ミニ・いんふぉめーしょん

目 次

【1】BIND 9にアサーションエラーを引き起こす脆弱性
【2】Windows用iCloudに複数の脆弱性
【3】複数のアドビ製品に脆弱性
【4】Google Chromeに複数の脆弱性
【5】複数のMozilla製品に脆弱性
【6】複数のCisco製品に脆弱性
【7】トレンドマイクロ製品に不適切なパーミッションの割り当ての脆弱性
【8】D-LinkルータDSL-2750Uに複数の脆弱性
【9】Navigate CMSに複数の脆弱性
【10】Microsoft Windowsの印刷スプーラーにリモートコード実行の脆弱性
【11】Huawei製EchoLife HG8045QにOSコマンドインジェクションの脆弱性
【今週のひとくちメモ】IPAが「サイバーセキュリティ経営可視化ツールWeb版（V1.0版）」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr213301.html
https://www.jpcert.or.jp/wr/2021/wr213301.xml
============================================================================

【1】BIND 9にアサーションエラーを引き起こす脆弱性

情報源
CISA Current Activity
ISC Releases Security Advisory for BIND
https://us-cert.cisa.gov/ncas/current-activity/2021/08/19/isc-releases-security-advisory-bind

概要
ISC BIND 9には、応答速度制限（RRL）が有効な場合に、namedが有効なインター
フェースの最大転送単位（MTU）よりも大きい応答を行った際にアサーション
エラーを引き起こす脆弱性があります。脆弱性が悪用されると、遠隔の第三者
がnamedを異常終了させる可能性があります。

関連文書 (日本語)
JPCERT/CC 注意喚起
ISC BIND 9の脆弱性（CVE-2021-25218）に関する注意喚起
https://www.jpcert.or.jp/at/2021/at210035.html

Japan Vulnerability Notes JVNVU#94179101
ISC BIND における複数の脆弱性
https://jvn.jp/vu/JVNVU94179101/

株式会社日本レジストリサービス（JPRS）
（緊急）BIND 9.16.19の脆弱性（DNSサービスの停止）について（CVE-2021-25218）- BIND 9.16.19のみが対象、バージョンアップを強く推奨 -
https://jprs.jp/tech/security/2021-08-19-bind9-vuln-rrl.html

【2】Windows用iCloudに複数の脆弱性

情報源
CISA Current Activity
Apple Releases Security Update
https://us-cert.cisa.gov/ncas/current-activity/2021/08/17/apple-releases-security-update

概要
Windows用iCloudには、複数の脆弱性があります。結果として、第三者が任意
のコードを実行する可能性があります。

対象となる製品は次のとおりです。

- Windows用iCloud 12.5より前のバージョン

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Apple製品のアップデートについて（2021年8月）
https://www.jpcert.or.jp/newsflash/2021081103.html

Apple
Windows 用 iCloud 12.5 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212607

【3】複数のアドビ製品に脆弱性

情報源
CISA Current Activity
Adobe Releases Multiple Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/08/18/adobe-releases-multiple-security-updates

概要
複数のアドビ製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Adobe Captivate
- Adobe XMP Toolkit SDK
- Adobe Photoshop
- Adobe Bridge
- Adobe Media Encoder

この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
複数のアドビ製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2021081801.html

アドビ
Adobe Captivate に関するセキュリティアップデート公開 | APSB21-60
https://helpx.adobe.com/jp/security/products/captivate/apsb21-60.html

アドビ
Adobe XMP Toolkit SDK に関するセキュリティアップデート公開 | APSB21-65
https://helpx.adobe.com/jp/security/products/xmpcore/apsb21-65.html

アドビ
Adobe Photoshop に関するセキュリティアップデート公開 | APSB21-68
https://helpx.adobe.com/jp/security/products/photoshop/apsb21-68.html

アドビ
Adobe Bridge に関するセキュリティアップデート公開 | APSB21-69
https://helpx.adobe.com/jp/security/products/bridge/apsb21-69.html

アドビ
Adobe Media Encoder に関するセキュリティアップデート公開 | APSB21-70
https://helpx.adobe.com/jp/security/products/media-encoder/apsb21-70.html

【4】Google Chromeに複数の脆弱性

情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2021/08/18/google-releases-security-updates-chrome

概要
Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 92.0.4515.159より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2021/08/stable-channel-update-for-desktop.html

【5】複数のMozilla製品に脆弱性

情報源
CISA Current Activity
Mozilla Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/08/18/mozilla-releases-security-updates

概要
複数のMozilla製品には、脆弱性があります。結果として、HTTP/3の応答にお
いてヘッダーが分離する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox Firefox 91.0.1より前のバージョン
- Mozilla Thunderbird 91.0.1より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)
Mozilla
Security Vulnerabilities fixed in Firefox 91.0.1 and Thunderbird 91.0.1
https://www.mozilla.org/en-US/security/advisories/mfsa2021-37/

【6】複数のCisco製品に脆弱性

情報源
CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2021/08/19/cisco-releases-security-updates-multiple-products

概要
複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はCiscoが提供するアドバイザリ
情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)
Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

【7】トレンドマイクロ製品に不適切なパーミッションの割り当ての脆弱性

情報源
Japan Vulnerability Notes JVN#90091573
トレンドマイクロ製企業向けエンドポイントセキュリティ製品における不適切なパーミッションの割り当ての脆弱性
https://jvn.jp/vu/JVNVU90091573/

概要
トレンドマイクロ製企業向けエンドポイントセキュリティ製品には、不適切な
パーミッションの割り当ての脆弱性があります。結果として、第三者がエージェン
トのインストールされた環境で権限昇格をしたり、任意のファイルを削除した
りする可能性があります。

対象となる製品は次のとおりです。

- Apex One 2019
- Apex One SaaS
- ウイルスバスターコーポレートエディション XG SP1
- ウイルスバスタービジネスセキュリティ 10 SP1
- ウイルスバスタービジネスセキュリティ 9.5
- ウイルスバスタービジネスセキュリティサービス 6.7

この問題は、該当する製品をトレンドマイクロ株式会社が提供するパッチを適
用することで解決します。詳細は、トレンドマイクロ株式会社が提供する情報
を参照してください。

関連文書 (日本語)
トレンドマイクロ株式会社
アラート/アドバイザリ：Apex One、ウイルスバスター コーポレートエディション、ウイルスバスター ビジネスセキュリティ、ウイルスバスター ビジネスセキュリティサービスの不正確なパーミッション割り当てによるサービス拒否の脆弱性
https://success.trendmicro.com/jp/solution/000286875

【8】D-LinkルータDSL-2750Uに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#92088210
D-LINK ルータ DSL-2750U に複数の脆弱性
https://jvn.jp/vu/JVNVU92088210/

概要
D-LinkルータDSL-2750Uには、複数の脆弱性があります。結果として、第三者
が、当該デバイス上で任意のOSコマンドを実行する可能性があります。

対象となるバージョンは次のとおりです。

- ファームウェア vME1.16およびそれ以前のバージョン

この問題は、D-Linkが提供する情報をもとに、ファームウェアを更新すること
で解決します。詳細は、D-Linkが提供する情報を参照してください。

関連文書 (英語)
D-Link
(Non-US) DSL-2750U :: H/W Rev. Ax :: F/W vME_1.16 :: Unauthenticated Config access
https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10230

GitHub / HadiMed / firmware-analysis
DSL-2750U (firmware version 1.6)
https://github.com/HadiMed/firmware-analysis/blob/main/DSL-2750U%20(firmware%20version%201.6)/README.md

【9】Navigate CMSに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#95261759
Navigate CMS における複数の脆弱性
https://jvn.jp/vu/JVNVU95261759/

概要
Naviwebs S.C.が提供するNavigate CMSには、複数の脆弱性があります。結果
として、遠隔の第三者が、任意のスクリプトを実行したり、データベースに保
存された情報を窃取するなどの可能性があります。

対象となるバージョンは次のとおりです。

- Navigate CMS version 2.9.3およびそれ以前

この問題は、Naviwebs S.C.が提供する修正済みのバージョンに更新すること
で解決します。詳細は、Naviwebs S.C.が提供する情報を参照してください。

関連文書 (英語)
Naviwebs S.C.
Navigate CMS Update: 2.9.4
https://www.navigatecms.com/en/blog/development/navigate_cms_update_2_9_4

【10】Microsoft Windowsの印刷スプーラーにリモートコード実行の脆弱性

情報源
Japan Vulnerability Notes JVN#96414899
Microsoft Windowsの印刷スプーラーにリモートコード実行の脆弱性
https://jvn.jp/vu/JVNVU96414899/

概要
Microsoft WindowsのPrint Spoolerサービスには、特権的なファイル操作を不
適切に実施した場合、リモートコード実行が可能となる脆弱性があります。
2021年8月25日時点では、脆弱性を修正したバージョンはリリースされておら
ず、準備中とのことです。詳しくはMicrosoftが公開している情報を参照
ください。

関連文書 (日本語)
マイクロソフト株式会社
Windows Print Spooler Remote Code Execution Vulnerability
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36958

関連文書 (英語)
CERT Coordination Center
Microsoft Windows Print Spooler Point and Print allows installation of arbitrary queue-specific files
https://www.kb.cert.org/vuls/id/131152

【11】Huawei製EchoLife HG8045QにOSコマンドインジェクションの脆弱性

情報源
Japan Vulnerability Notes JVN#41646618
Huawei 製 EchoLife HG8045Q における OS コマンドインジェクションの脆弱性
https://jvn.jp/jp/JVN41646618/

概要
EchoLife HG8045Qには、OSコマンドインジェクションの脆弱性があります。結
果として、管理者権限を取得した第三者がOSコマンドを実行する可能性があり
ます。

対象となる製品は次のとおりです。

- EchoLife HG8045Q0

この問題は、開発者が提供する情報をもとに、ソフトウェアを更新することで
解決します。

目 次

【1】複数のマイクロソフト製品に脆弱性
【2】複数のアドビ製品に脆弱性
【3】複数のIntel製品に脆弱性
【4】複数のMozilla製品に脆弱性
【5】複数のSAP製品に脆弱性
【6】NicheStack TCP/IPスタックに複数の脆弱性
【7】複数のApple製品に脆弱性
【8】Citrix ShareFile storage zones controllerに脆弱性
【9】Drupalのサードパーティライブラリに脆弱性
【10】HTTP WebプロキシやWebアクセラレータのHTTP/2実装不備によるHTTPリクエストスマグリングの脆弱性
【11】WordPress用プラグインQuiz And Survey Masterにクロスサイトスクリプティングの脆弱性
【12】Ploneにオープンリダイレクトの脆弱性
【今週のひとくちメモ】JPCERT/CCがとりまとめた「サイバー攻撃被害情報の共有と公表のあり方」に係る調査報告書の公表

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr213201.html
https://www.jpcert.or.jp/wr/2021/wr213201.xml
============================================================================

【1】複数のマイクロソフト製品に脆弱性

情報源
CISA Current Activity
Microsoft Releases August 2021 Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/08/10/microsoft-releases-august-2021-security-updates

概要
複数のマイクロソフト製品には、脆弱性があります。結果として、リモート
からの攻撃によって任意のコードが実行されるなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はマイクロソフトが提供するアド
バイザリ情報を参照してください。

この問題は、Microsoft Updateなどを用いて、更新プログラムを適用すること
で解決します。詳細は、マイクロソフトが提供する情報を参照してください。

関連文書 (日本語)
マイクロソフト株式会社
2021 年 8 月のセキュリティ更新プログラム
https://msrc.microsoft.com/update-guide/ja-JP/releaseNote/2021-Aug

マイクロソフト株式会社
2021 年 8 月のセキュリティ更新プログラム (月例)
https://msrc-blog.microsoft.com/2021/08/10/202108-security-updates/

JPCERT/CC 注意喚起
2021年8月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2021/at210034.html

【2】複数のアドビ製品に脆弱性

情報源
CISA Current Activity
Adobe Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2021/08/10/adobe-releases-security-updates-multiple-products

概要
複数のアドビ製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Adobe Commerce
- Magento Open Source
- Adobe Connect

この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
複数のアドビ製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2021081101.html

関連文書 (英語)
アドビ
Security Updates Available for Adobe Commerce | APSB21-64
https://helpx.adobe.com/security/products/magento/apsb21-64.html

アドビ
Security updates available for Adobe Connect | APSB21-66
https://helpx.adobe.com/security/products/connect/apsb21-66.html

【3】複数のIntel製品に脆弱性

情報源
CISA Current Activity
Intel Releases Multiple Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/08/10/intel-releases-multiple-security-updates

Japan Vulnerability Notes JVNVU#91826524
Intel製品に複数の脆弱性（2021年8月）
https://jvn.jp/vu/JVNVU91826524/

JPCERT/CC CyberNewsFlash
Intel製品に関する複数の脆弱性について
https://www.jpcert.or.jp/newsflash/2021081102.html

概要
Intelから複数の製品に含まれる脆弱性に対応したIntel Product Security
Center Advisoriesが公開されました。

詳細は、Intelが提供する情報を参照してください。

関連文書 (英語)
Intel
Intel Product Security Center Advisories
https://www.intel.com/content/www/us/en/security-center/default.html

【4】複数のMozilla製品に脆弱性

情報源
US-CERT Current Activity
Mozilla Releases Security Updates for Firefox
https://us-cert.cisa.gov/ncas/current-activity/2021/08/10/mozilla-releases-security-updates-firefox

US-CERT Current Activity
Mozilla Releases Security Updates for Thunderbird
https://us-cert.cisa.gov/ncas/current-activity/2021/08/12/mozilla-releases-security-updates-thunderbird

概要
複数のMozilla製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 91より前のバージョン
- Mozilla Firefox ESR 78.13より前のバージョン
- Mozilla Thunderbird 91より前のバージョン
- Mozilla Thunderbird 78.13より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)
Mozilla
Security Vulnerabilities fixed in Firefox 91
https://www.mozilla.org/en-US/security/advisories/mfsa2021-33/

Mozilla
Security Vulnerabilities fixed in Firefox ESR 78.13
https://www.mozilla.org/en-US/security/advisories/mfsa2021-34/

Mozilla
Security Vulnerabilities fixed in Thunderbird 91
https://www.mozilla.org/en-US/security/advisories/mfsa2021-36/

Mozilla
Security Vulnerabilities fixed in Thunderbird 78.13
https://www.mozilla.org/en-US/security/advisories/mfsa2021-35/

【5】複数のSAP製品に脆弱性

情報源
CISA Current Activity
SAP Releases August 2021 Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/08/10/sap-releases-august-2021-security-updates

概要
複数のSAP製品には、脆弱性があります。

対象となる製品は、多岐にわたります。詳細はSAPが提供するアドバイザリ情
報を参照してください。

この問題は、該当する製品をSAPが提供する修正済みのバージョンに更新する
ことで解決します。詳細は、SAPが提供する情報を参照してください。

関連文書 (英語)
SAP
SAP Security Patch Day August 2021
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=582222806

【6】NicheStack TCP/IPスタックに複数の脆弱性

情報源
CERT/CC Vulnerability Note VU#608209
NicheStack embedded TCP/IP has vulnerabilities
https://kb.cert.org/vuls/id/608209

概要
HCC Embeddedが開発したTCP/IPプロトコルスタックであるNicheStackには、複
数の脆弱性があります。結果として、遠隔の第三者が任意のコードを実行する
などの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- NicheStack 4.3より前のすべてのバージョン
- NicheLite 4.3より前のすべてのバージョン

この問題は、該当する製品をHCC Embeddedが提供する修正済みのバージョン
に更新することで解決します。詳細は、HCC Embeddedが提供する情報を参照
してください。

関連文書 (日本語)
Japan Vulnerability Notes JVNVU#98488549
NicheStack TCP/IP スタックに複数の脆弱性
https://jvn.jp/vu/JVNVU98488549/

関連文書 (英語)
HCC Embedded
Security Advisories
https://www.hcc-embedded.com/support/security-advisories

【7】複数のApple製品に脆弱性

情報源
Apple
iTunes for Windows 12.11.4 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212609

Apple
Windows 用 iCloud 12.5 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212607

概要
Appleから複数の製品に関するセキュリティアドバイザリが公開されました。

対象となる製品およびバージョンは次のとおりです。

- iTunes for Windows 12.11.4より前のバージョン
- iCloud for Windows 12.5より前のバージョン

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Apple製品のアップデートについて（2021年8月）
https://www.jpcert.or.jp/newsflash/2021081103.html

【8】Citrix ShareFile storage zones controllerに脆弱性

情報源
CISA Current Activity
Citrix Releases Security Update for ShareFile Storage Zones Controller
https://us-cert.cisa.gov/ncas/current-activity/2021/08/10/citrix-releases-security-update-sharefile-storage-zones-controller

概要
Citrix ShareFile storage zones controllerには、ファイル暗号化オプション
が意図せずに無効化される脆弱性があります。

対象となるバージョンは次のとおりです。

- Citrix ShareFile storage zones controller 5.11.19より前のバージョン

この問題は、該当する製品をCitrixが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Citrixが提供する情報を参照してください。

関連文書 (英語)
Citrix
Citrix ShareFile storage zones controller security update
https://support.citrix.com/article/CTX322787

【9】Drupalのサードパーティライブラリに脆弱性

情報源
CISA Current Activity
Drupal Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/08/12/drupal-releases-security-updates

概要
Drupalが使用するCKEditorライブラリには、クロスサイトスクリプティング
の脆弱性があります。結果として、第三者が任意のスクリプトを実行する可
能性があります。

対象となるバージョンは次のとおりです。

- Drupal 9.2.4より前の9.2系のバージョン
- Drupal 9.1.12より前の9.1系のバージョン
- Drupal 8.9.18より前の8.9系のバージョン

なお、Drupal 9.1系より前の9系およびDrupal 8.9系より前の8系のバージョン
はサポートが終了しており、今回のセキュリティに関する情報は提供されてい
ません。

この問題は、Drupalが提供する修正済みのバージョンに更新することで解決し
ます。詳細は、Drupalが提供する情報を参照してください。

関連文書 (英語)
Drupal
Drupal core - Moderately critical - Third-party libraries - SA-CORE-2021-005
https://www.drupal.org/sa-core-2021-005

CKSource
CKEditor 4.16.2 with browser improvements and security fixes
https://ckeditor.com/blog/ckeditor-4.16.2-with-browser-improvements-and-security-fixes/

【10】HTTP WebプロキシやWebアクセラレータのHTTP/2実装不備によるHTTPリクエストスマグリングの脆弱性

情報源
CERT/CC Vulnerability Note VU#357312
HTTP Request Smuggling in Web Proxies
https://kb.cert.org/vuls/id/357312

概要
HTTP/2をサポートするHTTP WebプロキシやWebアクセラレータには、HTTP/1へ
の変換処理の実装不備に起因した、HTTPリクエストスマグリング攻撃が可能に
なる脆弱性があります。結果として、細工したHTTPリクエストを送信した第三
者が、機微な情報を窃取するなどの可能性があります。

対象となる製品は次のとおりです。

- HTTP/2からHTTP/1への変換を行うシステム

詳細についてはCERT/CCが提供する情報を参照してください。

この問題に対して、複数のベンダーから対策に関する情報が公開されています。
各製品のベンダーから提供される修正済みのバージョンに更新するなどの対応
を実施してください。

関連文書 (日本語)
Japan Vulnerability Notes JVNVU#99039870
HTTP WebプロキシやWebアクセラレータのHTTP/2実装不備によるHTTPリクエストスマグリングの脆弱性
https://jvn.jp/vu/JVNVU99039870/

関連文書 (英語)
Portswigger Research
HTTP/2: The Sequel is Always Worse
https://portswigger.net/research/http2

【11】WordPress用プラグインQuiz And Survey Masterにクロスサイトスクリプティングの脆弱性

情報源
Japan Vulnerability Notes JVN#65388002
WordPress 用プラグイン Quiz And Survey Master におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN65388002/

概要
ExpressTechが提供するWordPress用プラグインQuiz And Survey Masterには、
クロスサイトスクリプティングの脆弱性があります。結果として、第三者が任
意のスクリプトを実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Quiz And Survey Master 7.1.14より前のバージョン

この問題は、本プラグインをExpressTechが提供する修正済みのバージョンに
更新することで解決します。詳細は、ExpressTechが提供する情報を参照して
ください。

関連文書 (英語)
ExpressTech
Quiz And Survey Master - Best Quiz, Exam and Survey Plugin for WordPress
https://ja.wordpress.org/plugins/quiz-master-next/

【12】Ploneにオープンリダイレクトの脆弱性

情報源
Japan Vulnerability Notes JVN#50804280
Plone におけるオープンリダイレクトの脆弱性
https://jvn.jp/jp/JVN50804280/

概要
Plone Foundationが提供するPloneには、オープンリダイレクトの脆弱性があ
ります。結果として、遠隔の第三者が、細工したURLにユーザーをアクセスさ
せることで、任意のwebサイトにリダイレクトさせる可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Plone 5.2.5より前のバージョンで、パッケージProducts.isurlinportalが1.2.0より前の製品

この問題は、本製品にPlone Foundationが提供するパッチを適用することで解
決します。詳細は、Plone Foundationが提供する情報を参照してください。

関連文書 (英語)
Plone Foundation
URL Redirection to Untrusted Site ('Open Redirect') in Products.isurlinportal
https://github.com/plone/Products.isurlinportal/security/advisories/GHSA-q3m9-9fj2-mfwr

Plone Foundation
Security fix: Products.isurlinportal 1.2.0
https://community.plone.org/t/security-fix-products-isurlinportal-1-2-0/14152

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○JPCERT/CCがとりまとめた「サイバー攻撃被害情報の共有と公表のあり方」に係る調査報告書の公表

2021年7月、総務省が開催するサイバーセキュリティタスクフォース（第33回）
の会合において、JPCERT/CCは、サイバー攻撃被害情報の共有と公表のあり方
に係る調査検討の結果を報告し、後日、報告書が公表されました。

社会全体におけるサイバー攻撃対処のベースとなる情報共有活動が円滑に行わ
れるためには、どのようにサイバー攻撃被害情報の共有や公表が行われるべき
か、JPCERT/CCにおけるこれまでのインシデント対応支援の経験を踏まえた問
題意識をもとに検討したものです。

参考文献 (日本語)
総務省
サイバーセキュリティタスクフォース（第33回）
https://www.soumu.go.jp/main_sosiki/kenkyu/cybersecurity_taskforce/02cyber01_04000001_00191.html

総務省（JPCERT/CC資料）
サイバー攻撃被害情報の共有と公表のあり方について（公開版）＜概要＞
https://www.soumu.go.jp/main_content/000762950.pdf

総務省（JPCERT/CC資料）
サイバー攻撃被害情報の共有と公表のあり方について （公開版）
https://www.soumu.go.jp/main_content/000762951.pdf

目 次

【1】Pulse Connect Secureに複数の脆弱性
【2】Google Chromeに複数の脆弱性
【3】複数のVMware製品に脆弱性
【4】複数のCisco製品に脆弱性
【5】サイボウズ Garoonに複数の脆弱性
【6】Swisslog Healthcare製Translogic PTSにおける複数の脆弱性
【7】三菱電機製 MELSEC iQ-R シリーズ CPUユニットにおける複数の脆弱性
【今週のひとくちメモ】制御システムセキュリティカンファレンス2022講演募集

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr213101.html
https://www.jpcert.or.jp/wr/2021/wr213101.xml
============================================================================

【1】Pulse Connect Secureに複数の脆弱性

情報源
CISA Current Activity
Ivanti Releases Security Update for Pulse Connect Secure
https://us-cert.cisa.gov/ncas/current-activity/2021/08/06/ivanti-releases-security-update-pulse-connect-secure

概要
Pulse Connect Secureには、複数の脆弱性があります。結果として、第三者が
ファイルを書き込んだり、任意のコマンドを実行したりするなどの可能性があ
ります。

対象となるバージョンは次のとおりです。

- Pulse Connect Secure 9.1R12より前のバージョン

この問題は、Pulse Connect SecureをPulse Secureが提供する修正済みのバー
ジョンに更新することで解決します。詳細は、Pulse Secureが提供する情報を
参照してください。

関連文書 (英語)
Pulse Secure
SA44858 - 9.1R12 Security Fixes
https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44858

【2】Google Chromeに複数の脆弱性

情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2021/08/04/google-releases-security-updates-chrome

概要
Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 92.0.4515.131より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2021/08/the-stable-channel-has-been-updated-to.html

【3】複数のVMware製品に脆弱性

情報源
CISA Current Activity
VMware Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2021/08/05/vmware-releases-security-updates-multiple-products

概要
複数のVMware製品には、脆弱性があります。結果として、第三者が機微な情報
を取得するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- VMware Workspace ONE Access (Access) 20.10、20.10.01（Linux版）
- VMware Identity Manager (vIDM) 3.3.2、3.3.3、3.3.4、3.3.5（Linux版）
- VMware vRealize Automation (vRA) 7.6（Linux版）
- VMware Cloud Foundation 4系のバージョン
- vRealize Suite Lifecycle Manager 8系のバージョン

この問題は、該当する製品にVMwareが提供するパッチを適用することで解決し
ます。詳細は、VMwareが提供する情報を参照してください。

関連文書 (英語)
VMware
VMSA-2021-0016
https://www.vmware.com/security/advisories/VMSA-2021-0016.html

【4】複数のCisco製品に脆弱性

情報源
CISA Current Activity
Cisco Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/08/05/cisco-releases-security-updates

概要
複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はCiscoが提供するアドバイザリ
情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)
Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

【5】サイボウズ Garoonに複数の脆弱性

情報源
Japan Vulnerability Notes JVN#54794245
サイボウズ Garoon に複数の脆弱性
https://jvn.jp/jp/JVN54794245/

概要
サイボウズ Garoonには、複数の脆弱性があります。結果として、ログイン
可能なユーザーが、本来閲覧権限のない情報を取得したりするなどの可能性があ
ります。

対象となるバージョンは、多岐にわたります。詳細はサイボウズ株式会社が提
供するアドバイザリ情報を参照してください。

この問題は、該当する製品をサイボウズ株式会社が提供する修正済みのバージョン
に更新することで解決します。詳細は、サイボウズ株式会社が提供する情報を
参照してください。

関連文書 (日本語)
サイボウズ株式会社
パッケージ版 Garoon 脆弱性に関するお知らせ
https://cs.cybozu.co.jp/2021/007206.html

【6】Swisslog Healthcare製Translogic PTSにおける複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#96157296
Swisslog Healthcare製Translogic PTSにおける複数の脆弱性
https://jvn.jp/vu/JVNVU96157296/

概要
Swisslog Healthcareが提供するTranslogic PTS（Pneumatic Tube Systems）
には、複数の脆弱性があります。結果として、遠隔の第三者が権限昇格や任意
のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Nexus Control Panel 7.2.5.7より前のバージョン

この問題は、該当する製品をSwisslog Healthcareが提供する修正済みのバー
ジョンに更新することで解決します。詳細は、Swisslog Healthcareが提供す
る情報を参照してください。

関連文書 (英語)
ICS Medical Advisory (ICSMA-21-215-01)
Swisslog Healthcare Translogic PTS
https://us-cert.cisa.gov/ics/advisories/icsma-21-215-01

CISA Current Activity
CISA Releases Security Advisory for Swisslog Healthcare
https://us-cert.cisa.gov/ncas/current-activity/2021/08/03/cisa-releases-security-advisory-swisslog-healthcare

【7】三菱電機製 MELSEC iQ-R シリーズ CPUユニットにおける複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#98578731
三菱電機製 MELSEC iQ-R シリーズ CPU ユニットにおける複数の脆弱性
https://jvn.jp/vu/JVNVU98578731/

概要
三菱電機製 MELSEC iQ-R シリーズ CPU ユニットには、複数の脆弱性がありま
す。結果として、遠隔の第三者が認証情報を窃取するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- R08/16/32/120SFCPU 全ファームウェアバージョン
- R08/16/32/120PSFCPU 全ファームウェアバージョン

2021年8月11日現在、本脆弱性に対するアップデートは提供されていません。
なお、一部の脆弱性に関する対策済みバージョンは、近日中にリリースする予
定とのことです。また、この問題について、三菱電機株式会社から、脆弱性の
影響を軽減するための回避策に関する情報も公開されています。詳細は、三菱
電機株式会社が提供する情報を参照してください。

関連文書 (日本語)
三菱電機株式会社
MELSEC iQ-R シリーズCPU ユニットにおける情報漏えいの脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-008.pdf

三菱電機株式会社
MELSEC iQ-R シリーズCPU ユニットにおける不正ログインの脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-009.pdf

三菱電機株式会社
MELSEC iQ-R シリーズにおけるサービス拒否(DoS)の脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-010.pdf

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○制御システムセキュリティカンファレンス2022講演募集

2021年8月4日、JPCERT/CCは、制御システムセキュリティカンファレンス2022
の講演を募集する案内を掲載しました。

2022年2月3日にオンライン開催が予定される本カンファレンスは、国内外の
ICSにおける脅威の現状認識や、ICS関係者のセキュリティに関する先進的な取
り組みを共有する場となります。講演をご希望の方は、募集要項をお読みいた
だき、講演概要とともに必要事項をカンファレンス事務局までお送りください。
応募締切は2021年9月17日（金）必着です。

参考文献 (日本語)
JPCERT/CC
制御システムセキュリティカンファレンス2022講演募集(Call for Presentation)
https://www.jpcert.or.jp/event/ics-conf-cfp2022/

目 次

【1】複数のApple製品に脆弱性
【2】複数のアドビ製品に脆弱性
【3】Active Directory証明書サービス（AD CS）にNTLMリレー攻撃の脆弱性
【4】複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品に脆弱性
【5】三菱電機製GOTのMODBUS/TCPスレーブ通信機能にアクセス同期不備の脆弱性
【今週のひとくちメモ】JAIPA Cloud Conference 2021開催のお知らせ

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr213001.html
https://www.jpcert.or.jp/wr/2021/wr213001.xml
============================================================================

【1】複数のApple製品に脆弱性

情報源
CISA Current Activity
Apple Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/07/27/apple-releases-security-updates

概要
複数のApple製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行する可能性があります。

対象となる製品は次のとおりです。

- macOS Big Sur
- iOSおよびiPadOS
- watchOS

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
複数のApple製品のアップデートについて（2021年7月）
https://www.jpcert.or.jp/newsflash/2021072602.html

Apple
iOS 14.7 および iPadOS 14.7 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212601

Apple
macOS Big Sur 11.5 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212602

Apple
watchOS 7.6.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212713

【2】複数のアドビ製品に脆弱性

情報源
JPCERT/CC CyberNewsFlash
複数のアドビ製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2021072601.html

概要
複数のアドビ製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Adobe Media Encoder
- Adobe After Effects
- Adobe Premiere Pro
- Adobe Prelude
- Adobe Character Animator
- Adobe Audition
- Adobe Photoshop

この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。

関連文書 (日本語)
アドビ
Adobe Media Encoder に関するセキュリティアップデート公開 | APSB21-43
https://helpx.adobe.com/jp/security/products/media-encoder/apsb21-43.html

アドビ
Adobe After Effects に関するセキュリティアップデート公開 | APSB21-54
https://helpx.adobe.com/jp/security/products/after_effects/apsb21-54.html

アドビ
Adobe Premiere Pro に関するセキュリティアップデート公開 | APSB21-56
https://helpx.adobe.com/jp/security/products/premiere_pro/apsb21-56.html

アドビ
Adobe Prelude に関するセキュリティアップデート公開 | APSB21-58
https://helpx.adobe.com/jp/security/products/prelude/apsb21-58.html

アドビ
Adobe Character Animator に関するセキュリティアップデート公開 | APSB21-59
https://helpx.adobe.com/jp/security/products/character_animator/apsb21-59.html

アドビ
Adobe Audition に関するセキュリティアップデート公開 | APSB21-62
https://helpx.adobe.com/jp/security/products/audition/apsb21-62.html

アドビ
Adobe Photoshop に関するセキュリティアップデート公開 | APSB21-63
https://helpx.adobe.com/jp/security/products/photoshop/apsb21-63.html

【3】Active Directory証明書サービス（AD CS）にNTLMリレー攻撃の脆弱性

情報源
CISA Current Activity
Microsoft Releases Guidance for Mitigating PetitPotam NTLM Relay Attacks
https://us-cert.cisa.gov/ncas/current-activity/2021/07/27/microsoft-releases-guidance-mitigating-petitpotam-ntlm-relay

概要
Microsoft WindowsのActive Directory証明書サービス（AD CS）には、
PetitPotamと呼称されるNTLMリレー攻撃に対する脆弱性があります。結果とし
て、攻撃者がドメインコントローラを乗っ取る可能性があります。

対象となる製品およびバージョンは次の通りです。

- Windows Server, version 20H2
- Windows Server, version 2004
- Windows Server 2019
- Windows Server 2016
- Windows Server 2012 R2
- Windows Server 2012
- Windows Server 2008 R2 SP1
- Windows Server 2008 SP2

マイクロソフト株式会社によると、Active Directory証明書サービスで次のサー
ビスを使用している場合に本脆弱性の影響を受けるとのことです。

- Certificate Authority Web Enrollment
- Certificate Enrollment Web Service

この問題について、マイクロソフト株式会社は回避策の実施を推奨しています。
詳細は、マイクロソフト株式会社が提供する情報を参照してください。

関連文書 (英語)
マイクロソフト株式会社
KB5005413: Mitigating NTLM Relay Attacks on Active Directory Certificate Services (AD CS)
https://support.microsoft.com/en-us/topic/kb5005413-mitigating-ntlm-relay-attacks-on-active-directory-certificate-services-ad-cs-3612b773-4043-4aa9-b23d-b87910cd3429

マイクロソフト株式会社
ADV210003 Mitigating NTLM Relay Attacks on Active Directory Certificate Services (AD CS)
https://msrc.microsoft.com/update-guide/vulnerability/ADV210003

CERT/CC Vulnerability Note VU#405600
Microsoft Windows Active Directory Certificate Services can allow for AD compromise via PetitPotam NTLM relay attacks
https://kb.cert.org/vuls/id/405600

【4】複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品に脆弱性

情報源
Japan Vulnerability Notes JVNVU#93876919
複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品における複数の脆弱性
https://jvn.jp/vu/JVNVU93876919

概要
トレンドマイクロ株式会社が提供する複数の企業向けエンドポイントセキュリ
ティ製品には脆弱性があります。結果として、第三者が権限昇格を行うなどの
可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Apex One 2019
- Apex One SaaS
- ウイルスバスタービジネスセキュリティサービス 6.7
- ウイルスバスターコーポレートエディション XG SP1
- ウイルスバスタービジネスセキュリティ 10 SP1

この問題は、該当する製品をトレンドマイクロ株式会社が提供するパッチを適
用することで解決します。詳細は、トレンドマイクロ株式会社が提供する情報
を参照してください。

関連文書 (日本語)
JPCERT/CC 注意喚起
複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品の脆弱性に関する注意喚起
https://www.jpcert.or.jp/at/2021/at210033.html

トレンドマイクロ株式会社
アラート/アドバイザリ：ウイルスバスター コーポレートエディション、Trend Micro Apex OneとTrend Micro Apex One SaaS の脆弱性について（2021年7月）
https://success.trendmicro.com/jp/solution/000287796

トレンドマイクロ株式会社
アラート/アドバイザリ：ウイルスバスター ビジネスセキュリティで確認された複数の脆弱性について（2021年7月）
https://success.trendmicro.com/jp/solution/000287815

トレンドマイクロ株式会社
アラート/アドバイザリ：ウイルスバスター ビジネスセキュリティサービスにおける不適切なパーミッション割り当てによる権限昇格の脆弱性
https://success.trendmicro.com/jp/solution/000286884

トレンドマイクロ株式会社
【注意喚起】弊社製品の脆弱性 (CVE-2021-36741,CVE-2021-36742) を悪用した攻撃を確認したことによる修正プログラム適用のお願い
https://appweb.trendmicro.com/SupportNews/NewsDetail.aspx?id=4219

【5】三菱電機製GOTのMODBUS/TCPスレーブ通信機能にアクセス同期不備の脆弱性

情報源
Japan Vulnerability Notes JVNVU#92414172
三菱電機製 GOT の MODBUS/TCP スレーブ通信機能における共有リソースへのアクセス同期不備の脆弱性
https://jvn.jp/vu/JVNVU92414172

概要
三菱電機株式会社が提供するGOT2000シリーズおよびGT SoftGOT2000の
MODBUS/TCPスレーブ通信機能には、共有リソースへのアクセス同期不備の脆弱
性があります。結果として遠隔の第三者が、当該機器をサービス運用妨害（DoS）
状態にする可能性があります。

対象となる製品およびバージョンは次のとおりです。

- GOT2000 GT27モデル通信ドライババージョン01.19.000から01.39.010までのバージョン
- GOT2000 GT25モデル通信ドライババージョン01.19.000から01.39.010までのバージョン
- GOT2000 GT23モデル通信ドライババージョン01.19.000から01.39.010までのバージョン
- GT SoftGOT2000ソフトウェアバージョン1.170Cから1.256Sまでのバージョン

この問題は、該当する製品を三菱電機株式会社が提供する修正済みのバージョン
に更新することで解決します。詳細は、三菱電機株式会社が提供する情報を参
照してください。

関連文書 (日本語)
三菱電機株式会社
GOT の MODBUS/TCP スレーブ通信機能におけるサービス拒否(DoS)の脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-007.pdf

関連文書 (英語)
ICS Advisory (ICSA-21-208-02)
Mitsubishi Electric GOT2000 series and GT SoftGOT2000
https://us-cert.cisa.gov/ics/advisories/icsa-21-208-02

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○JAIPA Cloud Conference 2021開催のお知らせ

2021年9月2日、一般社団法人 日本インターネットプロバイダー協会 クラウド
部会は「JAIPA Cloud Conference 2021」をオンラインで開催します。クラウ
ドサービスプロバイダ（IaaS/PaaS/SaaS）、システムインテグレータ、ソリュー
ションベンダーなどが参加し、クラウド業界の未来について知見を深めるイベ
ントです。JPCERT/CCは本カンファレンスを後援しています。
参加費は無料、参加には事前の申し込みが必要です。

参考文献 (日本語)
JAIPA Cloud Conference
JAIPA Cloud Conference 2021
https://cloudconference.jaipa.or.jp/

JAIPA Cloud Conference
Facebookページ
https://www.facebook.com/cloudconference.jaipa/

JAIPA Cloud Conference
事前登録ページ
https://cloudcon-stream.jaipa.or.jp/register