目 次
【1】複数の Cisco 製品に脆弱性
【2】複数の Mozilla 製品に脆弱性
【3】Google Chrome に複数の脆弱性
【4】Magento に複数の脆弱性
【5】GRUB2 にバッファオーバーフローの脆弱性
【6】JavaFX の WebEngine コンポーネントに任意の Java メソッド実行が可能になる脆弱性
【7】複数の三菱電機製 FA 製品に脆弱性
【8】複数の三菱電機製 FA エンジニアリングソフトウェア製品に脆弱性
【9】横河電機製 CAMS for HIS に複数の脆弱性
【10】Fanuc i Series CNC にサービス運用妨害 (DoS) の脆弱性
【11】KonaWiki2 および KonaWiki3 に複数の脆弱性
【12】複数の PHP工房製品に脆弱性
【今週のひとくちメモ】JPCERT/CC がログ分析トレーニング用コンテンツの公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr203001.html
https://www.jpcert.or.jp/wr/2020/wr203001.xml
============================================================================
【1】複数の Cisco 製品に脆弱性
情報源
US-CERT Current Activity
Cisco Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2020/07/30/cisco-releases-security-updates-multiple-products
概要
複数の Cisco 製品には、複数の脆弱性があります。結果として、認証されて
いない遠隔の第三者が、管理者権限で任意のアクションを実行するなどの可能
性があります。
対象となる製品は次のとおりです。
- Cisco SD-WAN vManage Software
- Cisco Data Center Network Manager
※上記以外にも影響度 Medium の複数の脆弱性情報が公開されています。
詳細は Cisco が提供する情報を参照してください。
この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。
関連文書 (英語)
Cisco Security Advisory
Cisco SD-WAN vManage Software Authorization Bypass Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-uabvman-SYGzt8Bv
Cisco Security Advisory
Cisco Data Center Network Manager Authentication Bypass Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-dcnm-bypass-dyEejUMs
Cisco Security Advisory
Cisco Data Center Network Manager Command Injection Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-devmgr-cmd-inj-Umc8RHNh
Cisco Security Advisory
Cisco Data Center Network Manager Command Injection Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-dcnm-rest-inj-BCt8pwAJ
Cisco Security Advisory
Cisco Data Center Network Manager Path Traversal Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-dcnm-path-trav-2xZOnJdR
Cisco Security Advisory
Cisco Data Center Network Manager Improper Authorization Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-dcnm-improper-auth-7Krd9TDT
Cisco Security Advisory
Cisco Data Center Network Manager Authentication Bypass Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-dcnm-auth-bypass-JkubGpu3
【2】複数の Mozilla 製品に脆弱性
情報源
US-CERT Current Activity
Mozilla Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2020/07/29/mozilla-releases-security-updates-multiple-products
概要
複数の Mozilla 製品には、複数の脆弱性があります。結果として、遠隔の第
三者が製品をクラッシュするなどの可能性があります。
対象となる製品およびバージョンは次のとおりです。
- Firefox 79 より前のバージョン
- Firefox ESR 68.11 より前の 68系 バージョン
- Thunderbird 68.11 より前の 68系 バージョン
- Firefox ESR 78.1 より前の 78系 バージョン
- Thunderbird 78.1 より前の 78系 バージョン
- Firefox for iOS 28 より前のバージョン
この問題は、該当する製品を Mozilla が提供する修正済みのバージョンに更
新することで解決します。詳細は、Mozilla が提供する情報を参照してくださ
い。
関連文書 (英語)
Mozilla Foundation
Security Vulnerabilities fixed in Firefox 79
https://www.mozilla.org/en-US/security/advisories/mfsa2020-30/
Mozilla Foundation
Security Vulnerabilities fixed in Firefox ESR 68.11
https://www.mozilla.org/en-US/security/advisories/mfsa2020-31/
Mozilla Foundation
Security Vulnerabilities fixed in Thunderbird 68.11
https://www.mozilla.org/en-US/security/advisories/mfsa2020-35/
Mozilla Foundation
Security Vulnerabilities fixed in Firefox ESR 78.1
https://www.mozilla.org/en-US/security/advisories/mfsa2020-32/
Mozilla Foundation
Security Vulnerabilities fixed in Thunderbird 78.1
https://www.mozilla.org/en-US/security/advisories/mfsa2020-33/
Mozilla Foundation
Security Vulnerabilities fixed in Firefox for iOS 28
https://www.mozilla.org/en-US/security/advisories/mfsa2020-34/
【3】Google Chrome に複数の脆弱性
情報源
US-CERT Current Activity
Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2020/07/28/google-releases-security-updates-chrome
概要
Google Chrome には、複数の脆弱性があります。
対象となるバージョンは次のとおりです。
- Google Chrome 84.0.4147.105 より前のバージョン
この問題は、該当するバージョンを Google が提供する修正済みのバージョン
に更新することで解決します。詳細は、Google が提供する情報を参照してく
ださい。
関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2020/07/stable-channel-update-for-desktop_27.html
【4】Magento に複数の脆弱性
情報源
US-CERT Current Activity
Adobe Releases Security Updates for Magento
https://us-cert.cisa.gov/ncas/current-activity/2020/07/29/adobe-releases-security-updates-magento
概要
Magento には、複数の脆弱性があります。結果として、第三者が任意のコード
を実行するなどの可能性があります。
対象となるバージョンは次のとおりです。
- Magento Commerce 2 2.3.5-p1 およびそれ以前
- Magento Open Source 2 2.3.5-p1 およびそれ以前
この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新
することで解決します。詳細は、Adobe が提供する情報を参照してください。
関連文書 (日本語)
Adobe
Magento に関するセキュリティアップデート公開 | APSB20-47
https://helpx.adobe.com/jp/security/products/magento/apsb20-47.html
JPCERT/CC CyberNewsFlash
Magento に関するアップデート (APSB20-47) について
https://www.jpcert.or.jp/newsflash/2020072901.html
【5】GRUB2 にバッファオーバーフローの脆弱性
情報源
Vulnerability Note VU#174059
GRUB2 bootloader is vulnerable to buffer overflow
https://www.kb.cert.org/vuls/id/174059
概要
GRUB2 ブートローダにはヒープベースのバッファオーバーフローの脆弱性があ
ります。結果として、管理者権限を持つユーザが任意のコードを実行するなど
の可能性があります。
対象となる製品は次のとおりです。
- ブートローダに GRUB2 を使用しているシステム
この問題は、GRUB2 を最新版のバージョンに更新することで解決します。詳細
は、各開発者が提供する情報を参照してください。
関連文書 (日本語)
Japan Vulnerability Notes JVNVU#98487886
GRUB2 にバッファオーバーフローの脆弱性
https://jvn.jp/vu/JVNVU98487886/
【6】JavaFX の WebEngine コンポーネントに任意の Java メソッド実行が可能になる脆弱性
情報源
Japan Vulnerability Notes JVN#62161191
JavaFX の WebEngine コンポーネントに任意の Java メソッド実行が可能になる脆弱性
https://jvn.jp/jp/JVN62161191/
概要
JavaFX および OpenJFX の WebEngine コンポーネントには、任意の Java コー
ド実行が可能になる脆弱性があります。結果として、遠隔の第三者が、当該ア
プリケーションの実行権限で任意の Java コードを実行する可能性があります。
対象となる製品およびバージョンは次のとおりです。
- Oracle JDK 8 update 251 より前のバージョン
- JavaFX 14.0.1 より前のバージョン
この問題は、該当するバージョンを、開発者が提供する修正済みのバージョン
に更新することで解決します。詳細は、開発者が提供する情報を参照してくだ
さい。
関連文書 (英語)
Oracle
JDK 8u251 Update Release Notes
https://www.oracle.com/technetwork/java/javase/8u251-relnotes-5972664.html
OpenJFX Project
Release Notes for JavaFX 14.0.1
https://github.com/openjdk/jfx/blob/jfx14/doc-files/release-notes-14.0.1.md
【7】複数の三菱電機製 FA 製品に脆弱性
情報源
Japan Vulnerability Notes JVNVU#90224831
複数の三菱電機製 FA 製品における複数の脆弱性
https://jvn.jp/vu/JVNVU90224831/
概要
複数の三菱電機製 FA 製品には、複数の脆弱性があります。結果として、遠隔
の第三者が情報の取得、改ざんやサービス運用妨害 (DoS) 状態にするなどの
可能性があります。
影響を受ける製品やバージョンは多岐に渡ります。対象製品の詳細は、開発者
が提供するアドバイザリ情報を参照してください。
この問題は、該当するバージョンを開発者が提供する修正済みのバージョンに
更新することで解決します。詳細は、開発者が提供する情報を参照してくださ
い。
関連文書 (日本語)
三菱電機株式会社
複数のFAエンジニアリングソフトウェア製品における悪意のあるコードが実行される脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2020-007.pdf
三菱電機株式会社
複数のFA製品における悪意のあるコードが実行される脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2020-008.pdf
関連文書 (英語)
ICS Advisory (ICSA-20-212-03)
Mitsubishi Electric Factory Automation Products Path Traversal
https://us-cert.cisa.gov/ics/advisories/icsa-20-212-03
ICS Advisory (ICSA-20-212-04)
Mitsubishi Electric Factory Automation Engineering Products
https://us-cert.cisa.gov/ics/advisories/icsa-20-212-04
【8】複数の三菱電機製 FA エンジニアリングソフトウェア製品に脆弱性
情報源
Japan Vulnerability Notes JVNVU#93893801
複数の三菱電機製 FA エンジニアリングソフトウェア製品における不適切なファイルアクセス制御の脆弱性
https://jvn.jp/vu/JVNVU93893801/
概要
複数の三菱電機製 FA エンジニアリングソフトウェア製品には、不適切なファ
イルアクセス制御の脆弱性があります。結果として、遠隔の第三者が一部の
ファイルを悪意のあるプログラムに置き換え、情報の取得、改ざん、破壊など
を行う可能性があります。
影響を受ける製品やバージョンは多岐に渡ります。対象製品の詳細は、開発者
が提供するアドバイザリ情報を参照してください。
この問題は、該当するバージョンを開発者が提供する修正済みのバージョンに
更新することで解決します。詳細は、開発者が提供する情報を参照してくださ
い。
関連文書 (日本語)
三菱電機株式会社
複数のFAエンジニアリングソフトウェア製品における不適切なファイルアクセス制御の脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2020-006.pdf
関連文書 (英語)
ICS Advisory (ICSA-20-212-02)
Mitsubishi Electric Multiple Factory Automation Engineering Software Products
https://us-cert.cisa.gov/ics/advisories/icsa-20-212-02
【9】横河電機製 CAMS for HIS に複数の脆弱性
情報源
Japan Vulnerability Notes JVNVU#97997181
横河電機製 CAMS for HIS に複数の脆弱性
https://jvn.jp/vu/JVNVU97997181/
概要
横河電機株式会社が提供する CAMS for HIS には、複数の脆弱性があります。
結果として、認証されていない第三者が、任意の場所にファイルの作成や上書
きをしたり、任意のコマンドを実行したりするなどの可能性があります。
対象となる製品およびバージョンは次のとおりです。
- CENTUM CS 3000 (CENTUM CS 3000 Small 含む) R3.08.10 から R3.09.50 まで
- CENTUM VP (CENTUM VP Small, Basic 含む) R4.01.00 から R6.07.00 まで
- B/M9000CS R5.04.01 から R5.05.01 まで
- B/M9000 VP R6.01.01 から R8.03.01 まで
この問題は、該当するバージョンを開発者が提供する修正済みのバージョンに
更新することやパッチ適用することで解決します。詳細は、開発者が提供する
情報を参照してください。
関連文書 (日本語)
横河電機株式会社
YSAR-20-0001:CAMS for HISに複数の脆弱性
https://web-material3.yokogawa.com/19/29820/files/YSAR-20-0001-J.pdf
【10】Fanuc i Series CNC にサービス運用妨害 (DoS) の脆弱性
情報源
Japan Vulnerability Notes JVN#84959128
Fanuc i Series CNC におけるサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/jp/JVN84959128/
概要
ファナック株式会社が提供する Fanuc i Series CNC には、サービス運用妨害
(DoS) の脆弱性があります。結果として、遠隔の第三者によってサービス運用
妨害 (DoS) 攻撃を受け、他の機器へのアクセスが阻害される可能性がありま
す。
影響を受ける製品やバージョンは多岐に渡ります。対象製品の詳細は、開発者
が提供する情報を参照してください。
この問題は、該当するバージョンを開発者が提供する修正済みのバージョンに
更新することやパッチを適用することで解決します。詳細は、開発者が提供す
る情報を参照してください。
関連文書 (日本語)
ファナック株式会社
ファナック会員サイト
https://store.member.fanuc.co.jp/fanuc/store
【11】KonaWiki2 および KonaWiki3 に複数の脆弱性
情報源
Japan Vulnerability Notes JVN#48194211
KonaWiki2 および KonaWiki3 における複数の脆弱性
https://jvn.jp/jp/JVN48194211/
概要
くじらはんどが提供する KonaWiki2 および KonaWiki3 には、複数の脆弱性が
あります。結果として、遠隔の第三者が、細工されたページにアクセスしたユー
ザのウェブブラウザ上で任意のスクリプトを実行するなどの可能性があります。
対象となる製品およびバージョンは次のとおりです。
- KonaWiki2.2.0 およびそれ以前
- KonaWiki3.1.0 およびそれ以前
この問題は、該当するバージョンを開発者が提供する修正済みのバージョンに
更新することで解決します。詳細は、開発者が提供する情報を参照してくださ
い。
関連文書 (日本語)
くじらはんどの告知ページ
セキュリティアップデートのお知らせ (2020/07/10)
https://kujirahand.com/konawiki/
【12】複数の PHP工房製品に脆弱性
情報源
Japan Vulnerability Notes JVN#73169744
複数の PHP工房製品における複数の脆弱性
https://jvn.jp/jp/JVN73169744/
概要
PHP工房が提供する複数の製品には、複数の脆弱性があります。結果として、
特定の条件下において、遠隔の第三者が管理者権限で当該製品にログインする
などの可能性があります。
対象となる製品は次のとおりです。
- 【Calendar01】（3デバイス対応）PHP営業日・スケジュールカレンダーフリー（無料）版
- 【Calendar02】PHP営業日・スケジュールカレンダー(テキスト入力付) フリー・無料版
- 【PKOBO-News01】PHP新着情報・お知らせ・ニュースCMSプログラム フリー（無料）版
- 【PKOBO-vote01】PHP投票・アンケートシステム（連続投票防止付き）CMS フリー（無料）版
- 【Telop01】PHPテロップ・ニュースティッカー・ヘッドラインCMS フリー（無料）版
- 【Gallery01】PC、スマホ、ガラケー3デバイス対応写真ギャラリーCMS フリー（無料）版
- 【CalendarForm01】(受付上限設定付き)予約・応募フォーム連動 営業日カレンダー フリー（無料）版
- 【Link01】PHPリンク集ページCMS フリー（無料）版
この問題は、該当するバージョンを開発者が提供する修正済みのバージョンに
更新することや対象ファイルにコードを追加することで解決します。詳細は、
開発者が提供する情報を参照してください。
関連文書 (日本語)
PHP工房
【Calendar01】（3デバイス対応）PHP営業日・スケジュールカレンダーフリー（無料）版
https://www.php-factory.net/calendar/01.php
PHP工房
【Calendar02】PHP営業日・スケジュールカレンダー(テキスト入力付) フリー・無料版
https://www.php-factory.net/calendar/02.php
PHP工房
【PKOBO-News01】PHP新着情報・お知らせ・ニュースCMSプログラム フリー（無料）版
https://www.php-factory.net/news/pkobo-news01.php
PHP工房
【PKOBO-vote01】PHP投票・アンケートシステム（連続投票防止付き）CMS フリー（無料）版
https://www.php-factory.net/vote/01.php
PHP工房
【Telop01】PHPテロップ・ニュースティッカー・ヘッドラインCMS フリー（無料）版
https://www.php-factory.net/telop/01.php
PHP工房
【Gallery01】PC、スマホ、ガラケー3デバイス対応写真ギャラリーCMS フリー（無料）版
https://www.php-factory.net/gallery/01.php
PHP工房
【CalendarForm01】(受付上限設定付き)予約・応募フォーム連動 営業日カレンダー フリー（無料）版
https://www.php-factory.net/calendar_form/01.php
PHP工房
【Link01】PHPリンク集ページCMS フリー（無料）版
https://www.php-factory.net/link/01.php
――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――
○JPCERT/CC がログ分析トレーニング用コンテンツの公開
JPCERT/CC は、Internet Week 2016 ～ 2019 にて「インシデント対応ハンズ
オン」と題し、標的型攻撃を受けた際のセキュリティインシデント調査手法に
関するハンズオンを行ってきました。この度、ハンズオンの内容をコンテンツ
として公開しました。本コンテンツは実際の標的型攻撃の事例をもとに作成し
ており、シナリオに沿ってログ分析を理解できる内容になっています。
参考文献 (日本語)
JPCERT/CC Eyes
ログ分析トレーニング用コンテンツの公開
https://blogs.jpcert.or.jp/ja/2020/07/log_analysis_training.html
JPCERT/CC
Log Analysis Training
https://jpcertcc.github.io/log-analysis-training/
