■09/13(日)~09/19(土) のセキュリティ関連情報
目 次
【1】Microsoft Windows Netlogon Remote Protocol (MS-NRPC) に権限昇格の脆弱性
【2】Adobe Media Encoder に複数の脆弱性
【3】Drupal に複数の脆弱性
【4】複数の Apple 製品に脆弱性
【5】複数の VMware 製品に脆弱性
【6】Samba に Netlogon に起因する脆弱性
【7】IPTV ビデオエンコーダー製品に複数の脆弱性
【8】Android アプリ「ユニクロアプリ」にアクセス制限不備の脆弱性
【今週のひとくちメモ】「フィッシング対策セミナー 2020 (オンライン)」開催のお知らせ
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr203701.html
https://www.jpcert.or.jp/wr/2020/wr203701.xml
============================================================================
【1】Microsoft Windows Netlogon Remote Protocol (MS-NRPC) に権限昇格の脆弱性
情報源
CISA Current Activity
Exploit for Netlogon Remote Protocol Vulnerability, CVE-2020-1472
https://us-cert.cisa.gov/ncas/current-activity/2020/09/14/exploit-netlogon-remote-protocol-vulnerability-cve-2020-1472
CISA Current Activity
CISA Releases Emergency Directive on Microsoft Windows Netlogon Remote Protocol
https://us-cert.cisa.gov/ncas/current-activity/2020/09/18/cisa-releases-emergency-directive-microsoft-windows-netlogon
CERT/CC Vulnerability Note VU#490028
Microsoft Windows Netlogon Remote Protocol (MS-NRPC) uses insecure AES-CFB8 initialization vector
https://www.kb.cert.org/vuls/id/490028
概要
Microsoft Windows Netlogon Remote Protocol (MS-NRPC) には、権限昇格の
脆弱性があります。結果として、遠隔の第三者が、サービス運用妨害 (DoS)
攻撃を行ったり、ドメイン管理者権限を取得したりする可能性があります。
対象となる製品およびバージョンは次のとおりです。
- Windows Server 2008 R2 for x64-based Systems Service Pack 1
- Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
- Windows Server 2012
- Windows Server 2012 (Server Core installation)
- Windows Server 2012 R2
- Windows Server 2012 R2 (Server Core installation)
- Windows Server 2016
- Windows Server 2016 (Server Core installation)
- Windows Server 2019
- Windows Server 2019 (Server Core installation)
- Windows Server, version 1903 (Server Core installation)
- Windows Server, version 1909 (Server Core installation)
- Windows Server, version 2004 (Server Core installation)
本脆弱性は Windows 以外の製品においても実装されている Netlogon プロト
コルに関する修正であることから、Windows 以外の製品の Netlogon 実装への
互換性を考慮し、Microsoft は本脆弱性への対処を 2段階に分けて実施する予
定とのことです。
本脆弱性の影響を受ける製品を利用している場合、2020年8月に提供されてい
る更新プログラムの適用に加えて、ドメインコントローラーに接続する Windows
以外の製品の互換性の確認や設定変更などの対応が必要になる場合があります。
詳細は、Microsoft が提供する情報を参照してください。
関連文書 (日本語)
マイクロソフト株式会社
CVE-2020-1472 | Netlogon の特権の昇格の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2020-1472
マイクロソフト株式会社
CVE-2020-1472 に関連する Netlogon セキュア チャネル接続の変更を管理する方法
https://support.microsoft.com/ja-JP/help/4557222/how-to-manage-the-changes-in-netlogon-secure-channel-connections-assoc
JPCERT/CC CyberNewsFlash
Netlogon の特権の昇格の脆弱性 (CVE-2020-1472) への早急な対応を
https://www.jpcert.or.jp/newsflash/2020091601.html
Japan Vulnerability Notes JVNVU#95778184
Microsoft Windows Netlogon Remote Protocol (MS-NRPC) に権限昇格の脆弱性
https://jvn.jp/vu/JVNVU95778184/
【2】Adobe Media Encoder に複数の脆弱性
情報源
CISA Current Activity
Adobe Releases Security Update for Media Encoder
https://us-cert.cisa.gov/ncas/current-activity/2020/09/16/adobe-releases-security-update-media-encoder
概要
Adobe Media Encoder には、複数の脆弱性があります。結果として、遠隔の第
三者が情報を窃取する可能性があります。
対象となるバージョンは次のとおりです。
- Adobe Media Encoder 14.3.2 およびそれ以前 (Windows)
この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。
関連文書 (日本語)
Adobe
Adobe Media Encoder に関するセキュリティアップデート公開 | APSB20-57
https://helpx.adobe.com/jp/security/products/media-encoder/apsb20-57.html
【3】Drupal に複数の脆弱性
情報源
CISA Current Activity
Drupal Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2020/09/17/drupal-releases-security-updates
概要
Drupal には、複数の脆弱性があります。 結果として、遠隔の第三者が、ユー
ザのブラウザ上で任意のスクリプトを実行したり、情報を窃取したりするなど
の可能性があります。
対象となるバージョンは次のとおりです。
- Drupal 9.0.6 より前の 9.0 系のバージョン
- Drupal 8.9.6 より前の 8.9 系のバージョン
- Drupal 8.8.10 より前の 8.8 系のバージョン
- Drupal 7.73 より前の 7 系のバージョン
なお、Drupal 8.8 系より前の 8 系のバージョンは、サポートが終了しており、
今回のセキュリティに関する情報は提供されていません。
この問題は、Drupal を Drupal が提供する修正済みのバージョンに更新する
ことで解決します。詳細は、Drupal が提供する情報を参照してください。
関連文書 (英語)
Drupal
Drupal core - Moderately critical - Cross-site scripting - SA-CORE-2020-007
https://www.drupal.org/sa-core-2020-007
Drupal
Drupal core - Moderately critical - Access bypass - SA-CORE-2020-008
https://www.drupal.org/sa-core-2020-008
Drupal
Drupal core - Critical - Cross-site scripting - SA-CORE-2020-009
https://www.drupal.org/sa-core-2020-009
Drupal
Drupal core - Moderately critical - Cross-site scripting - SA-CORE-2020-010
https://www.drupal.org/sa-core-2020-010
Drupal
Drupal core - Moderately critical - Information disclosure - SA-CORE-2020-011
https://www.drupal.org/sa-core-2020-011
【4】複数の Apple 製品に脆弱性
情報源
CISA Current Activity
Apple Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2020/09/17/apple-releases-security-updates
概要
複数の Apple 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、情報を窃取したりするなどの可能性があります。
対象となる製品およびバージョンは次のとおりです。
- Safari 14.0 より前のバージョン
- tvOS 14.0 より前のバージョン
- watchOS 7.0 より前のバージョン
- iOS 14.0 より前のバージョン
- iPadOS 14.0 より前のバージョン
- Xcode 12.0 より前のバージョン
この問題は、該当する製品を Apple が提供する修正済みのバージョンに更新
することで解決します。詳細は、Apple が提供する情報を参照してください。
関連文書 (日本語)
Japan Vulnerability Notes JVNVU#92546061
複数の Apple 製品における脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU92546061/
Apple
Safari 14.0 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT211845
Apple
tvOS 14.0 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT211843
Apple
watchOS 7.0 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT211844
Apple
iOS 14.0 および iPadOS 14.0 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT211850
Apple
Xcode 12.0 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT211848
【5】複数の VMware 製品に脆弱性
情報源
VMware Security Advisories
VMSA-2020-0020
https://www.vmware.com/security/advisories/VMSA-2020-0020.html
概要
複数の VMware 製品には、脆弱性があります。結果として、遠隔の第三者が、
サービス運用妨害 (DoS) 攻撃を行ったり、権限昇格を行ったりするなどの可
能性があります。
対象となる製品は次のとおりです。
- VMware Workstation Pro / Player (Workstation)
- VMware Fusion Pro / Fusion (Fusion)
- VMware Horizon Client for Windows
この問題は、該当する製品を VMware が提供する修正済みのバージョンに更新
するか、パッチを適用することで解決します。詳細は、VMware が提供する情
報を参照してください。
【6】Samba に Netlogon に起因する脆弱性
情報源
CISA Current Activity
Samba Releases Security Update for CVE-2020-1472
https://us-cert.cisa.gov/ncas/current-activity/2020/09/21/samba-releases-security-update-cve-2020-1472
概要
Samba には、Netlogon に起因する脆弱性があります。結果として、遠隔の第
三者がドメイン管理者権限を取得する可能性があります。
対象となるバージョンは次のとおりです。
- Samba 4.12.7 より前の 4.12 系のバージョン
- Samba 4.11.13 より前の 4.11 系のバージョン
- Samba 4.10.18 より前の 4.10 系のバージョン
なお、既にサポートが終了している Samba 4.9 系およびそれ以前のバージョン
も影響を受ける可能性があるとのことです。
この問題は、Samba を The Samba Team が提供する修正済みのバージョンに更
新することで解決します。詳細は、The Samba Team が提供する情報を参照し
てください。
関連文書 (英語)
The Samba Team
Unauthenticated domain takeover via netlogon ("ZeroLogon")
https://www.samba.org/samba/security/CVE-2020-1472.html
【7】IPTV ビデオエンコーダー製品に複数の脆弱性
情報源
CERT/CC Vulnerability Note VU#896979
IPTV encoder devices contain multiple vulnerabilities
https://www.kb.cert.org/vuls/id/896979#
概要
IPTV ビデオエンコーダー製品には、複数の脆弱性があります。結果として、
遠隔の第三者が、任意のファイルを読み出したり、許可されていないファイル
アップロードを実行したりするなどの可能性があります。
対象となる製品は次のとおりです。
- IPTV/H.264/H.265 (Video Over IP) エンコーダー製品
2020年9月24日現在、この問題に対するアップデートは提供されていません。
次の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
- ファイアウォールを設置したり、保護された LAN 内に配置したりすることで、該当デバイスへのインターネットアクセスを制限する
詳細は、開発者が提供する情報を参照してください。
関連文書 (日本語)
Japan Vulnerability Note JVNVU#90624081
HiSilicon 社製 hi3520d を利用したビデオエンコーダー製品に複数の脆弱性
https://jvn.jp/vu/JVNVU90624081/
関連文書 (英語)
Alexei Kojenov
Backdoors and other vulnerabilities in HiSilicon based hardware video encoders
https://kojenov.com/2020-09-15-hisilicon-encoder-vulnerabilities/
【8】Android アプリ「ユニクロアプリ」にアクセス制限不備の脆弱性
情報源
Japan Vulnerability Note JVN#31864411
Android アプリ「ユニクロアプリ」における複数のアクセス制限不備の脆弱性
https://jvn.jp/jp/JVN31864411/
概要
株式会社ユニクロが提供する Android アプリ「ユニクロアプリ」には、アク
セス制限不備の脆弱性があります。結果として、遠隔の第三者が、当該製品を
経由し任意の Web サイトにアクセスする可能性があります。
対象となるバージョンは次のとおりです。
- Android アプリ「ユニクロアプリ」バージョン 7.3.3 およびそれ以前
この問題は、該当する製品を株式会社ユニクロが提供する修正済みのバージョン
に更新することで解決します。詳細は、株式会社ユニクロが提供する情報を参
照してください。
――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――
○「フィッシング対策セミナー 2020 (オンライン)」開催のお知らせ
フィッシング対策協議会は、増加が続くフィッシング詐欺の対策として、特に
事業者側の効果的な対策促進を目的とした「フィッシング対策セミナー 2020
(オンライン)」を開催します。本セミナーでは、フィッシング詐欺に関連す
る法執行機関、金融機関、学術機関、セキュリティ対策事業者から有識者を招
き、フィッシングの最新の傾向とその対応策などを紹介します。
開催日程:2020年11月6日 (金) 10:00 - 15:15 (受付開始は9:30から)
また、参加費は無料ですが、事前に参加申込みが必要となります。申込みの締
切は 2020年10月29日 (木) 17:00 までです。満席になり次第、受付終了とさ
せていただきますので、ご了承ください。詳細は、フィッシング対策協議会が
提供する情報を参照してください。
参考文献 (日本語)
フィッシング対策協議会
フィッシング対策セミナー 2020(オンライン)開催のご案内
https://www.antiphishing.jp/news/event/antiphishing_seminar2020.html
フィッシング対策協議会
フィッシング対策セミナー 2020(オンライン) お申込みフォーム
https://formserver.jpcert.or.jp/index.php/377574?lang=ja
コメント