■08/30(日)～09/05(土) のセキュリティ関連情報
目 次
【1】複数の Cisco 製品に脆弱性
【2】「攻撃遮断くん サーバセキュリティタイプ」にサービス運用妨害 (DoS) の脆弱性
【3】CLUSTERPRO X および EXPRESSCLUSTER X に XML 外部実体参照 (XXE) に関する脆弱性
【4】Trend Micro Deep Security および Virtual Patch for Endpoint に複数の脆弱性
【今週のひとくちメモ】IPA が「情報セキュリティ白書2020」を公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr203501.html
https://www.jpcert.or.jp/wr/2020/wr203501.xml
============================================================================
【1】複数の Cisco 製品に脆弱性
情報源
CISA Current Activity
Cisco Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2020/09/03/cisco-releases-security-updates
概要
複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行するなどの可能性があります。
影響度 Critical または High の脆弱性情報に記載されている製品は次のとお
りです。
- Cisco Jabber for Windows
- Cisco Enterprise NFV Infrastructure Software (NFVIS)
- Cisco IOS XR Software が稼働する次の製品
- ASR 9000 Series Aggregation Services Routers (32-bit and 64-bit models)
- 8000 Series Routers
- IOS XRv 9000 Router
- IOS XR, SW only
- Network Convergence System 540 Routers
- Network Convergence System 560 Routers
- Network Convergence System 1000 Series
- Network Convergence System 4000 Series
- Network Convergence System 5000 Series
- Network Convergence System 5500 Series
- Network Convergence System 6000 Series Routers
※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、
影響度 Medium の複数の脆弱性情報が公開されています。詳細は、Cisco が
提供する情報を参照してください。
この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。
関連文書 (英語)
Cisco Security Advisory
Cisco Jabber for Windows Message Handling Arbitrary Code Execution Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-jabber-UyTKCPGg
Cisco Security Advisory
Cisco Enterprise NFV Infrastructure Software File Overwrite Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-nfvis-file-overwrite-UONzPMkr
Cisco Security Advisory
Cisco Jabber for Windows Protocol Handler Command Injection Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-jabber-vY8M4KGB
Cisco Security Advisory
Cisco IOS XR Authenticated User Privilege Escalation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-cli-privescl-sDVEmhqv
Cisco Security Advisory
Cisco IOS XR Software Authenticated User Privilege Escalation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-LJtNFjeN
【2】「攻撃遮断くん サーバセキュリティタイプ」にサービス運用妨害 (DoS) の脆弱性
情報源
Japan Vulnerability Notes JVN#42665874
「攻撃遮断くん サーバセキュリティタイプ」におけるサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/jp/JVN42665874/
概要
株式会社サイバーセキュリティクラウドが提供する「攻撃遮断くん サーバセ
キュリティタイプ」には、サービス運用妨害 (DoS) の脆弱性があります。結
果として、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行う可能性があり
ます。
対象となるバージョンは次のとおりです。
- 「攻撃遮断くん サーバセキュリティタイプ」 （通常遮断方式を除く） Ver.1.5.3 およびそれ以前
この問題は、当該製品の内部で使用されているスクリプトファイルを、修正済
みのスクリプトファイルに置き換えることで解決します。詳細は、開発者が提
供する情報を参照してください。
関連文書 (日本語)
株式会社サイバーセキュリティクラウド
【重要】攻撃遮断くん サーバセキュリティタイプの一部遮断方式におけるDoS（サービス妨害）の脆弱性に関する注意喚起（CVE-2020-5622）
https://www.shadan-kun.com/news/20200831/
【3】CLUSTERPRO X および EXPRESSCLUSTER X に XML 外部実体参照 (XXE) に関する脆弱性
情報源
Japan Vulnerability Notes JVN#06446084
CLUSTERPRO X および EXPRESSCLUSTER X における XML 外部実体参照 (XXE) に関する脆弱性
https://jvn.jp/jp/JVN06446084/
概要
日本電気株式会社が提供する CLUSTERPRO X および EXPRESSCLUSTER X には、
XML 外部実体参照 (XXE) に関する脆弱性があります。結果として、遠隔の第
三者が、細工した XML ファイルを当該製品に読み込ませることにより、サー
バ上の任意のファイルを読み取る可能性があります。
対象となる製品およびバージョンは次のとおりです。
- CLUSTERPRO X 4.2 for Windows およびそれ以前
- EXPRESSCLUSTER X 4.2 for Windows およびそれ以前
この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書 (日本語)
日本電気株式会社
CLUSTERPRO X 4.1/X 4.2 for Windows アップデートモジュール (CPRO-XWA40-08)
https://www.support.nec.co.jp/View.aspx?id=9010109202
関連文書 (英語)
日本電気株式会社
EXPRESSCLUSTER X 4.1/X 4.2 for Windows update module (CPRO-XWA40-08E)
https://www.support.nec.co.jp/en/View.aspx?id=9510100319
【4】Trend Micro Deep Security および Virtual Patch for Endpoint に複数の脆弱性
情報源
Japan Vulnerability Notes JVNVU#90813748
Trend Micro Deep Security および Virtual Patch for Endpoint に複数の脆弱性
https://jvn.jp/vu/JVNVU90813748/
概要
トレンドマイクロ株式会社が提供する Trend Micro Deep Security および
Trend Micro Virtual Patch for Endpoint には、複数の脆弱性があります。
結果として、管理者権限を持つ遠隔の第三者が、任意のコードを実行するなど
の可能性があります。
対象となるバージョンは次のとおりです。
- Deep Security Manager 10.0、11.0、12.0
- Virtual Patch Manager 2.0
この問題は、該当する製品に開発者が提供する修正パッチを適用することで解
決します。詳細は、開発者が提供する情報を参照してください。
関連文書 (日本語)
トレンドマイクロ株式会社
アラート/アドバイザリ：Trend Micro Deep Security および Trend Micro Virtual Patch for Endpoint における整合性検証(CVE-2020-8602)および LDAP認証(CVE-2020-15601)に関する脆弱性について
https://success.trendmicro.com/jp/solution/000261933
――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――
○IPA が「情報セキュリティ白書2020」を公開
2020年9月3日、情報処理推進機構(IPA) は「情報セキュリティ白書2020」を公
開しました。本白書は、情報セキュリティに関する国内外の政策や脅威の動向、
インシデントの発生状況、被害実態など定番トピックの他、毎年タイムリーな
トピックを新たに取り上げています。
参考文献 (日本語)
情報処理推進機構(IPA)
情報セキュリティ白書2020
https://www.ipa.go.jp/security/publications/hakusyo/2020.html
コメント