ミニ・いんふぉめーしょん

目 次 

【1】Google Chrome に複数の脆弱性
【2】ISC BIND に複数の脆弱性
【3】複数の Cisco 製品に脆弱性
【4】Drupal に複数の脆弱性
【5】複数の Adobe 製品に脆弱性
【6】Treck 製 IP スタックに複数の脆弱性
【7】EC-CUBE にディレクトリトラバーサルの脆弱性
【8】VLC media player に複数の脆弱性
【今週のひとくちメモ】Adobe Flash Player が 2020年末でサポート終了

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr202401.html
https://www.jpcert.or.jp/wr/2020/wr202401.xml
============================================================================

【1】Google Chrome に複数の脆弱性

情報源
US-CERT Current Activity
Google Releases Security Updates for Chrome
https://www.us-cert.gov/ncas/current-activity/2020/06/16/google-releases-security-updates-chrome

概要
Google Chrome には、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 83.0.4103.106 より前のバージョン

この問題は、Google が提供する修正済みのバージョンに更新することで解決
します。詳細は、Google が提供する情報を参照してください。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2020/06/stable-channel-update-for-desktop_15.html

【2】ISC BIND に複数の脆弱性

情報源
US-CERT Current Activity
ISC Releases Security Advisories for BIND
https://www.us-cert.gov/ncas/current-activity/2020/06/18/isc-releases-security-advisories-bind

概要
ISC BIND には、複数の脆弱性があります。結果として、遠隔の第三者がサー
ビス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは次のとおりです。

- BIND 9.16.0 から 9.16.3 までのバージョン
- BIND 9.14.9 から 9.14.12 までのバージョン
- BIND 9.11.14 から 9.11.19 までのバージョン
- BIND Supported Preview Edition 9.11.14-S1 から 9.11.19-S1 までのバージョン

この問題は、ISC BIND を ISC が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、ISC が提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
ISC BIND 9 における脆弱性 (CVE-2020-8618、CVE-2020-8619) について
https://www.jpcert.or.jp/newsflash/2020061801.html

株式会社日本レジストリサービス (JPRS)
BIND 9.xの脆弱性（DNSサービスの停止）について（CVE-2020-8618）- バージョンアップを推奨 -
https://jprs.jp/tech/security/2020-06-18-bind9-vuln-zone-transfer.html

株式会社日本レジストリサービス (JPRS)
BIND 9.xの脆弱性（DNSサービスの停止）について（CVE-2020-8619）- バージョンアップを推奨 -
https://jprs.jp/tech/security/2020-06-18-bind9-vuln-asterisk.html

Japan Vulnerability Notes JVNVU#91012351
ISC BIND に複数の脆弱性
https://jvn.jp/vu/JVNVU91012351/

関連文書 (英語)
ISC Knowledge Base
CVE-2020-8618: A buffer boundary check assertion in rdataset.c can fail incorrectly during zone transfer
https://kb.isc.org/docs/cve-2020-8618

ISC Knowledge Base
CVE-2020-8619: An asterisk character in an empty non-terminal can cause an assertion failure in rbtdb.c
https://kb.isc.org/docs/cve-2020-8619

【3】複数の Cisco 製品に脆弱性

情報源
US-CERT Current Activity
Cisco Releases Multiple Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/06/18/cisco-releases-multiple-security-updates

概要
複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行するなどの可能性があります。

影響度 High の脆弱性情報の対象となる製品は次のとおりです。

- Cisco Small Business RV Series Routers
- Cisco TelePresence Collaboration Endpoint Software
- Cisco RoomOS Software
- Cisco Webex Meetings
- Cisco Webex Meetings Server
- Cisco Webex Meetings Desktop App (Mac)

※影響度 Critical の脆弱性は、対象製品および対策方法が調査中です。詳細
は、Cisco が提供する情報を参照してください。
※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、
影響度 Medium の複数の脆弱性情報が公開されています。詳細は、Cisco が
提供する情報を参照してください。

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

関連文書 (英語)
Cisco Security Advisory
Multiple Vulnerabilities in Treck IP Stack Affecting Cisco Products: June 2020
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-treck-ip-stack-JyBQ5GyC

Cisco Security Advisory
Cisco Small Business RV Series Routers Stack Overflow Arbitrary Code Execution Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv-routers-stack-vUxHmnNz

Cisco Security Advisory
Cisco Small Business RV110W, RV130, RV130W, and RV215W Series Routers Management Interface Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv-routers-injection-tWC7krKQ

Cisco Security Advisory
Cisco Small Business RV Series Routers Command Injection Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv-routers-Rj5JRfF8

Cisco Security Advisory
Cisco TelePresence Collaboration Endpoint and RoomOS Software Command Injection Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-tp-cmd-inj-7ZpWhvZb

Cisco Security Advisory
Cisco Webex Meetings and Cisco Webex Meetings Server Token Handling Unauthorized Access Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-webex-token-zPvEjKN

Cisco Security Advisory
Cisco Webex Meetings Desktop App URL Filtering Arbitrary Program Execution Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-webex-client-url-fcmpdfVY

Cisco Security Advisory
Cisco Webex Meetings Desktop App for Mac Update Feature Code Execution Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-webex-client-mac-X7vp65BL

【4】Drupal に複数の脆弱性

情報源
US-CERT Current Activity
Drupal Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/06/18/drupal-releases-security-updates

概要
Drupal には、複数の脆弱性があります。結果として、遠隔の第三者が、任意
の PHP コードを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- Drupal 9.0.1 より前の 9.0 系のバージョン
- Drupal 8.9.1 より前の 8.9 系のバージョン
- Drupal 8.8.8 より前の 8.8 系のバージョン
- Drupal 7.72 より前の 7 系のバージョン

なお、Drupal によると Drupal 8.8 系より前の 8 系のバージョンは、サポー
トが終了しているため、Drupal 8.8.8 に更新することを推奨しています。

この問題は、Drupal を Drupal が提供する修正済みのバージョンに更新する
ことで解決します。詳細は、Drupal が提供する情報を参照してください。

関連文書 (英語)
Drupal
Drupal core - Critical - Cross Site Request Forgery - SA-CORE-2020-004
https://www.drupal.org/sa-core-2020-004

Drupal
Drupal core - Critical - Arbitrary PHP code execution - SA-CORE-2020-005
https://www.drupal.org/sa-core-2020-005

【5】複数の Adobe 製品に脆弱性

情報源
US-CERT Current Activity
Adobe Releases Security Updates for Multiple Products
https://www.us-cert.gov/ncas/current-activity/2020/06/17/adobe-releases-security-updates-multiple-products

概要
複数の Adobe 製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Adobe Campaign Classic 20.1 およびそれ以前 (Windows および Linux)
- Adobe After Effects 17.1 およびそれ以前 (Windows)
- Adobe Illustrator 2020 24.1.2 およびそれ以前 (Windows)
- Adobe Premiere Pro 14.2 およびそれ以前 (Windows)
- Adobe Premiere Rush 1.5.12 およびそれ以前 (Windows)
- Adobe Audition 13.0.6 およびそれ以前 (Windows)

この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新
することで解決します。詳細は、Adobe が提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
複数の Adobe 製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2020061701.html

Adobe
Adobe Campaign Classic に関するセキュリティアップデート公開 | APSB19-34
https://helpx.adobe.com/jp/security/products/campaign/apsb20-34.html

Adobe
Adobe After Effects に関するセキュリティアップデート公開 | APSB20-35
https://helpx.adobe.com/jp/security/products/after_effects/apsb20-35.html

Adobe
Adobe Illustrator に関するセキュリティアップデート公開 | APSB20-37
https://helpx.adobe.com/jp/security/products/illustrator/apsb20-37.html

Adobe
Adobe Premiere Pro に関するセキュリティアップデート公開 | APSB20-38
https://helpx.adobe.com/jp/security/products/premiere_pro/apsb20-38.html

Adobe
Adobe Premiere Rush に関するセキュリティアップデート公開 | APSB20-39
https://helpx.adobe.com/jp/security/products/premiere_rush/apsb20-39.html

Adobe
Adobe Audition に関するセキュリティアップデート公開 | APSB20-40
https://helpx.adobe.com/jp/security/products/audition/apsb20-40.html

【6】Treck 製 IP スタックに複数の脆弱性

情報源
US-CERT Current Activity
Ripple20 Vulnerabilities Affecting Treck IP Stacks
https://www.us-cert.gov/ncas/current-activity/2020/06/16/ripple20-vulnerabilities-affecting-treck-ip-stacks

Japan Vulnerability Notes JVNVU#94736763
Treck 製 IP スタックに複数の脆弱性
https://jvn.jp/vu/JVNVU94736763/

概要
Treck 社が提供する組み込み製品向け IP スタックには、複数の脆弱性があり
ます。結果として、遠隔の第三者が、任意のコードを実行したり、サービス運
用妨害 (DoS) 攻撃を行ったりするなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Treck 社が提供する IP スタック 6.0.1.67 より前のバージョンを使用している製品
- 図研エルミック株式会社が提供する IP スタック KASAGO 6.0.1.33 より前のバージョンを使用している製品

この問題は、使用する IP スタックを、開発者が提供する情報をもとに修正済
みのバージョンに更新することで解決します。詳細は、開発者が提供する情報
を参照してください。

関連文書 (日本語)
図研エルミック株式会社
KASAGO製品における脆弱性に関するお知らせ
https://www.elwsc.co.jp/news/4136/

関連文書 (英語)
JSOF
Overview- Ripple20
https://www.jsof-tech.com/ripple20/

【7】EC-CUBE にディレクトリトラバーサルの脆弱性

情報源
Japan Vulnerability Notes JVN#77458946
EC-CUBE におけるディレクトリトラバーサルの脆弱性
https://jvn.jp/jp/JVN77458946/

概要
EC-CUBE には、ディレクトリトラバーサルの脆弱性があります。結果として、
ユーザ権限を持つ第三者が、サーバ内の任意のファイルやディレクトリを削除
する可能性があります。

対象となるバージョンは次のとおりです。

- EC-CUBE 4.0.0 から 4.0.3 までのバージョン
- EC-CUBE 3.0.0 から 3.0.18 までのバージョン

この問題は、該当する製品を株式会社イーシーキューブが提供する修正済みの
バージョンに更新するか、パッチを適用することで解決します。詳細は、株式
会社イーシーキューブが提供する情報を参照してください。

関連文書 (日本語)
株式会社イーシーキューブ
ディレクトリトラバーサルの脆弱性(4.0系)
https://www.ec-cube.net/info/weakness/weakness.php?id=74

株式会社イーシーキューブ
ディレクトリトラバーサルの脆弱性(3.0系)
https://www.ec-cube.net/info/weakness/weakness.php?id=73

【8】VLC media player に複数の脆弱性

情報源
Video LAN
Security Bulletin VLC 3.0.11
http://www.videolan.org/security/sb-vlc3011.html

概要
Video LAN が提供する VLC media player には、バッファオーバーフローの脆
弱性があります。結果として、第三者が特別に細工したコンテンツをユーザに
開かせることで、任意のコードを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- VLC media player 3.0.10 およびそれ以前のバージョン

この問題は、VLC media player を Video LAN が提供する修正済みのバージョン
に更新することで解決します。詳細は、Video LAN が提供する情報を参照して
ください。

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○Adobe Flash Player が 2020年末でサポート終了

Adobe が提供する Adobe Flash Player は、2020年12月31日にサポートが終了
します。サポートが終了すると、アップデートやセキュリティパッチが提供さ
れません。Adobe Flash Player をインストールしている場合は、サポート終
了日より前にアンインストールすることを推奨します。

なお、サポート終了日以降は、Adobe Flash Player のコンテンツ実行がブロック
されるとのことです。詳細は Adobe が提供する情報を参照してください。

参考文献 (日本語)
Adobe
Adobe Flash Playerサポート終了情報ページ
https://www.adobe.com/jp/products/flashplayer/end-of-life.html

目 次 

【1】複数の Microsoft 製品に脆弱性
【2】複数の Adobe 製品に脆弱性
【3】複数の VMware 製品に脆弱性
【4】WordPress に複数の脆弱性
【5】複数の Intel 製品に脆弱性
【6】UPnP プロトコルを実装した機器に対する攻撃手法について(CallStranger)
【7】Zenphoto における複数の脆弱性
【8】JPCERT/CC Eyes「マルウエアLODEINFOの進化」
【今週のひとくちメモ】JPNIC が「DNS Abuse」に関する解説記事を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr202301.html
https://www.jpcert.or.jp/wr/2020/wr202301.xml
============================================================================

【1】複数の Microsoft 製品に脆弱性

情報源
US-CERT Current Activity
Microsoft Releases June 2020 Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/06/09/microsoft-releases-june-2020-security-updates

概要
複数の Microsoft 製品には、脆弱性があります。結果として、遠隔の第三者
が任意のコードを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Microsoft Windows
- Microsoft Edge (EdgeHTML ベース)
- IE モードの Microsoft Edge (Chromium ベース)
- Microsoft ChakraCore
- Internet Explorer
- Microsoft Office、Microsoft Office Services および Web Apps
- Windows Defender
- Microsoft Dynamics
- Visual Studio
- Azure DevOps
- HoloLens
- Adobe Flash Player
- Android 向け Microsoft アプリ
- Windows App Store
- System Center
- Android アプリ

この問題は、Microsoft Update 等を用いて、更新プログラムを適用すること
で解決します。詳細は、Microsoft が提供する情報を参照してください。

関連文書 (日本語)
マイクロソフト株式会社
2020 年 6 月のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-JP/security-guidance/releasenotedetail/2020-Jun

JPCERT/CC 注意喚起
2020年6月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2020/at200026.html

【2】複数の Adobe 製品に脆弱性

情報源
US-CERT Current Activity
Adobe Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/06/09/adobe-releases-security-updates

概要
複数の Adobe 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、情報を窃取したりする可能性があります。

対象となる製品は次のとおりです。

- Adobe Flash Player Desktop Runtime
- Adobe Flash Player for Google Chrome
- Adobe Flash Player for Microsoft Edge and Internet Explorer 11
- Adobe Experience Manager
- Adobe FrameMaker

この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新
することで解決します。詳細は、Adobe が提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC 注意喚起
Adobe Flash Player の脆弱性 (APSB20-30) に関する注意喚起
https://www.jpcert.or.jp/at/2020/at200025.html

JPCERT/CC CyberNewsFlash
複数の Adobe 製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2020061002.html

Adobe
Adobe Flash Player に関するセキュリティ速報 | APSB20-30
https://helpx.adobe.com/jp/security/products/flash-player/apsb20-30.html

Adobe
Adobe Experience Manager に関するセキュリティアップデート公開 | APSB20-31
https://helpx.adobe.com/jp/security/products/experience-manager/apsb20-31.html

Adobe
Adobe FrameMaker に関するセキュリティアップデート公開 | APSB20-32
https://helpx.adobe.com/jp/security/products/framemaker/apsb20-32.html

【3】複数の VMware 製品に脆弱性

情報源
US-CERT Current Activity
VMware Releases Security Update for Horizon Client for Windows
https://www.us-cert.gov/ncas/current-activity/2020/06/10/vmware-releases-security-update-horizon-client-windows

概要
複数の VMware 製品には、脆弱性があります。結果として、権限を持たない第
三者がメモリから機微な情報を読み取ったり、該当製品のユーザ権限を持つ第
三者が任意のユーザになりすましてコマンドを実行したりする可能性がありま
す。

対象となる製品およびバージョンは次のとおりです。

- VMware vSphere ESXi 6.7
- VMware vSphere ESXi 6.5
- VMware Workstation Pro / Player 15 系のバージョン
- VMware Fusion Pro / Fusion 11 系のバージョン
- VMware Horizon Client for Windows 5 系のバージョンおよびそれ以前

この問題は、該当する製品を VMware が提供する修正済みのバージョンに更新
するか、パッチを適用することで解決します。詳細は、VMware が提供する情
報を参照してください。

関連文書 (英語)
VMware Security Advisories
VMSA-2020-0012
https://www.vmware.com/security/advisories/VMSA-2020-0012.html

VMware Security Advisories
VMSA-2020-0013
https://www.vmware.com/security/advisories/VMSA-2020-0013.html

【4】WordPress に複数の脆弱性

情報源
US-CERT Current Activity
WordPress Releases Security and Maintenance Update
https://www.us-cert.gov/ncas/current-activity/2020/06/11/wordpress-releases-security-and-maintenance-update

概要
WordPress には、複数の脆弱性があります。結果として、遠隔の第三者がユー
ザのブラウザ上で任意のスクリプトを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- WordPress 5.4.1 およびそれ以前のバージョン

この問題は、WordPress を WordPress が提供する修正済みのバージョンに更
新することで解決します。詳細は、WordPress が提供する情報を参照してくだ
さい。

関連文書 (英語)
WordPress
WordPress 5.4.2 Security and Maintenance Release
https://wordpress.org/news/2020/06/wordpress-5-4-2-security-and-maintenance-release/

【5】複数の Intel 製品に脆弱性

情報源
Japan Vulnerability Notes JVNVU#98979613
Intel 製品に複数の脆弱性
https://jvn.jp/vu/JVNVU98979613/

概要
複数の Intel 製品には、脆弱性があります。結果として、第三者が、権限を
昇格したり、情報を窃取したり、サービス運用妨害 (DoS) 攻撃を行ったりす
る可能性があります。

影響を受ける製品やバージョンは多岐に渡ります。対象製品の詳細は、Intel
が提供するアドバイザリ情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Intel 製品に関する複数の脆弱性について
https://www.jpcert.or.jp/newsflash/2020061001.html

関連文書 (英語)
Intel
INTEL-SA-00266: 2020.1 IPU - Intel SSD Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00266.html

Intel
INTEL-SA-00295: 2020.1 IPU - Intel CSME, SPS, TXE, AMT, ISM and DAL Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00295.html

Intel
INTEL-SA-00320: Special Register Buffer Data Sampling Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00320.html

Intel
INTEL-SA-00322: 2020.1 IPU - BIOS Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00322.html

Intel
INTEL-SA-00366: Intel Innovation Engine Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00366.html

【6】UPnP プロトコルを実装した機器に対する攻撃手法について(CallStranger)

情報源
CERT/CC Vulnerability Note VU#339275
Universal Plug and Play (UPnP) SUBSCRIBE can be abused to send traffic to arbitrary destinations
https://www.kb.cert.org/vuls/id/339275

Japan Vulnerability Notes JVNTA#95827565
UPnP プロトコルを実装した機器に対する攻撃手法について(CallStranger)
https://jvn.jp/ta/JVNTA95827565/

概要
UPnP プロトコルを実装した機器に対する攻撃手法が報告されています。イン
ターネットからアクセス可能な UPnP プロトコルを実装した機器は、DDoS 攻
撃に悪用されたり、機器内部の情報を外部に送信させられたりする可能性があ
ります。

この問題について、UPnP プロトコルを実装する機器の開発者、および機器の
利用者において、問題の影響を軽減するために実施するべき推奨対策が情報源
から提供されています。詳細は、情報源を参考にしてください。

関連文書 (英語)
CallStranger
Data Exfiltration & Reflected Amplified TCP DDOS & Port Scan via UPnP SUBSCRIBE Callback
https://callstranger.com/

Open Connectivity Foundation
UPNP STANDARDS & ARCHITECTURE
https://openconnectivity.org/developer/specifications/upnp-resources/upnp/

Open Connectivity Foundation
UPnP Device Architecture 2.0 (Document Revision Date: April 17, 2020)
https://openconnectivity.org/upnp-specs/UPnP-arch-DeviceArchitecture-v2.0-20200417.pdf

【7】Zenphoto における複数の脆弱性

情報源
Japan Vulnerability Notes JVN#32252648
Zenphoto における複数の脆弱性
https://jvn.jp/jp/JVN32252648/

概要
Zenphoto には、複数の脆弱性が存在します。結果として、遠隔の第三者が、
ユーザのブラウザ上で任意のスクリプトを実行したり、当該製品がインストー
ルされているサーバ上で任意の PHP コードを実行したりする可能性がありま
す。

対象となるバージョンは次のとおりです。

- Zenphoto 1.5.7 より前のバージョン

この問題は、Zenphoto を Zenphoto が提供する修正済みのバージョンに更新
することで解決します。詳細は、Zenphoto が提供する情報を参照してくださ
い。

関連文書 (英語)
Zenphoto
Zenphoto 1.5.7 (Jun 04, 2020)
https://www.zenphoto.org/news/zenphoto-1.5.7/

【8】JPCERT/CC Eyes「マルウエアLODEINFOの進化」

情報源
JPCERT/CC Eyes
マルウエアLODEINFOの進化
https://blogs.jpcert.or.jp/ja/2020/06/LODEINFO-2.html

概要
2020年6月11日、JPCERT/CC は JPCERT/CC Eyes で「マルウエアLODEINFOの進
化」というブログ記事を公開しました。JPCERT/CC では、2019年末に観測され
た LODEINFO を使用する攻撃が、2020年4月以降、活発に行われていることを
確認しています。ブログでは、LODEINFO の一連の攻撃の中で見られた傾向や
アップデート内容を紹介しています。

関連文書 (日本語)
JPCERT/CC Eyes
日本国内の組織を狙ったマルウエアLODEINFO
https://blogs.jpcert.or.jp/ja/2020/02/LODEINFO.html

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○JPNIC が「DNS Abuse」に関する解説記事を公開

2020年6月5日、JPNIC が「DNS Abuse」と題し、ドメイン名システム (DNS) の
悪用に関する記事を公開しました。DNS Abuse とは、DNS の利用もしくはドメ
イン名の登録に使われる手続きが関連した、セキュリティ上の脅威となる悪用
行為を指すとされています。本記事では、ICANN や JPRS などのレジトスリが
実施する、悪用を防止するための取り組みや対策状況が紹介されています。

参考文献 (日本語)
社団法人日本ネットワークインフォメーションセンター (JPNIC)
DNS Abuse
https://blog.nic.ad.jp/2020/4796/

目 次 

【1】IP-in-IP プロトコルによる IP トンネリングが悪用され任意の宛先にパケットが送信される問題
【2】複数の Mozilla 製品に脆弱性
【3】複数の Cisco 製品に脆弱性
【4】Google Chrome に複数の脆弱性
【5】Gitlab にアクセス制御の脆弱性
【6】XACK DNS にサービス運用妨害 (DoS) の脆弱性
【7】Microsoft SMBv3 の脆弱性 (CVE-2020-0796) への対策を
【今週のひとくちメモ】IPA が「サイバーセキュリティ経営ガイドライン Ver 2.0」のプラクティス集を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr202201.html
https://www.jpcert.or.jp/wr/2020/wr202201.xml
============================================================================

【1】IP-in-IP プロトコルによる IP トンネリングが悪用され任意の宛先にパケットが送信される問題

情報源
CERT/CC Vulnerability Note VU#636397
IP-in-IP protocol routes arbitrary traffic by default
https://kb.cert.org/vuls/id/636397

Japan Vulnerability Notes JVNTA#90492923
IP-in-IP プロトコルによる IP トンネリングが悪用され任意の宛先にパケットが送信される問題
https://jvn.jp/ta/JVNTA90492923

概要
IP-in-IP プロトコルをサポートしている機器において、認証されていない第
三者によって予期せぬ通信が行われてしまう問題があります。結果として、反
射型の DDoS 攻撃や情報漏えいなどにつながる可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Cisco NX-OS Software が稼働している次の製品
- Nexus 1000 Virtual Edge for VMware vSphere
- Nexus 1000V Switch for Microsoft Hyper-V
- Nexus 1000V Switch for VMware vSphere
- Nexus 3000 Series Switches
- Nexus 5500 Platform Switches
- Nexus 5600 Platform Switches
- Nexus 6000 Series Switches
- Nexus 7000 Series Switches
- Nexus 9000 Series Switches in standalone NX-OS mode
- UCS 6200 Series Fabric Interconnects
- UCS 6300 Series Fabric Interconnects
- Digi International
- WR11 series cellular router (ファームウェア V8.1.0.1 より前のバージョン)
- WR21 series cellular router (ファームウェア V8.1.0.1 より前のバージョン)
- WR31 series cellular router (ファームウェア V8.1.0.1 より前のバージョン)
- WR41 series cellular router (ファームウェア V8.1.0.1 より前のバージョン)
- WR44 series cellular router (ファームウェア V8.1.0.1 より前のバージョン)
- HP
- Samsung X3220NR V3.00.09 から V3.00.11 までのバージョン
- Treck
- Treck embedded TCP/IP software 6.0.1.66 より前のバージョン

また、上記以外にも Japan Vulnerability Notes のベンダ情報や各ベンダが
提供する情報などを確認し、該当する製品がある場合は、対策の実施を検討し
てください。

関連文書 (英語)
Cisco Security Advisory
Cisco NX-OS Software Unexpected IP in IP Packet Processing Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-nxos-ipip-dos-kCT9X4

Digi International
Digi Security Center
https://www.digi.com/resources/security

【2】複数の Mozilla 製品に脆弱性

情報源
US-CERT Current Activity
Mozilla Releases Security Updates for Firefox and Firefox ESR
https://www.us-cert.gov/ncas/current-activity/2020/06/03/mozilla-releases-security-updates-firefox-and-firefox-esr

概要
複数の Mozilla 製品には、脆弱性があります。結果として、遠隔の第三者が
任意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 77 より前のバージョン
- Mozilla Firefox ESR 68.9 より前のバージョン
- Thunderbird 68.9 より前のバージョン

この問題は、該当する製品を Mozilla が提供する修正済みのバージョンに更
新することで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (英語)
Mozilla
Security Vulnerabilities fixed in Firefox 77
https://www.mozilla.org/en-US/security/advisories/mfsa2020-20/

Mozilla
Security Vulnerabilities fixed in Firefox ESR 68.9
https://www.mozilla.org/en-US/security/advisories/mfsa2020-21/

Mozilla
Security Vulnerabilities fixed in Thunderbird 68.9.0
https://www.mozilla.org/en-US/security/advisories/mfsa2020-22/

【3】複数の Cisco 製品に脆弱性

情報源
US-CERT Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.us-cert.gov/ncas/current-activity/2020/06/04/cisco-releases-security-updates-multiple-products

概要
複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が任
意のコマンドを実行するなどの可能性があります。

影響度 Critical の脆弱性情報に記載されている製品およびバージョンは次の
とおりです。

- Cisco IOS XE Software 16.3.1 以降のバージョン
- Cisco IOS Software が稼働している次の製品
- Cisco 809 Industrial ISRs
- Cisco 829 Industrial ISRs
- CGR1000

※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、
影響度 High および Medium の複数の脆弱性情報が公開されています。詳細
は、Cisco が提供する情報を参照してください。

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

関連文書 (英語)
Cisco Security Advisory
Cisco IOx for IOS XE Software Privilege Escalation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ioxPE-KgGvCAf9

Cisco Security Advisory
Cisco IOS Software for Cisco Industrial Routers Virtual Device Server Inter-VM Channel Command Injection Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ios-iot-udp-vds-inj-f2D5Jzrt

Cisco Security Advisory
Cisco IOS Software for Cisco Industrial Routers Arbitrary Code Execution Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ios-iot-rce-xYRSeMNH

【4】Google Chrome に複数の脆弱性

情報源
US-CERT Current Activity
Google Releases Security Updates for Chrome
https://www.us-cert.gov/ncas/current-activity/2020/06/04/google-releases-security-updates-chrome

概要
Google Chrome には、複数の脆弱性があります。

対象となる製品およびバージョンは次のとおりです。

- Google Chrome 83.0.4103.97 より前のバージョン
- Google Chrome for IOS 83.0.4103.88 より前のバージョン

この問題は、Google が提供する修正済みのバージョンに更新することで解決
します。詳細は、Google が提供する情報を参照してください。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2020/06/stable-channel-update-for-desktop.html

【5】Gitlab にアクセス制御の脆弱性

情報源
GitLab
GitLab Critical Security Release: 13.0.4, 12.10.9, 12.9.9
https://about.gitlab.com/releases/2020/06/03/critical-security-release-13-0-4-released/

概要
GitLab には、アクセス制御の脆弱性があります。結果として、許可されてい
ない第三者がリポジトリへアクセスする可能性があります。

対象となるバージョンは次のとおりです。

- GitLab EE 10.6+ 以降のバージョン

この問題は、GitLab が提供する修正済みのバージョンに更新することで解決
します。詳細は、GitLab が提供する情報を参照してください。

【6】XACK DNS にサービス運用妨害 (DoS) の脆弱性

情報源
Japan Vulnerability Notes JVN#40208370
XACK DNS におけるサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/jp/JVN40208370

概要
XACK DNS には、NXNSAttack と呼ばれる問題に起因する脆弱性があります。結
果として、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行うなどの可能性
があります。

対象となるバージョンは次のとおりです。

- XACK DNS 1.11.0 から 1.11.4 までのバージョン
- XACK DNS 1.10.0 から 1.10.8 までのバージョン
- XACK DNS 1.8.0 から 1.8.23 までのバージョン
- XACK DNS 1.7.0 から 1.7.18 までのバージョン
- XACK DNS 1.7.0 より前のすべてのバージョン

この問題は、株式会社 XACK が提供する修正済みのバージョンに更新すること
で解決します。詳細は、株式会社 XACK が提供する情報を参照してください。

関連文書 (日本語)
株式会社 XACK
CVE-2020-8616 (NXNSAttack) について
https://xack.co.jp/info/?ID=622

【7】Microsoft SMBv3 の脆弱性 (CVE-2020-0796) への対策を

情報源
US-CERT Current Activity
Unpatched Microsoft Systems Vulnerable to CVE-2020-0796
https://www.us-cert.gov/ncas/current-activity/2020/06/05/unpatched-microsoft-systems-vulnerable-cve-2020-0796

概要
2020年6月5日、CISA (US-CERT) は 3月に公開された Microsoft SMBv3 の脆弱
性 (CVE-2020-0796) について、本脆弱性を悪用可能な実証 (PoC) コードを新
たに確認しており、セキュリティ更新プログラムが未適用のシステムが攻撃を
受ける可能性があるとして、改めて注意を呼び掛けています。CISA は、ユー
ザに向けて、早急にセキュリティ更新プログラムを適用することや、必要な回
避策を適用することを推奨しています。今一度対策状況をご確認ください。

関連文書 (日本語)
マイクロソフト株式会社
CVE-2020-0796 | Windows SMBv3 クライアント/サーバーのリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2020-0796

マイクロソフト株式会社
ADV200005 | SMBv3 の圧縮の無効化に関する Microsoft ガイダンス
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/adv200005

JPCERT/CC 注意喚起
Microsoft SMBv3 の脆弱性 (CVE-2020-0796) に関する注意喚起
https://www.jpcert.or.jp/at/2020/at200011.html

関連文書 (英語)
CERT/CC Vulnerability Note VU#872016
Microsoft SMBv3 compression remote code execution vulnerability
https://kb.cert.org/vuls/id/872016/

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○IPA が「サイバーセキュリティ経営ガイドライン Ver 2.0」のプラクティス集を公開

2020年6月3日、経済産業省と情報処理推進機構 (IPA) は、「サイバーセキュ
リティ経営ガイドライン Ver 2.0実践のためのプラクティス集」を公開しまし
た。本プラクティス集では、2017年11月に公開された「サイバーセキュリティ
経営ガイドライン Ver 2.0」に記載されている、サイバーセキュリティ強化の
ための「重要10項目」を実践する際に参考となる考え方やヒント、実施手順、
実践事例が紹介されています。

参考文献 (日本語)
情報処理推進機構 (IPA)
サイバーセキュリティ経営ガイドライン Ver 2.0実践のためのプラクティス集
https://www.ipa.go.jp/security/fy30/reports/ciso/

下記のようなフェイクメールに注意して下さい。
両毛インターネットでは、電子メールパスワードの期限切れはありません、またお知らせすることもありません。

パスワードの再入力はしないでください。

もし、パスワードの入力をしてしまったら、事務局までご連絡ください。

【不信メール内容】

----------------------------------------------------------------------------------------------

パスワードセンター

☑️ xxxxxxx@mail.takauji.or.jp

パスワードの有効期限が切れており、検証する必要があります。現在のパスワードを続行するには、以下に従ってください。
同じパスワードを保持

ために xxxxxxxx@mail.takauji.or.jp
© 2020 管理者

-----------------------------------------------------------------------------------------------

目 次 

【1】複数の Cisco 製品に SaltStack Salt に起因する脆弱性
【2】Microsoft Edge に権限昇格の脆弱性
【3】複数の VMware 製品に脆弱性
【4】Gitlab に複数の脆弱性
【5】複数の Apple 製品に脆弱性
【6】複数のサイボウズ製品に脆弱性
【今週のひとくちメモ】IPA が「情報セキュリティ対策支援サイト」刷新版を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr202101.html
https://www.jpcert.or.jp/wr/2020/wr202101.xml
============================================================================

【1】複数の Cisco 製品に SaltStack Salt に起因する脆弱性

情報源
US-CERT Current Activity
Cisco Releases Security Updates for CML and VIRL-PE
https://www.us-cert.gov/ncas/current-activity/2020/05/29/cisco-releases-security-updates-cml-and-virl-pe

概要
複数の Cisco 製品には、SaltStack Salt に起因する脆弱性があります。結果
として、遠隔の第三者が、任意のコマンドを実行したり、情報を窃取したりす
るなどの可能性があります。

対象となる製品は次のとおりです。

- Cisco Modeling Labs Corporate Edition (CML)
- Cisco Virtual Internet Routing Lab Personal Edition (VIRL-PE)

この問題は、該当する製品を Cisco が提供するパッチを適用することで解決
します。詳細は、Cisco が提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC 注意喚起
SaltStack Salt の複数の脆弱性 (CVE-2020-11651, CVE-2020-11652) に関する注意喚起
https://www.jpcert.or.jp/at/2020/at200020.html

関連文書 (英語)
Cisco Security Advisory
SaltStack FrameWork Vulnerabilities Affecting Cisco Products
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-salt-2vx545AG

SaltStack
Critical Vulnerabilities Update: CVE-2020-11651 and CVE-2020-11652
https://community.saltstack.com/blog/critical-vulnerabilities-update-cve-2020-11651-and-cve-2020-11652/

【2】Microsoft Edge に権限昇格の脆弱性

情報源
US-CERT Current Activity
Microsoft Releases Security Update for Edge
https://www.us-cert.gov/ncas/current-activity/2020/05/22/microsoft-releases-security-update-edge

概要
Microsoft Edge には、権限昇格の脆弱性があります。結果として、第三者が
上位の権限を取得する可能性があります。

対象となるバージョンは次のとおりです。

- Microsoft Edge (Chromium ベース) 83.0.478.37 より前のバージョン

この問題は、Microsoft Edge を Microsoft が提供する修正済みのバージョン
に更新することで解決します。詳細は、Microsoft が提供する情報を参照して
ください。

関連文書 (日本語)
マイクロソフト株式会社
CVE-2020-1195 | Microsoft Edge (Chromium ベース) の特権の昇格の脆弱性
https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/CVE-2020-1195

【3】複数の VMware 製品に脆弱性

情報源
US-CERT Current Activity
VMware Releases Security Updates for Multiple Products
https://www.us-cert.gov/ncas/current-activity/2020/05/29/vmware-releases-security-updates-multiple-products

概要
複数の VMware 製品には、脆弱性があります。結果として、該当製品のユーザ
権限を持つ第三者が、root 権限を取得するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- VMware ESXi 6.7
- VMware ESXi 6.5
- VMware Workstation Pro / Player 15 系のバージョン
- VMware Fusion Pro / Fusion 11 系のバージョン
- VMware Remote Console for Mac 11 系のバージョンおよびそれ以前
- VMware Horizon Client for Mac 5 系のバージョンおよびそれ以前

この問題は、該当する製品を VMware が提供する修正済みのバージョンに更新
するか、パッチを適用することで解決します。詳細は、VMware が提供する情
報を参照してください。

関連文書 (英語)
VMware Security Advisories
VMSA-2020-0011
https://www.vmware.com/security/advisories/VMSA-2020-0011.html

【4】Gitlab に複数の脆弱性

情報源
GitLab
GitLab Security Release: 13.0.1, 12.10.7, 12.9.8
https://about.gitlab.com/releases/2020/05/27/security-release-13-0-1-released/

概要
GitLab には、複数の脆弱性があります。結果として、第三者がサービス運用
妨害 (DoS) 攻撃を行うなどの可能性があります。

対象となるバージョンは次のとおりです。

- GitLab Community および Enterprise Edition 13.0.1 より前の 13.0 系バージョン
- GitLab Community および Enterprise Edition 12.10.7 より前の 12.10 系バージョン
- GitLab Community および Enterprise Edition 12.9.8 より前の 12.9 系バージョン

なお、上記に記載されていないバージョンも影響を受けるとのことです。詳細
は GitLab が提供する情報を参照してください。

この問題は、該当する製品を GitLab が提供する修正済みのバージョンに更新
することで解決します。詳細は、GitLab が提供する情報を参照してください。

【5】複数の Apple 製品に脆弱性

情報源
US-CERT Current Activity
Apple Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/06/02/apple-releases-security-updates

US-CERT Current Activity
Apple Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/05/27/apple-releases-security-updates

CERT/CC Vulnerability Note VU#127371
iOS, iPadOS, tvOS, watchOS, and macOS contain an unspecified kernel vulnerability
https://kb.cert.org/vuls/id/127371/

概要
複数の Apple 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、情報を窃取したりするなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- iOS 13.5.1 より前のバージョン
- iOS 12.4.7 より前のバージョン
- iPadOS 13.5.1 より前のバージョン
- macOS Catalina 10.15.5 (Supplemental Update 未適用)
- macOS Mojave (Security Update 2020-003 未適用)
- macOS High Sierra (Security Update 2020-003 未適用)
- tvOS 13.4.6 より前のバージョン
- watchOS 6.2.6 より前のバージョン
- watchOS 5.3.7 より前のバージョン
- Safari 13.1.1 より前のバージョン
- iTunes 12.10.7 for Windows より前のバージョン
- iCloud for Windows 11.2 より前のバージョン
- iCloud for Windows 7.19 より前のバージョン
- Windows Migration Assistant 2.2.0.0 より前のバージョン

この問題は、該当する製品を Apple が提供する修正済みのバージョンに更新
することで解決します。詳細は、Apple が提供する情報を参照してください。

関連文書 (日本語)
Japan Vulnerability Notes JVNVU#96200968
複数の Apple 製品における脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU96200968/

Japan Vulnerability Notes JVNVU#98042162
複数の Apple 製品における脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU98042162/

Japan Vulnerability Notes JVNVU#98960050
iOS のカーネルに Jailbreak につながる脆弱性
https://jvn.jp/vu/JVNVU98960050/

関連文書 (英語)
Apple
About the security content of iOS 13.5.1 and iPadOS 13.5.1
https://support.apple.com/en-us/HT211214

Apple
About the security content of iOS 12.4.7
https://support.apple.com/en-us/HT211169

Apple
About the security content of macOS Catalina 10.15.5 Supplemental Update, Security Update 2020-003 High Sierra
https://support.apple.com/ja-jp/HT211215

Apple
About the security content of macOS Catalina 10.15.5, Security Update 2020-003 Mojave, Security Update 2020-003 High Sierra
https://support.apple.com/en-us/HT211170

Apple
About the security content of tvOS 13.4.6
https://support.apple.com/ja-jp/HT211216

Apple
About the security content of watchOS 6.2.6
https://support.apple.com/ja-jp/HT211217

Apple
About the security content of watchOS 5.3.7
https://support.apple.com/en-us/HT211176

Apple
About the security content of Safari 13.1.1
https://support.apple.com/en-us/HT211177

Apple
About the security content of iTunes 12.10.7 for Windows
https://support.apple.com/en-us/HT211178

Apple
About the security content of iCloud for Windows 11.2
https://support.apple.com/en-us/HT211179

Apple
About the security content of iCloud for Windows 7.19
https://support.apple.com/en-us/HT211181

Apple
About the security content of Windows Migration Assistant 2.2.0.0
https://support.apple.com/en-us/HT211186

【6】複数のサイボウズ製品に脆弱性

情報源
Japan Vulnerability Notes JVN#59552136
Cybozu Desktop Windows版において任意のコードが実行可能な脆弱性
https://jvn.jp/jp/JVN59552136/

Japan Vulnerability Notes JVN#78745667
複数のサイボウズ製品における脆弱性に対するアップデート
https://jvn.jp/jp/JVN78745667/

概要
複数のサイボウズ製品には脆弱性があります。結果として、遠隔の第三者が任
意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Cybozu Desktop Windows版 2.0.23 から 2.2.40 まで
- メールワイズ for Android 1.0.0 から 1.0.1 まで
- kintone mobile for Android 1.0.0 から 2.5 まで

この問題は、該当する製品をサイボウズ株式会社が提供する修正済みのバー
ジョンに更新することで解決します。詳細は、サイボウズ株式会社が提供する
情報を参照してください。

関連文書 (日本語)
サイボウズからのお知らせ
Cybozu Desktop 脆弱性に関するお知らせ
https://cs.cybozu.co.jp/2020/007043.html

サイボウズからのお知らせ
メールワイズ for Android 脆弱性に関するお知らせ
https://cs.cybozu.co.jp/2020/007011.html

サイボウズからのお知らせ
kintone mobile for Android 脆弱性に関するお知らせ
https://cs.cybozu.co.jp/2020/007002.html

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○IPA が「情報セキュリティ対策支援サイト」刷新版を公開

2020年5月28日、独立行政法人情報処理推進機構 (IPA) は、「情報セキュリ
ティ対策支援サイト」の刷新版を公開しました。今回の刷新版では、Web サイ
トの操作性の向上を図り、組織の情報セキュリティへの取組状況を自己診断す
るサービスや、利用者の立場に合わせた学習コースを新たに提供しています。
企業・組織内の情報セキュリティ対策水準の向上にご活用ください。

参考文献 (日本語)
IPA 独立行政法人 情報処理推進機構
情報セキュリティ対策支援サイトの公開について
https://www.ipa.go.jp/security/isec-portal/index.html