon Adapter を VMware
が提供する修正済みのバージョンに更新することで解決します。詳細は、
VMware が提供する情報を参照してください。
関連文書 (英語)
VMware Security Advisories
VMSA-2020-0003
https://www.vmware.com/security/advisories/VMSA-2020-0003.html
【6】三菱電機製 MELSEC C言語コントローラユニットおよび MELIPC シリーズ MI5000 に複数の脆弱性
情報源
Japan Vulnerability Notes JVNVU#95424547
三菱電機製 MELSEC C言語コントローラユニットおよび MELIPC シリーズ MI5000 における複数の脆弱性
https://jvn.jp/vu/JVNVU95424547/
概要
三菱電機株式会社が提供する MELSEC C言語コントローラユニットおよび、
MELIPC シリーズ MI5000 には複数の脆弱性があります。結果として、遠隔の
第三者が、細工した TCP パケットを送信することで、サービス運用妨害
(DoS) などを行う可能性があります。
対象となる製品およびバージョンは次のとおりです。
- MELSEC-Q シリーズ C言語コントローラユニットのうち、下記の製品型番とバージョンのもの
- Q24DHCCPU-V、Q24DHCCPU-VG ユーザ Ethernet ポート (CH1、CH2) (シリアル番号の上 5桁が "21121" およびそれ以前)
- MELSEC iQ-R シリーズ C言語コントローラユニット、C言語インテリジェント機能ユニットのうち、下記の製品型番とバージョンのもの
- R12CCPU-V Ethernet ポート (CH1、CH2) (シリアル番号の上 2桁が "11" 以下)
- RD55UP06-V Ethernet ポート (シリアル番号の上 2桁が "08" 以下)
- MELIPC シリーズ MI5000のうち、下記の製品型番とバージョンのもの
- MI5122-VW Ethernet ポート(CH1) （シリアル番号の上 2桁が "03" 以下、もしくはファームウェアバージョンが "03" 以下）
この問題は、該当する製品を三菱電機株式会社が提供する修正済みのバージョン
に更新することで解決します。詳細は、三菱電機株式会社が提供する情報を参
照してください。
関連文書 (日本語)
三菱電機株式会社
MELSEC C言語コントローラユニット及びMELIPC シリーズMI5000のTCP/IP機能における複数の脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2019-003.pdf
【7】WordPress 用プラグイン Easy Property Listings にクロスサイトリクエストフォージェリの脆弱性
情報源
Japan Vulnerability Notes JVN#89259622
WordPress 用プラグイン Easy Property Listings におけるクロスサイトリクエストフォージェリの脆弱性
https://jvn.jp/jp/JVN89259622/
概要
WordPress 用プラグイン Easy Property Listings には、クロスサイトリクエ
ストフォージェリの脆弱性があります。結果として、遠隔の第三者が、細工し
たページにユーザをアクセスさせることにより、該当する製品の管理画面にロ
グインしているユーザの権限で任意の操作を行う可能性があります。
対象となる製品およびバージョンは次のとおりです。
- Easy Property Listings 3.4 より前のバージョン
この問題は、Easy Property Listings を開発者が提供する修正済みのバージョン
に更新することで解決します。詳細は、開発者が提供する情報を参照してくだ
さい。
関連文書 (英語)
Merv Barrett
Easy Property Listings
https://wordpress.org/plugins/easy-property-listings/#developers
【8】日本電気株式会社製無線 LAN ルータに複数の脆弱性
情報源
Japan Vulnerability Notes JVN#49410695
Aterm WG2600HS における複数の脆弱性
https://jvn.jp/jp/JVN49410695/
Japan Vulnerability Notes JVN#25766797
Aterm WF1200CR 、WG1200CR および WG2600HS における複数の OS コマンドインジェクションの脆弱性
https://jvn.jp/jp/JVN25766797/
概要
日本電気株式会社製無線 LAN ルータには、複数の脆弱性があります。結果と
して、該当する製品にアクセス可能な第三者が、任意の OS コマンドを実行す
るなどの可能性があります。
対象となる製品およびバージョンは次のとおりです。
- Aterm WG2600HS ファームウェア Ver1.3.2 およびそれ以前
- Aterm WG1200CR ファームウェア Ver1.2.1 およびそれ以前
- Aterm WF1200CR ファームウェア Ver1.2.1 およびそれ以前
この問題は、該当する製品を日本電気株式会社が提供する修正済みのバージョン
に更新することで解決します。詳細は、日本電気株式会社が提供する情報を参
照してください。
関連文書 (日本語)
日本電気株式会社
Aterm WG2600HSにおける複数の脆弱性
https://jpn.nec.com/security-info/secinfo/nv20-003.html
日本電気株式会社
Atermシリーズにおける複数のOSコマンドインジェクション
https://jpn.nec.com/security-info/secinfo/nv20-005.html
――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――
○Japan Security Analyst Conference 2020 開催レポートを公開
JPCERT/CC は、2020年1月17日に開催した Japan Security Analyst Conference
2020 (JSAC2020) の開催レポートを公開しました。本カンファレンスは、日々
セキュリティインシデントに対応する現場のセキュリティアナリストを対象と
し、高度化するサイバー攻撃に対抗するための技術情報を共有することを目的
に開催しております。
開催レポートでは、JSAC2020 の講演の様子を、前半と後半の 2回に分けて紹
介しています。講演資料も Web サイトで公開しています。(一部非公開)
参考文献 (日本語)
JPCERT/CC
Japan Security Analyst Conference 2020開催レポート 前編
https://blogs.jpcert.or.jp/ja/2020/02/japan-security-analyst-conference-2020-1.html
JPCERT/CC
Japan Security Analyst Conference 2020開催レポート 後編
https://blogs.jpcert.or.jp/ja/2020/02/japan-security-analyst-conference-2020-2.html
