ミニ・いんふぉめーしょん

目 次

【1】OpenSSLに複数の脆弱性
【2】Adobe ColdFusionに任意のコード実行の脆弱性
【3】複数のMozilla製品に脆弱性
【4】複数のCisco製品に脆弱性
【5】複数のApple製品に脆弱性
【6】UNIVERGE AspireシリーズPBXにサービス運用妨害（DoS）の脆弱性
【7】Sambaに複数の脆弱性
【8】baserCMSに複数の脆弱性
【今週のひとくちメモ】JPCERT/CC Eyes「日本の組織を狙った攻撃グループLazarusによる攻撃オペレーション」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr211301.html
https://www.jpcert.or.jp/wr/2021/wr211301.xml
============================================================================

【1】OpenSSLに複数の脆弱性

情報源
CISA Current Activity
OpenSSL Releases Security Update
https://us-cert.cisa.gov/ncas/current-activity/2021/03/26/openssl-releases-security-update

Japan Vulnerability Notes JVNVU#92126369
OpenSSL に複数の脆弱性
https://jvn.jp/vu/JVNVU92126369/

概要
OpenSSL Projectが提供するOpenSSLには、複数の脆弱性があります。結果とし
て、第三者がサービス運用妨害（DoS）攻撃を行うなどの可能性があります。

対象となるバージョンは次のとおりです。

- OpenSSL 1.1.1kより前のバージョン

この問題は、OpenSSLをOpenSSL Projectが提供する修正済みのバージョンに更
新することで解決します。詳細はOpenSSL Projectが提供する情報を参照して
ください。

関連文書 (日本語)
JPCERT/CC 注意喚起
OpenSSLの脆弱性（CVE-2021-3450、CVE-2021-3449）に関する注意喚起
https://www.jpcert.or.jp/at/2021/at210015.html

関連文書 (英語)
OpenSSL Project
OpenSSL Security Advisory [25 March 2021]
https://www.openssl.org/news/secadv/20210325.txt

Cisco
Multiple Vulnerabilities in OpenSSL Affecting Cisco Products: March 2021
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-openssl-2021-GHY28dJd

【2】Adobe ColdFusionに任意のコード実行の脆弱性

情報源
CISA Current Activity
Adobe Releases Security Updates for ColdFusion
https://us-cert.cisa.gov/ncas/current-activity/2021/03/23/adobe-releases-security-updates-coldfusion

概要
Adobe ColdFusionには、脆弱性があります。結果として、第三者が任意のコー
ドを実行する可能性があります。

対象となるバージョンは次のとおりです。

- Adobe ColdFusion 2021
- Adobe ColdFusion 2018
- Adobe ColdFusion 2016

この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Adobe ColdFusionに関するアップデート（APSB21-16）について
https://www.jpcert.or.jp/newsflash/2021032301.html

関連文書 (英語)
アドビ
Security updates available for Adobe ColdFusion | APSB21-16
https://helpx.adobe.com/security/products/coldfusion/apsb21-16.html

【3】複数のMozilla製品に脆弱性

情報源
CISA Current Activity
Mozilla Releases Security Updates for Firefox, Firefox ESR, and Thunderbird
https://us-cert.cisa.gov/ncas/current-activity/2021/03/24/mozilla-releases-security-updates-firefox-firefox-esr-and

概要
複数のMozilla製品には、脆弱性があります。結果として、遠隔の第三者が任
意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 87より前のバージョン
- Mozilla Firefox ESR 78.9より前のバージョン
- Mozilla Thunderbird 78.9より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)
Mozilla
Security Vulnerabilities fixed in Firefox 87
https://www.mozilla.org/en-US/security/advisories/mfsa2021-10/

Mozilla
Security Vulnerabilities fixed in Firefox ESR 78.9
https://www.mozilla.org/en-US/security/advisories/mfsa2021-11/

Mozilla
Security Vulnerabilities fixed in Thunderbird 78.9
https://www.mozilla.org/en-US/security/advisories/mfsa2021-12/

【4】複数のCisco製品に脆弱性

情報源
CISA Current Activity
Cisco Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/03/25/cisco-releases-security-updates

概要
複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はCiscoが提供するアドバイザリ
情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)
Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

【5】複数のApple製品に脆弱性

情報源
CISA Current Activity
Apple Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/03/26/apple-releases-security-updates

概要
複数のApple製品には、脆弱性があります。結果として、第三者がユニバーサ
ルクロスサイトスクリプティング攻撃を実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- watchOS 7.3.3より前のバージョン
- iOS 14.4.2より前のバージョン
- iOS 12.5.2より前のバージョン
- iPadOS 14.4.2より前のバージョン

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
複数のApple製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2021032901.html

関連文書 (英語)
Apple
About the security content of watchOS 7.3.3
https://support.apple.com/en-us/HT212258

Apple
About the security content of iOS 12.5.2
https://support.apple.com/en-us/HT212257

Apple
About the security content of iOS 14.4.2 and iPadOS 14.4.2
https://support.apple.com/en-us/HT212256

【6】UNIVERGE AspireシリーズPBXにサービス運用妨害（DoS）の脆弱性

情報源
Japan Vulnerability Notes JVN#12737530
UNIVERGE Aspire シリーズ PBX におけるサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/jp/JVN12737530/

概要
NECプラットフォームズ株式会社が提供するUNIVERGE AspireシリーズPBXには
脆弱性があります。結果として、該当製品のユーザー権限を持つ第三者がサー
ビス運用妨害（DoS）攻撃を行う可能性があります。

対象となる製品およびバージョンは次のとおりです。

- UNIVERGE Aspire WX 1.00から3.51までのバージョン
- UNIVERGE Aspire UX 1.00から9.70までのバージョン
- UNIVERGE SV9100 1.00から10.70までのバージョン
- SL2100 1.00から3.00までのバージョン

この問題は、該当する製品をNECプラットフォームズ株式会社が提供する修正
済みのバージョンに更新することで解決します。詳細は、NECプラットフォー
ムズ株式会社が提供する情報を参照してください。

関連文書 (日本語)
NECプラットフォームズ株式会社
リモート保守に関する脆弱性について: Aspireシリーズ
https://www.necplatforms.co.jp/product/keytelphone/info/210322.html

関連文書 (英語)
NECプラットフォームズ株式会社
NEC Security Advisory: Vulnerabilities of UNIVERGE Communication Products for SMB
https://www.necplatforms.co.jp/press/files/SVSLSecurityAdvisoryR1.0_20210322.pdf

【7】Sambaに複数の脆弱性

情報源
CISA Current Activity
Samba Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/03/25/samba-releases-security-updates

概要
Sambaには、複数の脆弱性があります。結果として、遠隔の第三者が
Samba AD DC LDAPサーバーをクラッシュする可能性があります。

対象となるバージョンは次のとおりです。

- Samba 4.14.2より前のバージョン
- Samba 4.13.7より前のバージョン
- Samba 4.12.14より前のバージョン

この問題は、SambaをThe Samba Teamが提供する修正済みのバージョンに更新
することで解決します。詳細は、The Samba Teamが提供する情報を参照してく
ださい。

関連文書 (英語)
The Samba Team
Heap corruption via crafted DN strings
https://www.samba.org/samba/security/CVE-2020-27840.html

The Samba Team
Out of bounds read in AD DC LDAP server
https://www.samba.org/samba/security/CVE-2021-20277.html

【8】baserCMSに複数の脆弱性

情報源
Japan Vulnerability Notes JVN#64869876
baserCMS における複数の脆弱性
https://jvn.jp/jp/JVN64869876/

概要
baserCMSユーザー会が提供するbaserCMSには、複数の脆弱性があります。結果
として、管理者権限を持つ遠隔の第三者が、任意のOSコマンドを実行するなど
の可能性があります。

対象となるバージョンは次のとおりです。

- baserCMS 4.4.5より前のバージョン

この問題は、該当する製品をbaserCMSユーザー会が提供する修正済みのバージョン
に更新することで解決します。詳細は、baserCMSユーザー会が提供する情報を
参照してください。

関連文書 (日本語)
baserCMSユーザー会
2021/03/25 JavaScript 入力制限不備をはじめとする複数の脆弱性
https://basercms.net/security/JVN64869876

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○JPCERT/CC Eyes「日本の組織を狙った攻撃グループLazarusによる攻撃オペレーション」を公開

2021年3月22日、JPCERT/CCは、公式ブログJPCERT/CC Eyesにて「日本の組織を
狙った攻撃グループLazarusによる攻撃オペレーション」を公開しました。本
記事では、国内で確認した攻撃グループLazarusの攻撃オペレーションで使用
されたマルウェア（VSingle、ValeforBeta）、および侵入したネットワーク内
部で使用したツールを紹介しています。

参考文献 (日本語)
JPCERT/CC
日本の組織を狙った攻撃グループLazarusによる攻撃オペレーション
https://blogs.jpcert.or.jp/ja/2021/03/Lazarus_malware3.html

目 次

【1】Google Chromeに複数の脆弱性
【2】サイボウズ Officeに複数の脆弱性
【3】Cisco Small Business RV132WおよびRV134Wに脆弱性
【4】WordPress用プラグインPaid Memberships ProにSQLインジェクションの脆弱性
【5】富士ゼロックス製複合機およびプリンターにサービス運用妨害（DoS）の脆弱性
【今週のひとくちメモ】フィッシング対策協議会が「フィッシング詐欺のビジネスプロセス分類」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr211201.html
https://www.jpcert.or.jp/wr/2021/wr211201.xml
============================================================================

【1】Google Chromeに複数の脆弱性

情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2021/03/15/google-releases-security-updates-chrome

概要
Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 89.0.4389.90より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2021/03/stable-channel-update-for-desktop_12.html

【2】サイボウズ Officeに複数の脆弱性

情報源
Japan Vulnerability Notes JVN#45797538
サイボウズ Office に複数の脆弱性
https://jvn.jp/jp/JVN45797538/

概要
サイボウズ株式会社が提供するサイボウズ Officeには、複数の脆弱性があり
ます。結果として、当該製品にログイン可能なユーザーが、情報を窃取したり、
改ざんしたりするなどの可能性があります。

対象となるバージョンは次のとおりです。

- サイボウズ Office 10.0.0から10.8.4までのバージョン

この問題は、サイボウズ Officeを開発者が提供する修正済みのバージョンに
更新することで解決します。詳細は、開発者が提供する情報を参照してくださ
い。

関連文書 (日本語)
サイボウズ株式会社
サイボウズ Office 10 脆弱性に関するお知らせ
https://cs.cybozu.co.jp/2021/007306.html

【3】Cisco Small Business RV132WおよびRV134Wに脆弱性

情報源
CISA Current Activity
Cisco Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/03/18/cisco-releases-security-updates

概要
Cisco Small Business RV132WおよびRV134WのWebベース管理インタフェースに
は、脆弱性があります。結果として、遠隔の第三者が、任意のコマンドを実行
したり、サービス運用妨害（DoS）攻撃を行ったりする可能性があります。

対象となるバージョンは次のとおりです。

- RV132W ADSL2+ Wireless-N VPN Routers ファームウェア 1.0.1.15より前のバージョン
- RV134W VDSL2 Wireless-AC VPN Routers ファームウェア 1.0.1.21より前のバージョン

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)
Cisco
Cisco Small Business RV132W and RV134W Routers Management Interface Remote Command Execution and Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv-132w134w-overflow-Pptt4H2p

【4】WordPress用プラグインPaid Memberships ProにSQLインジェクションの脆弱性

情報源
Japan Vulnerability Notes JVN#08191557
WordPress 用プラグイン Paid Memberships Pro における SQL インジェクションの脆弱性
https://jvn.jp/jp/JVN08191557/

概要
WordPress用プラグインPaid Memberships Proには、SQLインジェクションの脆
弱性があります。結果として、遠隔の第三者が、情報を窃取したり、改ざんし
たりする可能性があります。

対象となるバージョンは次のとおりです。

- Paid Memberships Pro version 2.5.6より前のバージョン

この問題は、Paid Memberships Proを開発者が提供する修正済みのバージョン
に更新することで解決します。詳細は、開発者が提供する情報を参照してくだ
さい。

関連文書 (英語)
Stranger Studios
PMPro Update 2.5.6
https://www.paidmembershipspro.com/pmpro-update-2-5-6/

Stranger Studios
Paid Memberships Pro
https://wordpress.org/plugins/paid-memberships-pro/

【5】富士ゼロックス製複合機およびプリンターにサービス運用妨害（DoS）の脆弱性

情報源
Japan Vulnerability Notes JVN#37607293
富士ゼロックス製複合機およびプリンターにおけるサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/jp/JVN37607293/

概要
富士ゼロックス製複合機およびプリンターには、脆弱性があります。結果とし
て、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となる製品は、多岐に渡ります。詳細は、富士ゼロックス株式会社が提供
する情報を参照してください。

この問題は、該当する製品を富士ゼロックス株式会社が提供する修正済みのバー
ジョンに更新することで解決します。詳細は、富士ゼロックス株式会社が提供
する情報を参照してください。

関連文書 (日本語)
富士ゼロックス株式会社
弊社複合機・プリンターのサービス運用妨害(DoS)の脆弱性に関するお知らせ
https://www.fujixerox.co.jp/company/news/notice/2021/0319_announce.html

目 次

【1】複数のマイクロソフト製品に脆弱性
【2】複数のF5 Networks製品に脆弱性
【3】複数のSAP製品に脆弱性
【4】複数のApple製品に脆弱性
【5】複数のアドビ製品に脆弱性
【6】MagicConnectクライアントプログラムのインストーラにDLL読み込みに関する脆弱性
【7】株式会社エム・システム技研製DL8に複数の脆弱性
【8】GROWIに複数の脆弱性
【今週のひとくちメモ】日本シーサート協議会が「FIRST CSIRT Services Framework v2.1 日本語版」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr211101.html
https://www.jpcert.or.jp/wr/2021/wr211101.xml
============================================================================

【1】複数のマイクロソフト製品に脆弱性

情報源
CISA Current Activity
Microsoft Releases March 2021 Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/03/10/microsoft-releases-march-2021-security-updates

概要
複数のマイクロソフト製品には、脆弱性があります。結果として、遠隔の第三
者が任意のコードを実行するなどの可能性があります。

対象となる製品は、多岐に渡ります。詳細はマイクロソフトが提供するアドバ
イザリ情報を参照してください。

この問題は、Microsoft Updateなどを用いて、更新プログラムを適用すること
で解決します。詳細は、マイクロソフトが提供する情報を参照してください。

関連文書 (日本語)
マイクロソフト株式会社
2021 年 3 月のセキュリティ更新プログラム
https://msrc.microsoft.com/update-guide/releaseNote/2021-Mar

JPCERT/CC 注意喚起
2021年3月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2021/at210013.html

【2】複数のF5 Networks製品に脆弱性

情報源
CISA Current Activity
F5 Security Advisory for RCE Vulnerabilities in BIG-IP, BIG-IQ
https://us-cert.cisa.gov/ncas/current-activity/2021/03/10/f5-security-advisory-rce-vulnerabilities-big-ip-big-iq

概要
複数のF5 Networks製品には、脆弱性があります。結果として、遠隔の第三者
が任意のコマンドを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- BIG-IP(LTM, AAM, Advanced WAF, AFM, Analytics, APM, ASM, DDHD, DNS, FPS, GTM, Link Controller, PEM, SSLO)
- 16.0.0から16.0.1までのバージョン
- 15.0.0から15.1.2までのバージョン
- 14.1.0から14.1.3.1までのバージョン
- 13.1.0から13.1.3.6までのバージョン
- 12.1.0から12.1.5.2までのバージョン
- 11.6.1から11.6.5.2までのバージョン
- BIG-IP APM Clients
- 7.2.1
- 7.1.5から7.1.9までのバージョン
- BIG-IQ Centralized Management
- 7.1.0から7.1.0.2までのバージョン
- 7.0.0から7.0.0.1までのバージョン
- 6.0.0から6.1.0までのバージョン

この問題は、該当する製品をF5 Networksが提供する修正済みのバージョンに
更新することで解決します。詳細は、F5 Networksが提供する情報を参照して
ください。

関連文書 (英語)
F5 Networks
K02566623: Overview of F5 vulnerabilities (March 2021)
https://support.f5.com/csp/article/K02566623

【3】複数のSAP製品に脆弱性

情報源
CISA Current Activity
SAP Releases March 2021 Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/03/09/sap-releases-march-2021-security-updates

概要
複数のSAP製品には、脆弱性があります。結果として、第三者が権限昇格する
などの可能性があります。

対象となる製品は、多岐に渡ります。詳細はSAPが提供するアドバイザリ情報
を参照してください。

この問題は、該当する製品をSAPが提供する修正済みのバージョンに更新する
ことで解決します。詳細は、SAPが提供する情報を参照してください。

関連文書 (英語)
SAP
SAP Security Patch Day March 2021
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=571343107

【4】複数のApple製品に脆弱性

情報源
CISA Current Activity
Apple Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/03/09/apple-releases-security-updates

概要
複数のApple製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Safari 14.0.3より前のバージョン
- macOS Big Sur 11.2.3より前のバージョン
- watchOS 7.3.2より前のバージョン
- iOS 14.4.1より前のバージョン
- iPadOS 14.4.1より前のバージョン

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
複数のApple製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2021030901.html

関連文書 (英語)
Apple
About the security content of macOS Big Sur 11.2.3
https://support.apple.com/en-us/HT212220

Apple
About the security content of iOS 14.4.1 and iPadOS 14.4.1
https://support.apple.com/en-us/HT212221

Apple
About the security content of watchOS 7.3.2
https://support.apple.com/en-us/HT212222

Apple
About the security content of Safari 14.0.3
https://support.apple.com/en-us/HT212223

【5】複数のアドビ製品に脆弱性

情報源
CISA Current Activity
Adobe Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/03/09/adobe-releases-security-updates

概要
複数のアドビ製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Adobe Framemaker
- Adobe Photoshop 2020
- Adobe Photoshop 2021
- Adobe Creative Cloud Desktop Application
- Adobe Connect
- Adobe Animate

この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
複数のアドビ製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2021031001.html

関連文書 (英語)
アドビ
Security Updates Available for Adobe Framemaker | APSB21-14
https://helpx.adobe.com/security/products/framemaker/apsb21-14.html

アドビ
Security updates available for Adobe Photoshop | APSB21-17
https://helpx.adobe.com/security/products/photoshop/apsb21-17.html

アドビ
Security update available for Adobe Creative Cloud Desktop Application | APSB21-18
https://helpx.adobe.com/security/products/creative-cloud/apsb21-18.html

アドビ
Security updates available for Adobe Connect | APSB21-19
https://helpx.adobe.com/security/products/connect/apsb21-19.html

アドビ
Security updates available for Adobe Animate | APSB21-21
https://helpx.adobe.com/security/products/animate/apsb21-21.html

【6】MagicConnectクライアントプログラムのインストーラにDLL読み込みに関する脆弱性

情報源
Japan Vulnerability Notes JVN#18056666
MagicConnect クライアントプログラムのインストーラにおける DLL 読み込みに関する脆弱性
https://jvn.jp/jp/JVN18056666/

概要
NTTテクノクロス株式会社が提供するMagicConnectクライアントプログラムの
インストーラには、DLL読み込みに関する脆弱性が存在します。結果として第
三者がインストーラの実行権限で任意のコードを実行する可能性があります。

対象となるバージョンは以下のとおりです。

- MagicConnectクライアントプログラムの、2021年3月1日より前に配布されたインストーラ

この問題は、NTTテクノクロス株式会社が提供する修正済みのインストーラを
利用することで解決します。詳細は、NTTテクノクロス株式会社が提供する情
報を参照してください。

関連文書 (日本語)
NTTテクノクロス株式会社
クライアントアプリケーション インストーラを更新しました（不具合内容の詳細報告）
https://www.magicconnect.net/information/202103110900-2

【7】株式会社エム・システム技研製DL8に複数の脆弱性

情報源
Japan Vulnerability Notes JVN#47497535
株式会社エム・システム技研製 DL8 における複数の脆弱性
https://jvn.jp/jp/JVN47497535/

概要
株式会社エム・システム技研が提供するDL8には複数の脆弱性が存在します。
結果として、簡易Webインタフェースにログイン可能な第三者がサービス運用
妨害（DoS）攻撃を行う可能性があります。

対象となるバージョンは以下のとおりです。

- タイプA (DL8-A) Ver3.0 より前のバージョン
- タイプB (DL8-B) Ver3.0 より前のバージョン
- タイプC (DL8-C) Ver3.0 より前のバージョン
- タイプD (DL8-D) Ver3.0 より前のバージョン
- タイプE (DL8-E) Ver3.0 より前のバージョン

この問題は、株式会社エム・システム技研が提供する修正済みのファームウェ
アに更新することで解決します。詳細は、株式会社エム・システム技研が提供
する情報を参照してください。

関連文書 (日本語)
株式会社エム・システム技研
DL8Updater：データマル ファームウェアアップデータ
https://www.m-system.co.jp/kaisetu/dl_dl8updaterJ.html

【8】GROWIに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#94889258
GROWI における複数の脆弱性
https://jvn.jp/vu/JVNVU94889258/

Japan Vulnerability Notes JVN#86438134
GROWI における複数のクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN86438134

概要
株式会社WESEEKが提供するGROWIには、複数の脆弱性が存在します。結果とし
て、管理者権限を取得した遠隔の第三者が任意のコードを実行するなどの可能
性があります。

対象となるバージョンは次のとおりです。

- GROWI v4.2.2およびそれ以前
- GROWI v4.2.0からv4.2.7までのバージョン (v4.2系)

この問題は、該当する製品を株式会社WESEEKが提供する修正済みのバージョン
に更新することで解決します。詳細は、株式会社WESEEKが提供する情報を参照
してください。

関連文書 (日本語)
株式会社WESEEK
GROWI 脆弱性対応のお知らせ (JVN#94889258)
https://weseek.co.jp/security/2021/03/08/vulnerability/growi-prevent-multiple-xss/

株式会社WESEEK
GROWI 脆弱性対応のお知らせ (JVN#86438134)
https://weseek.co.jp/security/2021/03/09/vulnerability/growi-prevent-xss5/

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○日本シーサート協議会が「FIRST CSIRT Services Framework v2.1 日本語版」を公開

日本シーサート協議会は、FIRSTのEducation Advisory Boardがまとめた「CSIRT
が提供するサービスの一覧」の最新版の日本語訳を2021年3月10日に公開しま
した。本資料はCSIRTの役務(サービス)を体系立てて一覧化しています。各組
織のCSIRTが提供するサービスの改善等に役立ててください。

参考文献 (日本語)
日本シーサート協議会
FIRST CSIRT Services Framework v2.1 日本語版
https://www.nca.gr.jp/ttc/first_framework2_1.html

 目 次

【1】Microsoft Exchange Serverに複数の脆弱性
【2】Apache Tomcatに複数の脆弱性
【3】Google Chromeに複数の脆弱性
【4】複数のCisco製品に脆弱性
【5】VMWareのView Plannerにリモートコード実行の脆弱性
【6】GitLabに複数の脆弱性
【7】ウイルスバスター クラウド (Windows版) にコードインジェクションの脆弱性
【8】E START製品にDLL読み込みに関する脆弱性
【今週のひとくちメモ】警察庁が「令和２年におけるサイバー空間をめぐる脅威の情勢等について」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr211001.html
https://www.jpcert.or.jp/wr/2021/wr211001.xml
============================================================================

【1】Microsoft Exchange Serverに複数の脆弱性

情報源
US-CERT Current Activity
Microsoft Releases Alternative Mitigations for Exchange Server Vulnerabilities
https://us-cert.cisa.gov/ncas/current-activity/2021/03/05/microsoft-releases-alternative-mitigations-exchange-server

概要
Microsoft Exchangeには、複数の脆弱性があります。結果として、遠隔の第三
者がSYSTEM権限で任意のコードを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- Microsoft Exchange Server 2019
- Microsoft Exchange Server 2016
- Microsoft Exchange Server 2013

※なお、すでにサポートが終了しているMicrosoft Exchange Server 2010につ
いてもアップデートが提供されています。

この問題は、Microsoft Exchange ServerをMicrosoftが提供する修正済みのバー
ジョンに更新することで解決します。詳細は、Microsoftが提供する情報を参
照してください。

関連文書 (日本語)
JPCERT/CC 注意喚起
Microsoft Exchange Serverの複数の脆弱性に関する注意喚起
https://www.jpcert.or.jp/at/2021/at210012.html

Microsoft
Exchange Server のセキュリティ更新プログラムの公開 (定例外)
https://msrc-blog.microsoft.com/2021/03/02/20210303_exchangeoob/

【2】Apache Tomcatに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#97014415
Apache Tomcat に対するアップデート
https://jvn.jp/vu/JVNVU97014415/

概要
Apache Tomcatには、複数の脆弱性があります。結果として、遠隔の第三者が
任意のバイトコードを実行するなどの可能性があります。

対象となる製品は以下のとおりです。

- Apache Tomcat 10.0.0-M1から10.0.0
- Apache Tomcat 9.0.0.M1から9.0.41
- Apache Tomcat 8.5.0から8.5.61
- Apache Tomcat 7.0.0から7.0.107

この問題は、Apache Tomcatを開発者が提供する修正済みのバージョンに更新
することで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC 注意喚起
Apache Tomcat の脆弱性 (CVE-2020-9484) に関する注意喚起
https://www.jpcert.or.jp/at/2020/at200024.html

関連文書 (英語)
Apache Software Foundation
CVE-2021-25329 Apache Tomcat Incomplete fix for CVE-2020-9484 (RCE via session persistence)
https://lists.apache.org/thread.html/rfe62fbf9d4c314f166fe8c668e50e5d9dd882a99447f26f0367474bf%40%3Cannounce.tomcat.apache.org%3E

Apache Software Foundation
CVE-2021-25122 Apache Tomcat h2c request mix-up
https://lists.apache.org/thread.html/r7b95bc248603360501f18c8eb03bb6001ec0ee3296205b34b07105b7%40%3Cannounce.tomcat.apache.org%3E

Apache Software Foundation
Fixed in Apache Tomcat 10.0.2
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.0.2

Apache Software Foundation
Fixed in Apache Tomcat 9.0.43
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.43

Apache Software Foundation
Fixed in Apache Tomcat 8.5.63
https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.63

Apache Software Foundation
Fixed in Apache Tomcat 7.0.108
https://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.108

【3】Google Chromeに複数の脆弱性

情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2021/03/03/google-releases-security-updates-chrome

概要
Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 89.0.4389.72より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2021/03/stable-channel-update-for-desktop.html

【4】複数のCisco製品に脆弱性

情報源
CISA Current Activity
Cisco Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/03/04/cisco-releases-security-updates

概要
複数のCisco製品には、脆弱性があります。結果として、隣接の第三者がサー
ビス運用妨害（DoS）攻撃を行う可能性があります。

影響度Highの脆弱性情報に記載されている製品は次のとおりです。

- 1000 Series Integrated Services Routers (ISRs)
- 4000 Series Integrated Services Routers (ISRs)
- Catalyst 8000V Edge Software
- Catalyst 8200 Series Edge Platforms
- Catalyst 8300 Series Edge Platforms
- Cloud Services Router 1000V Series
- Integrated Services Virtual Router (ISRv)

※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、
影響度Mediumの複数の脆弱性情報が公開されています。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)
Cisco
Multiple Cisco Products Snort Ethernet Frame Decoder Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-snort-ethernet-dos-HGXgJH8n

【5】VMWareのView Plannerにリモートコード実行の脆弱性

情報源
CISA Current Activity
VMware Releases Security Update
https://us-cert.cisa.gov/ncas/current-activity/2021/03/04/vmware-releases-security-update

概要
View Plannerには、リモートコード実行の脆弱性があります。結果として、遠
隔の第三者が任意のコマンドを実行する可能性があります。

対象となるバージョンは次のとおりです。

- View Planner 4.6およびそれ以前

この問題は、該当する製品をVMwareが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、VMwareが提供する情報を参照してください。

関連文書 (英語)
VMware Security Advisories
VMSA-2021-0003
https://www.vmware.com/security/advisories/VMSA-2021-0003.html

【6】GitLabに複数の脆弱性

情報源
GitLab
GitLab Security Release: 13.9.2, 13.8.5 and 13.7.8
https://about.gitlab.com/releases/2021/03/04/security-release-gitlab-13-9-2-released/

概要
GitLabには、複数の脆弱性があります。結果として、遠隔の第三者がJWTトー
クンを窃取するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- GitLab Community EditionおよびEnterprise Edition 13.9.2より前の13.9系バージョン
- GitLab Community EditionおよびEnterprise Edition 13.8.5より前の13.8系バージョン
- GitLab Community EditionおよびEnterprise Edition 13.7.8より前の13.7系バージョン

なお、GitLabによると、上記に記載されていないバージョンも影響を受けると
のことです。

この問題は、該当する製品をGitLabが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、GitLabが提供する情報を参照してください。

【7】ウイルスバスター クラウド (Windows版) にコードインジェクションの脆弱性

情報源
Japan Vulnerability Notes JVNVU#99545969
トレンドマイクロ株式会社製ウイルスバスター クラウド (Windows 版) におけるコードインジェクションの脆弱性
https://jvn.jp/vu/JVNVU99545969/

概要
トレンドマイクロ株式会社が提供するウイルスバスター クラウド(Windows版)
には、コードインジェクションの脆弱性があります。結果として、管理者権限
を取得した第三者がプログラムのパスワード保護やシステムの保護を無効にす
る可能性があります。

対象となるバージョンは次のとおりです。

- ウイルスバスター クラウド (Windows版) バージョン17.0
- ウイルスバスター クラウド (Windows版) バージョン16.0

この問題は、ウイルスバスター クラウドをトレンドマイクロ株式会社が提供
する修正済みのバージョンに更新することで解決します。詳細は、トレンドマ
イクロ株式会社が提供する情報を参照してください。

関連文書 (日本語)
トレンドマイクロ株式会社
アラート/アドバイザリ：ウイルスバスター クラウドの脆弱性について(CVE-2021-25251)
https://helpcenter.trendmicro.com/ja-jp/article/TMKA-10203

【8】E START製品にDLL読み込みに関する脆弱性

情報源
Japan Vulnerability Notes JVN#68418039
GMOインサイト製の E START 製品のインストーラにおける DLL 読み込みに関する脆弱性
https://jvn.jp/jp/JVN68418039/

概要
GMOインサイト株式会社が提供するE START製品のインストーラには、DLL読み
込みの脆弱性があります。結果として、第三者がインストーラを実行している
権限で、任意のコードを実行する可能性があります。

対象となるバージョンは次のとおりです。

- E STARTアプリ バージョン3.0.2.0およびそれ以前
- E STARTアップデートセンター バージョン2.0.8.0およびそれ以前

この問題は最新のインストーラを使用することで解決します。詳細はGMOイン
サイト株式会社が提供する情報を参照してください。

関連文書 (日本語)
GMOインサイト株式会社
弊社製品におけるNSISインストーラに起因する DLL 読み込みに関する脆弱性
https://www.gmo-insight.jp/info/2021/0305/4518

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○警察庁が「令和２年におけるサイバー空間をめぐる脅威の情勢等について」を公開

2021年3月4日、警察庁は「令和２年におけるサイバー空間をめぐる脅威の情勢
等について」を公開しました。この文書では、令和2年中におけるサイバー攻
撃やサイバー犯罪の情勢および今後の取組についてまとめられています。

サイバー攻撃の情勢では、ランサムウェアによる二重恐喝 (ダブルエクストー
ション)、スマートフォン決済サービスに係る不正振替事犯等を挙げています。
また、国内で検知したサイバー空間における探索行為等とみられるアクセスの
件数は増加傾向にあり、サイバー犯罪の検挙件数は、前年と比べて増加し、過
去最多を更新しているとのことです。

参考文献 (日本語)
警察庁
令和２年におけるサイバー空間をめぐる脅威の情勢等について
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R02_cyber_jousei.pdf

目 次

【1】複数のMozilla製品に脆弱性
【2】VMware vCenter Serverに複数の脆弱性
【3】複数のCisco製品に脆弱性
【4】Movable Typeに複数のクロスサイトスクリプティングの脆弱性
【今週のひとくちメモ】IPAが「コンピュータウイルス・不正アクセスの届出事例［2020年下半期（7月～12月）］」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr210901.html
https://www.jpcert.or.jp/wr/2021/wr210901.xml
============================================================================

【1】複数のMozilla製品に脆弱性

情報源
CISA Current Activity
Mozilla Releases Security Updates for Thunderbird, Firefox ESR, and Firefox
https://us-cert.cisa.gov/ncas/current-activity/2021/02/24/mozilla-releases-security-updates-thunderbird-firefox-esr-and

概要
複数のMozilla製品には、脆弱性があります。結果として、遠隔の第三者が任
意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 86より前のバージョン
- Mozilla Firefox ESR 78.8より前のバージョン
- Mozilla Thunderbird 78.8より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)
Mozilla
Security Vulnerabilities fixed in Firefox 86
https://www.mozilla.org/en-US/security/advisories/mfsa2021-07/

Mozilla
Security Vulnerabilities fixed in Firefox ESR 78.8
https://www.mozilla.org/en-US/security/advisories/mfsa2021-08/

Mozilla
Security Vulnerabilities fixed in Thunderbird 78.8
https://www.mozilla.org/en-US/security/advisories/mfsa2021-09/

【2】VMware vCenter Serverに複数の脆弱性

情報源
CISA Current Activity
VMware Releases Multiple Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/02/24/vmware-releases-multiple-security-updates

概要
VMware vCenter Serverには、複数の脆弱性があります。結果として、遠隔の
第三者が任意のファイルをアップロードしたり、SYSTEM権限で任意のコマンド
を実行したりするなどの可能性があります。

対象となるバージョンは以下のとおりです。

- vCenter Server 7.0系 7.0 U1cより前のバージョン
- vCenter Server 6.7系 6.7 U3lより前のバージョン
- vCenter Server 6.5系 6.5 U3nより前のバージョン
- Cloud Foundation (vCenter Server) 4系 4.2より前のバージョン
- Cloud Foundation (vCenter Server) 3系 3.10.1.2より前のバージョン

この問題は、VMware vCenter ServerをVMwareが提供する修正済みのバージョン
に更新することで解決します。詳細は、開発者が提供する情報を参照してくだ
さい。

関連文書 (日本語)
JPCERT/CC 注意喚起
VMware vCenter Serverの脆弱性（CVE-2021-21972）に関する注意喚起
https://www.jpcert.or.jp/at/2021/at210011.html

関連文書 (英語)
VMware Security Advisories
VMSA-2021-0002
https://www.vmware.com/security/advisories/VMSA-2021-0002.html

【3】複数のCisco製品に脆弱性

情報源
CISA Current Activity
Cisco Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/02/25/cisco-releases-security-updates

概要
複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者が認証
を回避し、任意のファイル書き換えを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はCiscoが提供するアドバイザリ
情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)
Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

【4】Movable Typeに複数のクロスサイトスクリプティングの脆弱性

情報源
Japan Vulnerability Notes JVN#66542874
Movable Type における複数のクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN66542874/

概要
Movable Typeには、複数のクロスサイトスクリプティングの脆弱性があります。
結果として、当該製品にログインしているユーザーのWebブラウザー上で、任
意のスクリプトを実行する可能性があります。

対象となるバージョンは以下のとおりです。

- Movable Type 7 r.4705およびそれ以前 (Movable Type 7系)
- Movable Type Advanced 7 r.4705およびそれ以前 (Movable Type Advanced 7系)
- Movable Type 6.7.5およびそれ以前 (Movable Type 6.7系)
- Movable Type Premium 1.39およびそれ以前
- Movable Type Premium Advanced 1.39およびそれ以前

この問題は、Movable Typeをシックス・アパート株式会社が提供する修正済み
のバージョンに更新することで解決します。詳細は、シックス・アパート株式
会社が提供する情報を参照してください。

関連文書 (日本語)
シックス・アパート株式会社
[重要] Movable Type 7 r.4706 / Movable Type 6.7.6 / Movable Type Premium 1.40 の提供を開始（セキュリティアップデート）
https://www.sixapart.jp/movabletype/news/2021/02/24-1100.html

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○IPAが「コンピュータウイルス・不正アクセスの届出事例［2020年下半期（7月～12月）］」を公開

2021年2月25日、情報処理推進機構（IPA）は、「コンピュータウイルス・不正
アクセスの届出事例［2020年下半期（7月～12月）］」を公開しました。
この資料では、IPAが一般利用者や企業・組織から受理したコンピュータウイ
ルス・不正アクセスに関する届出のうち、特筆すべき事例を紹介しています。
2020年下半期では、侵入経路が不明な身代金を要求する攻撃が複数見られ、脆
弱性の対策が不十分な機器やIPアドレスによるアクセス制限が不十分であった
ことが原因であった事例が多かったため、ウイルス対策、不正アクセス対策、
脆弱性対策といった基本的な対策ができているか確認することを呼びかけてい
ます。

参考文献 (日本語)
情報処理推進機構（IPA）
コンピュータウイルス・不正アクセスの届出事例［2020年下半期（7月～12月）］
https://www.ipa.go.jp/files/000088780.pdf