■07/11(日)～07/17(土) のセキュリティ関連情報
目 次
【1】複数のマイクロソフト製品に脆弱性
【2】複数のアドビ製品に脆弱性
【3】Google Chromeに複数の脆弱性
【4】複数のMozilla製品に脆弱性
【5】複数のVMware製品に脆弱性
【6】複数のCitrix製品に脆弱性
【7】複数のSAP製品に脆弱性
【8】SolarWinds Serv-Uにリモートコード実行の脆弱性
【9】複数のJuniper製品に脆弱性
【10】複数のIntel製品に脆弱性
【11】複数のCisco製品に脆弱性
【12】Access Managementに任意のコード実行の脆弱性
【13】Apache Tomcatに複数の脆弱性
【14】Kaseya VSAに複数の脆弱性
【15】複数のSonicWall製品を狙うランサムウェアキャンペーン
【16】InterScan Web Securityシリーズにクロスサイトスクリプティングの脆弱性
【17】光BBユニット E-WMTA2.3にクロスサイトリクエストフォージェリの脆弱性
【18】スマートフォンアプリ「Retty」に複数の脆弱性
【今週のひとくちメモ】ISMAP運営委員会が「ISMAP 管理基準マニュアル」を公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr212801.html
https://www.jpcert.or.jp/wr/2021/wr212801.xml
============================================================================
【1】複数のマイクロソフト製品に脆弱性
情報源
CISA Current Activity
Microsoft Releases July 2021 Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/07/13/microsoft-releases-july-2021-security-updates
概要
複数のマイクロソフト製品には、脆弱性があります。結果として、遠隔の第三
者が任意のコードを実行するなどの可能性があります。
対象となる製品は、多岐にわたります。詳細はマイクロソフトが提供するアド
バイザリ情報を参照してください。
この問題は、Microsoft Updateなどを用いて、更新プログラムを適用すること
で解決します。詳細は、マイクロソフトが提供する情報を参照してください。
関連文書 (日本語)
マイクロソフト株式会社
2021 年 7 月のセキュリティ更新プログラム
https://msrc.microsoft.com/update-guide/ja-JP/releaseNote/2021-Jul
JPCERT/CC 注意喚起
2021年7月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2021/at210031.html
【2】複数のアドビ製品に脆弱性
情報源
CISA Current Activity
Adobe Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2021/07/13/adobe-releases-security-updates-multiple-products
概要
複数のアドビ製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。
対象となる製品は次のとおりです。
- Adobe Dimension
- Adobe Illustrator
- Adobe Framemaker
- Adobe Acrobat and Reader
- Adobe Bridge
この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。
関連文書 (日本語)
JPCERT/CC 注意喚起
Adobe AcrobatおよびReaderの脆弱性（APSB21-51）に関する注意喚起
https://www.jpcert.or.jp/at/2021/at210030.html
JPCERT/CC CyberNewsFlash
複数のアドビ製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2021071401.html
アドビ
Dimension に関するセキュリティアップデート公開 | APSB21-40
https://helpx.adobe.com/jp/security/products/dimension/apsb21-40.html
アドビ
Adobe Illustrator に関するセキュリティアップデート公開 | APSB21-42
https://helpx.adobe.com/jp/security/products/illustrator/apsb21-42.html
アドビ
Adobe FrameMaker に関するセキュリティアップデート公開 | APSB21-45
https://helpx.adobe.com/jp/security/products/framemaker/apsb21-45.html
アドビ
Adobe Bridge に関するセキュリティアップデート公開 | APSB21-53
https://helpx.adobe.com/jp/security/products/bridge/apsb21-53.html
関連文書 (英語)
アドビ
Security update available for Adobe Acrobat and Reader | APSB21-51
https://helpx.adobe.com/security/products/acrobat/apsb21-51.html
【3】Google Chromeに複数の脆弱性
情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2021/07/16/google-releases-security-updates-chrome
概要
Google Chromeには、複数の脆弱性があります。
対象となるバージョンは次のとおりです。
- Google Chrome 91.0.4472.164より前のバージョン
この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。
関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2021/07/stable-channel-update-for-desktop.html
【4】複数のMozilla製品に脆弱性
情報源
CISA Current Activity
Mozilla Releases Security Updates for Firefox, Thunderbird
https://us-cert.cisa.gov/ncas/current-activity/2021/07/13/mozilla-releases-security-updates-firefox-thunderbird
概要
複数のMozilla製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。
対象となる製品およびバージョンは次のとおりです。
- Mozilla Firefox 90より前のバージョン
- Mozilla Firefox ESR 78.12より前のバージョン
- Mozilla Thunderbird 78.12より前のバージョン
この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。
関連文書 (英語)
Mozilla
Security Vulnerabilities fixed in Firefox 90
https://www.mozilla.org/en-US/security/advisories/mfsa2021-28/
Mozilla
Security Vulnerabilities fixed in Firefox ESR 78.12
https://www.mozilla.org/en-US/security/advisories/mfsa2021-29/
Mozilla
Security Vulnerabilities fixed in Thunderbird 78.12
https://www.mozilla.org/en-US/security/advisories/mfsa2021-30/
【5】複数のVMware製品に脆弱性
情報源
CISA Current Activity
VMware Releases Security Update
https://us-cert.cisa.gov/ncas/current-activity/2021/07/13/vmware-releases-security-update
概要
複数のVMware製品には、脆弱性があります。結果として、遠隔の第三者が、認
証を回避したり、サービス運用妨害（DoS）攻撃を行ったりするなどの可能性
があります。
対象となる製品およびバージョンは次のとおりです。
- VMware ESXi 7.0
- VMware ESXi 6.7
- VMware ESXi 6.5
- Cloud Foundation（ESXi）4系
- Cloud Foundation（ESXi）3系
- VMware ThinApp 5系
この問題は、VMwareが提供するパッチを適用することで解決します。パッチ未
提供の製品は、回避策を適用することで本脆弱性の影響を軽減できます。詳細
は、VMwareが提供する情報を参照してください。
関連文書 (英語)
VMware Security Advisories
VMSA-2021-0014
https://www.vmware.com/security/advisories/VMSA-2021-0014.html
VMware Security Advisories
VMSA-2021-0015
https://www.vmware.com/security/advisories/VMSA-2021-0015.html
【6】複数のCitrix製品に脆弱性
情報源
CISA Current Activity
Citrix Releases Security Updates for Virtual Apps and Desktops
https://us-cert.cisa.gov/ncas/current-activity/2021/07/13/citrix-releases-security-updates-virtual-apps-and-desktops
概要
複数のCitrix製品には、脆弱性があります。結果として、Citrix Profile
ManagementもしくはCitrix Profile ManagementWMIプラグインがインストール
されたWindows VDAのユーザーが、SYSTEM権限を取得する可能性があります。
対象となる製品およびバージョンは次のとおりです。
- Citrix Virtual Apps and Desktops 2106およびそれ以前
- Citrix Virtual Apps and Desktops 1912 LTSR CU3およびそれ以前
- Citrix XenApp / XenDesktop 7.15 LTSR CU7およびそれ以前
この問題は、Citrixが提供する修正済みのバージョンに更新することで解決し
ます。詳細は、Citrixが提供する情報を参照してください。
関連文書 (英語)
Citrix
Citrix Virtual Apps and Desktops Security Update
https://support.citrix.com/article/CTX319750
【7】複数のSAP製品に脆弱性
情報源
CISA Current Activity
SAP Releases July 2021 Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/07/13/sap-releases-july-2021-security-updates
概要
複数のSAP製品には、脆弱性があります。結果として、遠隔の第三者がサービ
ス運用妨害（DoS）攻撃を行うなどの可能性があります。
対象となる製品は、多岐にわたります。詳細はSAPが提供するアドバイザリ情
報を参照してください。
この問題は、該当する製品をSAPが提供する修正済みのバージョンに更新する
ことで解決します。詳細は、SAPが提供する情報を参照してください。
関連文書 (英語)
SAP
SAP Security Patch Day July 2021
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=580617506
【8】SolarWinds Serv-Uにリモートコード実行の脆弱性
情報源
CISA Current Activity
SolarWinds Releases Advisory for Serv-U Vulnerability
https://us-cert.cisa.gov/ncas/current-activity/2021/07/13/solarwinds-releases-advisory-serv-u-vulnerability
概要
SolarWindsが提供するServ-Uには、リモートコード実行の脆弱性があります。
結果として、遠隔の第三者が任意のコードを実行する可能性があります。
対象となるバージョンは次のとおりです。
- Serv-U 15.2.3 HF2より前のバージョン
この問題は、該当する製品をSolarWindsが提供する修正済みのバージョンに更
新することで解決します。詳細は、SolarWindsが提供する情報を参照してくだ
さい。
関連文書 (英語)
SolarWinds
Serv-U Remote Memory Escape Vulnerability
https://www.solarwinds.com/trust-center/security-advisories/cve-2021-35211
【9】複数のJuniper製品に脆弱性
情報源
CISA Current Activity
Juniper Networks Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2021/07/15/juniper-networks-releases-security-updates-multiple-products
概要
複数のJuniper製品には、脆弱性があります。結果として、第三者がサービス
運用妨害（DoS）攻撃を行うなどの可能性があります。
対象となる製品は、多岐にわたります。詳細はJuniperが提供するアドバイザ
リ情報を参照してください。
この問題は、該当する製品をJuniperが提供する修正済みのバージョンに更新
することで解決します。詳細は、Juniperが提供する情報を参照してください。
関連文書 (英語)
Juniper Networks
Security Advisories
https://kb.juniper.net/InfoCenter/index?page=content&channel=SECURITY_ADVISORIES
【10】複数のIntel製品に脆弱性
情報源
Japan Vulnerability Notes JVNVU#96708815
Intel製BIOSのテスト設計機能に権限昇格の脆弱性
https://jvn.jp/vu/JVNVU96708815/
概要
複数のIntel製品には脆弱性があります。結果として、ローカル環境からアク
セス可能な特権ユーザーが権限昇格する可能性があります。
対象となる製品は、多岐にわたります。詳細は、Intelが提供する情報を参照
してください。
関連文書 (英語)
Intel
Intel BSSA DFT Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00525.html
【11】複数のCisco製品に脆弱性
情報源
CISA Current Activity
Cisco Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/07/16/cisco-releases-security-updates
概要
複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者がサー
ビス運用妨害（DoS）攻撃を行う可能性があります。
対象となる製品は次のとおりです。
- Firepower 2100 Series
- Firepower NGFW Virtual
- Adaptive Security Virtual Appliance (ASAv)
この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。
関連文書 (英語)
Cisco
Cisco Adaptive Security Appliance Software Release 9.16.1 and Cisco Firepower Threat Defense Software Release 7.0.0 IPsec Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asa-ftd-ipsec-dos-TFKQbgWC
【12】Access Managementに任意のコード実行の脆弱性
情報源
CISA Current Activity
Critical ForgeRock Access Management Vulnerability
https://us-cert.cisa.gov/ncas/current-activity/2021/07/12/critical-forgerock-access-management-vulnerability
概要
ForgeRockが提供するAccess Managementには、脆弱性があります。結果として、
遠隔の第三者が任意のコードを実行する可能性があります。
対象となるバージョンは次のとおりです。
- Access Management（AM）6.5.3およびそれ以前の6.5系
- Access Management（AM）6.0.0系
また、サポートの終了したバージョンも本脆弱性の影響を受ける可能性がある
とのことです。
ForgeRockが提供する7系のバージョン以降では脆弱性が解消されています。詳
細は、ForgeRockが提供する情報を参照してください。
関連文書 (英語)
ForgeRock
AM Security Advisory #202104
https://backstage.forgerock.com/knowledge/kb/article/a47894244
【13】Apache Tomcatに複数の脆弱性
情報源
CISA Current Activity
Apache Releases Security Advisory for Tomcat
https://us-cert.cisa.gov/ncas/current-activity/2021/07/13/apache-releases-security-advisory-tomcat
Japan Vulnerability Notes JVNVU#91880022
Apache Tomcatにおける複数の脆弱性
https://jvn.jp/vu/JVNVU91880022/
概要
Apache Tomcatには、複数の脆弱性があります。結果として、遠隔の第三者が
サービス運用妨害（DoS）攻撃を行うなどの可能性があります。
対象となるバージョンは次のとおりです。
- Apache Tomcat 10.0.0-M1から10.0.6まで
- Apache Tomcat 9.0.0.M1から9.0.46まで
- Apache Tomcat 8.5.0から8.5.66まで
- Apache Tomcat 7.0.0から7.0.108まで
この問題は、該当する製品をThe Apache Software Foundationが提供する修正
済みのバージョンに更新することで解決します。詳細は、The Apache Software
Foundationが提供する情報を参照してください。
関連文書 (英語)
The Apache Software Foundation
Fixed in Apache Tomcat 10.0.7
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.0.7
The Apache Software Foundation
Fixed in Apache Tomcat 9.0.48
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.48
The Apache Software Foundation
Fixed in Apache Tomcat 8.5.68
https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.68
The Apache Software Foundation
Fixed in Apache Tomcat 7.0.109
https://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.109
【14】Kaseya VSAに複数の脆弱性
情報源
CISA Current Activity
Kaseya Provides Security Updates for VSA On-Premises Software Vulnerabilities
https://us-cert.cisa.gov/ncas/current-activity/2021/07/12/kaseya-provides-security-updates-vsa-premises-software
概要
Kaseya VSAには、複数の脆弱性があります。結果として、遠隔の第三者が、認
証情報を窃取したり、Webブラウザー上で任意のスクリプトを実行したりする
などの可能性があります。
対象となるバージョンは次のとおりです。
- Kaseya VSA 9.5.7aより前のバージョン
この問題は、該当する製品をKaseyaが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Kaseyaが提供する情報を参照してください。
関連文書 (英語)
Kaseya
Release Notes
https://helpdesk.kaseya.com/hc/en-gb/sections/360001193517-Release-Notes
【15】複数のSonicWall製品を狙うランサムウェアキャンペーン
情報源
CISA Current Activity
Ransomware Risk in Unpatched, EOL SonicWall SRA and SMA 8.x Products
https://us-cert.cisa.gov/ncas/current-activity/2021/07/15/ransomware-risk-unpatched-eol-sonicwall-sra-and-sma-8x-products
概要
複数のSonicWall製品の既知の脆弱性を狙ったランサムウェアキャンペーンが
確認されています。
対象となる製品は、多岐にわたります。詳細はSonicWallが提供するアドバイ
ザリ情報を参照してください。
該当する製品のうちサポート対象の製品はSonicWallが提供する修正済みのバー
ジョンに更新してください。EOL製品は代替品への置き換えを検討してくださ
い。
関連文書 (英語)
SonicWall
Urgent Security Notice: Critical Risk to Unpatched End-of-Life SRA & SMA 8.x Remote Access Devices
https://www.sonicwall.com/support/product-notification/urgent-security-notice-critical-risk-to-unpatched-end-of-life-sra-sma-8-x-remote-access-devices/210713105333210/
【16】InterScan Web Securityシリーズにクロスサイトスクリプティングの脆弱性
情報源
Japan Vulnerability Notes JVNVU#94115268
トレンドマイクロ製 InterScan Web Security シリーズにおけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/vu/JVNVU94115268/
概要
トレンドマイクロ株式会社が提供するInterScan Web Securityシリーズには、
クロスサイトスクリプティングの脆弱性があります。結果として、遠隔の第三
者が、当該製品が動作するWebブラウザー上で任意のスクリプトを実行する可
能性があります。
対象となるバージョンは次のとおりです。
- InterScan Web Security Virtual Appliance 6.5
- InterScan Web Security Suite 6.5 Linux版
この問題は、該当する製品をトレンドマイクロ株式会社が提供するパッチを適
用することで解決します。詳細は、トレンドマイクロ株式会社が提供する情報
を参照してください。
関連文書 (日本語)
トレンドマイクロ株式会社
アラート/アドバイザリ：InterScan Web Securityシリーズにおけるキャプティブポータル機能の脆弱性について
https://success.trendmicro.com/jp/solution/000286587
【17】光BBユニット E-WMTA2.3にクロスサイトリクエストフォージェリの脆弱性
情報源
Japan Vulnerability Notes JVN#34364599
光BBユニット E-WMTA2.3 におけるクロスサイトリクエストフォージェリの脆弱性
https://jvn.jp/jp/JVN34364599/
概要
ソフトバンク株式会社が提供する光BBユニット E-WMTA2.3には、クロスサイト
リクエストフォージェリの脆弱性があります。結果として、当該製品にログイ
ンした状態のユーザーが、細工されたページにアクセスした場合、意図しない
操作をさせられる可能性があります。
対象となる製品は次のとおりです。
- 光BBユニット E-WMTA2.3
この問題は、2020年12月にリリースされたファームウェアへのアップデートが
自動的に適用されることで解決します。詳細は、ソフトバンク株式会社が提供
する情報を参照してください。
関連文書 (日本語)
ソフトバンク株式会社
SoftBankからの情報
https://jvn.jp/jp/JVN34364599/397327/
【18】スマートフォンアプリ「Retty」に複数の脆弱性
情報源
Japan Vulnerability Notes JVN#26891339
スマートフォンアプリ「Retty」における複数の脆弱性
https://jvn.jp/jp/JVN26891339/
概要
スマートフォンアプリ「Retty」には、複数の脆弱性があります。結果として、
遠隔の第三者によって、当該製品を経由し任意のWebサイトにアクセスさせら
れたり、アプリ内のデータを解析され、外部サービスと連携するためのAPIキー
が不正に窃取されたりする可能性があります。
対象となるバージョンは次のとおりです。
- Androidアプリ「Retty」バージョン4.8.13より前のバージョン
- iOSアプリ「Retty」バージョン4.11.14より前のバージョン
この問題は、当該アプリをRetty株式会社が提供する修正済みのバージョンに
更新することで解決します。詳細は、Retty株式会社が提供する情報を参照し
てください。
関連文書 (日本語)
Retty株式会社
「Retty」のアプリで発生した不具合に関するお詫びと対応完了に関するご報告(最新版へのアップデートをお願いします)
https://drive.google.com/file/d/1PBYqIsK8QxEEhGJ4SEgpY7iZw3RTTDho/view
――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――
○ISMAP運営委員会が「ISMAP 管理基準マニュアル」を公開
2021年7月12日、ISMAP運営委員会は「ISMAP 管理基準マニュアル」を公開しま
した。当マニュアルは、クラウドサービス事業者がISMAPクラウドサービスリ
ストへの登録を行うにあたり、クラウドサービスに対するセキュリティ対策の
進め方および管理基準の理解の一助となるよう、「ISMAP 管理基準」の補足資
料の位置付けとして公開されました。
参考文献 (日本語)
ISMAP運営委員会
ISMAP 管理基準マニュアル
https://www.ismap.go.jp/sys_attachment.do?sys_id=90eee16c1b5d701013a78665cc4bcbf8
コメント