■10/24(日)～10/30(土) のセキュリティ関連情報
目 次
【1】ISC BIND 9にサービス運用妨害（DoS）の脆弱性
【2】複数のApple製品に脆弱性
【3】Google Chromeに複数の脆弱性
【4】複数のアドビ製品に脆弱性
【5】複数のCisco製品に脆弱性
【6】トレンドマイクロ製企業向けエンドポイントセキュリティ製品に権限昇格の脆弱性
【7】Office Server Document Converterに複数のXML外部実体参照（XXE）の脆弱性
【8】CLUSTERPRO XおよびEXPRESSCLUSTER Xに複数の脆弱性
【9】ESET Cyber SecurityおよびESET Endpointシリーズにサービス運用妨害（DoS）の脆弱性
【10】Androidアプリ「メルカリ(メルペイ)-フリマアプリ&スマホ決済」にIntentの取り扱い不備の脆弱性
【11】Discourseにリモートコード実行の脆弱性
【12】GoCDに認証不備の脆弱性
【13】JPCERT/CC Eyes「攻撃グループLuoYuが使用するマルウェアWinDealer」を公開
【今週のひとくちメモ】「TRANSITS Workshop Online 2022 Winter」開催のお知らせ
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr214301.html
https://www.jpcert.or.jp/wr/2021/wr214301.xml
============================================================================
【1】ISC BIND 9にサービス運用妨害（DoS）の脆弱性
情報源
CISA Current Activity
ISC Releases Security Advisory for BIND
https://us-cert.cisa.gov/ncas/current-activity/2021/10/28/isc-releases-security-advisory-bind
Japan Vulnerability Notes JVNVU#91101819
ISC BINDにサービス運用妨害（DoS）の脆弱性
https://jvn.jp/vu/JVNVU91101819/
概要
ISC BIND 9には、lame cacheの設計の問題による、サービス運用妨害（DoS）
の脆弱性があります。結果として、遠隔の第三者によって送信された細工され
たクエリを処理することで、クライアントでの処理が遅延し、タイムアウトが
発生する可能性があります。
対象となるバージョンは次のとおりです。
- BIND Supported Preview Edition 9.16.8-S1から9.16.21-S1までのバージョン
- BIND Supported Preview Edition 9.9.3-S1から9.11.35-S1までのバージョン
- BIND 9.12.0から9.16.21までのバージョン
- BIND 9.3.0から9.11.35までのバージョン
- BIND development branch 9.17.0から9.17.18までのバージョン
この問題は、ISC BIND 9をISCが提供している修正済みのバージョンに更新す
ることで解決します。詳細は、ISCが提供する情報を参照してください。
関連文書 (日本語)
株式会社日本レジストリサービス（JPRS）
BIND 9.xの脆弱性（パフォーマンスの低下）について（CVE-2021-25219） - バージョンアップを推奨 -
https://jprs.jp/tech/security/2021-10-28-bind9-vuln-lamecache.html
関連文書 (英語)
Internet Systems Consortium, Inc.（ISC）
CVE-2021-25219: Lame cache can be abused to severely degrade resolver performance
https://kb.isc.org/v1/docs/cve-2021-25219
【2】複数のApple製品に脆弱性
情報源
CISA Current Activity
Apple Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2021/10/27/apple-releases-security-updates-multiple-products
概要
複数のApple製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。
対象となる製品およびバージョンは次のとおりです。
- iOS 15.1より前のバージョン
- iOS 14.8.1より前のバージョン
- iPadOS 15.1より前のバージョン
- iPadOS 14.8.1より前のバージョン
- watchOS 8.1より前のバージョン
- Safari 15.1より前のバージョン
- tvOS 15.1より前のバージョン
- macOS Monterey 12.0.1より前のバージョン
- macOS Catalina（セキュリティアップデート 2021-007未適用）
- macOS Big Sur 11.6.1より前のバージョン
この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。
関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Apple製品のアップデートについて（2021年10月）
https://www.jpcert.or.jp/newsflash/2021101201.html
Apple
iOS 15.1 および iPadOS 15.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212867
Apple
iOS 14.8.1 および iPadOS 14.8.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212868
Apple
watchOS 8.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212874
Apple
Safari 15.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212875
Apple
tvOS 15.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212876
Apple
macOS Monterey 12.0.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212869
Apple
セキュリティアップデート 2021-007 Catalina のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212871
Apple
macOS Big Sur 11.6.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212872
【3】Google Chromeに複数の脆弱性
情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2021/10/29/google-releases-security-updates-chrome
概要
Google Chromeには、複数の脆弱性があります。
対象となるバージョンは次のとおりです。
- Google Chrome 95.0.4638.69より前のバージョン
この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。
関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2021/10/stable-channel-update-for-desktop_28.html
【4】複数のアドビ製品に脆弱性
情報源
CISA Current Activity
Adobe Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2021/10/27/adobe-releases-security-updates-multiple-products
概要
複数のアドビ製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。
対象となる製品は次のとおりです。
- Adobe After Effects
- Adobe Audition
- Adobe Bridge
- Adobe Character Animator
- Adobe Prelude
- Adobe Lightroom Classic
- Adobe Illustrator
- Adobe Media Encoder
- Adobe Premiere Pro
- Adobe Animate
- Adobe Premiere Elements
- Adobe InDesign
- Adobe XMP Toolkit SDK
- Adobe Photoshop
この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。
関連文書 (日本語)
JPCERT/CC CyberNewsFlash
複数のアドビ製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2021102801.html
アドビ
Adobe After Effects に関するセキュリティアップデート公開 | APSB21-79
https://helpx.adobe.com/jp/security/products/after_effects/apsb21-79.html
アドビ
Adobe Audition に関するセキュリティアップデート公開 | APSB21-92
https://helpx.adobe.com/jp/security/products/audition/apsb21-92.html
アドビ
Adobe Bridge に関するセキュリティアップデート公開 | APSB21-94
https://helpx.adobe.com/jp/security/products/bridge/apsb21-94.html
アドビ
Adobe Character Animator に関するセキュリティアップデート公開 | APSB21-95
https://helpx.adobe.com/jp/security/products/character_animator/apsb21-95.html
アドビ
Adobe Prelude に関するセキュリティアップデート公開 | APSB21-96
https://helpx.adobe.com/jp/security/products/prelude/apsb21-96.html
アドビ
Adobe Lightroom Classic に関するセキュリティアップデート公開 | APSB21-97
https://helpx.adobe.com/jp/security/products/lightroom/apsb21-97.html
アドビ
Adobe Illustrator に関するセキュリティアップデート公開 | APSB21-98
https://helpx.adobe.com/jp/security/products/illustrator/apsb21-98.html
アドビ
Adobe Media Encoder に関するセキュリティアップデート公開 | APSB21-99
https://helpx.adobe.com/jp/security/products/media-encoder/apsb21-99.html
アドビ
Adobe Premiere Pro に関するセキュリティアップデート公開 | APSB21-100
https://helpx.adobe.com/jp/security/products/premiere_pro/apsb21-100.html
アドビ
Adobe Animate に関するセキュリティアップデート公開 | APSB21-105
https://helpx.adobe.com/jp/security/products/animate/apsb21-105.html
アドビ
Adobe Premiere Elements に関するセキュリティアップデート公開 | APSB21-106
https://helpx.adobe.com/jp/security/products/premiere_elements/apsb21-106.html
アドビ
Adobe InDesign に関するセキュリティアップデート公開 | APSB21-107
https://helpx.adobe.com/jp/security/products/indesign/apsb21-107.html
アドビ
Adobe XMP Toolkit SDK に関するセキュリティアップデート公開 | APSB21-108
https://helpx.adobe.com/jp/security/products/xmpcore/apsb21-108.html
アドビ
Adobe Photoshop に関するセキュリティアップデート公開 | APSB21-109
https://helpx.adobe.com/jp/security/products/photoshop/apsb21-109.html
【5】複数のCisco製品に脆弱性
情報源
CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2021/10/28/cisco-releases-security-updates-multiple-products
概要
複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者がサー
ビス運用妨害（DoS）攻撃を行うなどの可能性があります。
対象となる製品は、多岐にわたります。詳細はCiscoが提供するアドバイザリ
情報を参照してください。
この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。
関連文書 (英語)
Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x
【6】トレンドマイクロ製企業向けエンドポイントセキュリティ製品に権限昇格の脆弱性
情報源
Japan Vulnerability Notes JVNVU#92842857
トレンドマイクロ製企業向けエンドポイントセキュリティ製品における権限昇格の脆弱性
https://jvn.jp/vu/JVNVU92842857/
概要
トレンドマイクロ製企業向けエンドポイントセキュリティ製品には、権限昇格
による任意のファイル作成の脆弱性があります。結果として、第三者がサービ
ス運用妨害（DoS）攻撃を行う可能性があります。
対象となる製品およびバージョンは次のとおりです。
- Apex One 2019
- Apex One SaaS
- ウイルスバスター Corp. XG SP1
- ウイルスバスタービジネスセキュリティ10 SP1
- ウイルスバスタービジネスセキュリティサービス
この問題は、該当する製品にトレンドマイクロ株式会社が提供する修正済みの
パッチを適用することで解決します。詳細はトレンドマイクロ株式会社が提供
する情報を参照してください。
関連文書 (日本語)
トレンドマイクロ株式会社
アラート/アドバイザリ：トレンドマイクロのエンドポイント向け製品の権限昇格による任意ファイル作成の脆弱性について
https://success.trendmicro.com/jp/solution/000289191
【7】Office Server Document Converterに複数のXML外部実体参照（XXE）の脆弱性
情報源
Japan Vulnerability Notes JVN#33453839
Office Server Document Converter における複数の XML 外部実体参照 (XXE) に関する脆弱性
https://jvn.jp/jp/JVN33453839/
概要
アンテナハウス株式会社が提供するOffice Server Document Converterには、
複数のXML外部実体参照（XXE）の脆弱性があります。結果として、遠隔の第三
者がサービス運用妨害（DoS）攻撃を行う可能性があります。
対象となる製品およびバージョンは次のとおりです。
製品
- Office Server Document Converter（Server Based Converter）
バージョン
- V7.2MR4およびそれ以前
- V7.1MR7およびそれ以前
- V7.0MR6およびそれ以前
- V6.1MR8およびそれ以前
- V6.0MR11およびそれ以前
- V5.2MR13およびそれ以前
この問題は、該当する製品をアンテナハウス株式会社が提供する修正済みのバー
ジョンに更新することで解決します。詳細は、アンテナハウス株式会社が提供
する情報を参照してください。
関連文書 (日本語)
アンテナハウス株式会社
Office Server Document Converter におけるサービス運用妨害 (DoS) の脆弱性
https://www.antenna.co.jp/news/2021/osdc72-20211027.html
【8】CLUSTERPRO XおよびEXPRESSCLUSTER Xに複数の脆弱性
情報源
Japan Vulnerability Notes JVN#69304877
CLUSTERPRO X および EXPRESSCLUSTER X における複数の脆弱性
https://jvn.jp/jp/JVN69304877/
概要
日本電気株式会社が提供するCLUSTERPRO XおよびEXPRESSCLUSTER Xには、複数
の脆弱性があります。結果として、遠隔の第三者が、任意のコードを実行する
などの可能性があります。
対象となる製品およびバージョンは次のとおりです。
- CLUSTERPRO X 1.0 for Windowsおよびそれ以降
- EXPRESSCLUSTER X 1.0 for Windowsおよびそれ以降
2021年11月4日現在、本脆弱性への対策は提供されていません。脆弱性の悪用
による影響を回避するため、回避策が提示されています。詳細は、日本電気株
式会社が提供する情報を参照してください。
関連文書 (日本語)
日本電気株式会社
CLUSTERPRO X における複数の脆弱性
https://jpn.nec.com/security-info/secinfo/nv21-015.html
【9】ESET Cyber SecurityおよびESET Endpointシリーズにサービス運用妨害（DoS）の脆弱性
情報源
Japan Vulnerability Notes JVN#60553023
ESET Cyber Security および ESET Endpoint シリーズにおけるサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/jp/JVN60553023/
概要
ESETが提供するESET Cyber SecurityおよびESET Endpoint シリーズ（macOS版）
には、脆弱性があります。結果として、第三者がサービス運用妨害（DoS）攻
撃を行う可能性があります。
対象となる製品およびバージョンは次のとおりです。
- ESET Cyber Security 6.10.700およびそれ以前
- ESET Cyber Security Pro 6.10.700およびそれ以前
- ESET Endpoint Antivirus for macOS 6.10.910.0およびそれ以前
- ESET Endpoint Security for macOS 6.10.910.0およびそれ以前
この問題は、該当する製品をESETが提供する修正済みのバージョンに更新する
ことで解決します。詳細は、ESETが提供する情報を参照してください。
関連文書 (英語)
ESET
[CA8151] Denial of service vulnerability in ESET products for macOS fixed
https://support.eset.com/en/ca8151-denial-of-service-vulnerability-in-eset-products-for-macos-fixed
【10】Androidアプリ「メルカリ(メルペイ)-フリマアプリ&スマホ決済」にIntentの取り扱い不備の脆弱性
情報源
Japan Vulnerability Notes JVN#49465877
Android アプリ「メルカリ(メルペイ)-フリマアプリ&スマホ決済」における Intent の取り扱い不備に関する脆弱性
https://jvn.jp/jp/JVN49465877/
概要
株式会社メルカリが提供するAndroidアプリ「メルカリ(メルペイ)-フリマアプ
リ&スマホ決済」には、Intentの取り扱い不備の脆弱性があります。結果とし
て、メルカリアカウントのアクセストークンを窃取される可能性があります。
対象となるバージョンは次のとおりです。
- Androidアプリ「メルカリ(メルペイ)-フリマアプリ&スマホ決済」 バージョン4.49.1より前のバージョン
この問題は、該当する製品を株式会社メルカリが提供する修正済みのバージョ
ンに更新することで解決します。詳細は株式会社メルカリが提供する情報を参
照してください。
関連文書 (日本語)
株式会社メルカリ
株式会社メルカリからの情報
https://jvn.jp/jp/JVN49465877/995931/
【11】Discourseにリモートコード実行の脆弱性
情報源
CISA Current Activity
Critical RCE Vulnerability in Discourse
https://us-cert.cisa.gov/ncas/current-activity/2021/10/24/critical-rce-vulnerability-discourse
概要
Discourseには、脆弱性があります。結果として、遠隔の第三者が任意のコー
ドを実行する可能性があります。
対象となるバージョンは次のとおりです。
- Discourse 2.7.9より前のバージョン
上記以外に、beta版、tests-passed版にも同様の脆弱性があります。この問題
は、該当する製品をDiscourseが提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、Discourseが提供する情報を参照してください。
関連文書 (英語)
discourse
RCE via malicious SNS subscription payload
https://github.com/discourse/discourse/security/advisories/GHSA-jcjx-pvpc-qgwq
【12】GoCDに認証不備の脆弱性
情報源
CISA Current Activity
GoCD Authentication Vulnerability
https://us-cert.cisa.gov/ncas/current-activity/2021/10/29/gocd-authentication-vulnerability
概要
GoCDには、認証不備の脆弱性があります。結果として、認証されていない遠隔
の第三者が、機微な情報を窃取するなどの可能性があります。
対象となるバージョンは次のとおりです。
- GoCD 20.6.0から21.2.0までのバージョン
この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書 (英語)
GoCD
Release notes of GoCD
https://www.gocd.org/releases/#21-3-0
SonarSource
Agent 007: Pre-Auth Takeover of Build Pipelines in GoCD
https://blog.sonarsource.com/gocd-pre-auth-pipeline-takeover
【13】JPCERT/CC Eyes「攻撃グループLuoYuが使用するマルウェアWinDealer」を公開
情報源
JPCERT/CC Eyes
攻撃グループLuoYuが使用するマルウェアWinDealer
https://blogs.jpcert.or.jp/ja/2021/10/windealer.html
概要
2021年10月26日、JPCERT/CCは「攻撃グループLuoYuが使用するマルウェア
WinDealer」を公開しました。本記事では、韓国や日本の組織をターゲットに
した攻撃グループ「LuoYu」が使用するマルウェアWinDealerについて紹介して
います。
――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――
○「TRANSITS Workshop Online 2022 Winter」開催のお知らせ
2022年2月3日（木）、2月4日（金）の2日間にわたり、「TRANSITS Workshop
Online 2022 Winter」がオンライン上で開催されます。日本シーサート協議会
が主催する本イベントは、CSIRTの設立の促進、既存のCSIRTの対応能力向上を
目的としたプロジェクト「TRANSITS」によるトレーニングを行い、CSIRT業務
に必要な知識を身につけることを目的としています。JPCERT/CCは本イベント
での講演、および運営に協力しています。
参加には事前申し込みが必要です。参加登録は先着順で、定員になり次第締め
切りとなります。詳細は、日本シーサート協議会の情報を参照してください。
参考文献 (日本語)
日本シーサート協議会
TRANSITS Workshop Online 2022 Winter開催
https://www.nca.gr.jp/2021/transits-winter/
コメント