ミニ・いんふぉめーしょん

目 次

【1】複数のマイクロソフト製品に脆弱性
【2】複数のアドビ製品に脆弱性
【3】複数のSAP製品に脆弱性
【4】複数のApple製品に脆弱性
【5】Google Chromeに複数の脆弱性
【6】VMware Workspace ONE UEM consoleにサーバーサイドリクエストフォージェリの脆弱性
【7】OpenSSLのlibsslにX509_verify_cert()内部エラーの不正な処理の問題
【今週のひとくちメモ】JPCERT/CCが「Apache Log4j2のRCE脆弱性（CVE-2021-44228）を狙う攻撃観測」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr215001.html
https://www.jpcert.or.jp/wr/2021/wr215001.xml
============================================================================

【1】複数のマイクロソフト製品に脆弱性

情報源
CISA Current Activity
Microsoft Releases December 2021 Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/14/microsoft-releases-december-2021-security-updates

概要
複数のマイクロソフト製品には、複数の脆弱性があります。結果として、遠隔
の第三者が任意のコードを実行するなどの可能性があります。

対象となる製品は、多岐に渡ります。詳細はマイクロソフト株式会社が提供す
るアドバイザリ情報を参照してください。

この問題は、Microsoft Updateなどを用いて、更新プログラムを適用すること
で解決します。詳細は、マイクロソフト株式会社が提供する情報を参照してく
ださい。

関連文書 (日本語)
マイクロソフト株式会社
2021 年 12 月のセキュリティ更新プログラム
https://msrc.microsoft.com/update-guide/ja-JP/releaseNote/2021-Dec

JPCERT/CC 注意喚起
2021年12月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2021/at210051.html

【2】複数のアドビ製品に脆弱性

情報源
CISA Current Activity
Adobe Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/14/adobe-releases-security-updates-multiple-products

概要
複数のアドビ製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Adobe Premiere Rush
- Adobe Experience Manager (AEM)
- Adobe Connect
- Photoshop 2021
- Photoshop 2022
- Adobe Prelude
- Adobe After Effects
- Adobe Dimension
- Adobe Premiere Pro
- Adobe Media Encoder
- Adobe Lightroom
- Adobe Audition

この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
複数のアドビ製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2021121501.html

関連文書 (英語)
アドビ
Security Updates Available for Adobe Premiere Rush | APSB21-101
https://helpx.adobe.com/security/products/premiere_rush/apsb21-101.html

アドビ
Security updates available for Adobe Experience Manager | APSB21-103
https://helpx.adobe.com/security/products/experience-manager/apsb21-103.html

アドビ
Security update available for Adobe Connect | APSB21-112
https://helpx.adobe.com/security/products/connect/apsb21-112.html

アドビ
Security update available for Adobe Photoshop | APSB21-113
https://helpx.adobe.com/security/products/photoshop/apsb21-113.html

アドビ
Security Updates Available for Adobe Prelude | APSB21-114
https://helpx.adobe.com/security/products/prelude/apsb21-114.html

アドビ
Security Updates Available for Adobe After Effects | APSB21-115
https://helpx.adobe.com/security/products/after_effects/apsb21-115.html

アドビ
Security updates available for Dimension | APSB21-116
https://helpx.adobe.com/security/products/dimension/apsb21-116.html

アドビ
Security Updates Available for Adobe Premiere Pro | APSB21-117
https://helpx.adobe.com/security/products/premiere_pro/apsb21-117.html

アドビ
Security Updates Available for Adobe Media Encoder | APSB21-118
https://helpx.adobe.com/security/products/media-encoder/apsb21-118.html

アドビ
Security Updates Available for Adobe Lightroom | APSB21-119
https://helpx.adobe.com/security/products/lightroom/apsb21-119.html

アドビ
Security Updates Available for Adobe Audition | APSB21-121
https://helpx.adobe.com/security/products/audition/apsb21-121.html

【3】複数のSAP製品に脆弱性

情報源
CISA Current Activity
SAP Releases December 2021 Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/14/sap-releases-december-2021-security-updates

概要
複数のSAP製品には、脆弱性があります。結果として、遠隔の第三者が任意の
コードを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はSAPが提供するアドバイザリ情
報を参照してください。

この問題は、該当する製品をSAPが提供する修正済みのバージョンに更新する
ことで解決します。詳細は、SAPが提供する情報を参照してください。

関連文書 (英語)
SAP
SAP Security Patch Day December 2021
https://wiki.scn.sap.com/wiki/display/PSR/SAP+Security+Patch+Day+-+December+2021

【4】複数のApple製品に脆弱性

情報源
CISA Current Activity
Apple Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/14/apple-releases-security-updates-multiple-products

概要
複数のApple製品には、複数の脆弱性があります。結果として、遠隔の第三者
が任意のコマンドを実行するなどの可能性があります。

対象となる製品及びバージョンは次のとおりです。

- Safari 15.2より前のバージョン
- iOS 15.2より前のバージョン
- iPadOS 15.2より前のバージョン
- macOS Monterey 12.1より前のバージョン
- macOS Big Sur 11.6.2より前のバージョン
- macOS Catalina（Security Update 2021-008 未適用）
- tvOS 15.2より前のバージョン
- watchOS 8.3より前のバージョン

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Apple製品のアップデートについて（2021年12月）
https://www.jpcert.or.jp/newsflash/2021121401.html

Apple
Safari 15.2 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212982

Apple
iOS 15.2 および iPadOS 15.2 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212976

Apple
macOS Monterey 12.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212978

Apple
macOS Big Sur 11.6.2 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212979

Apple
セキュリティアップデート 2021-008 Catalina のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212981

Apple
tvOS 15.2 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212980

Apple
watchOS 8.3 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212975

【5】Google Chromeに複数の脆弱性

情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/14/google-releases-security-updates-chrome

概要
Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 96.0.4664.110より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)
Google

Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2021/12/stable-channel-update-for-desktop_13.html

【6】VMware Workspace ONE UEM consoleにサーバーサイドリクエストフォージェリの脆弱性

情報源
CISA Current Activity
VMware Releases Security Advisory
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/17/vmware-releases-security-advisory

概要
VMware Workspace ONE UEM consoleには、サーバーサイドリクエストフォージェリ
の脆弱性があります。結果として遠隔の第三者が、機微な情報を窃取する可能
性があります。

対象となる製品は次のとおりです。

- VMware Workspace ONE UEM console

この問題は、VMware Workspace ONE UEM consoleをVMwareが提供する修正済み
のバージョンに更新することで解決します。詳細は、VMwareが提供する情報を
参照してください。

関連文書 (英語)
VMware
VMSA-2021-0029
https://www.vmware.com/security/advisories/VMSA-2021-0029.html

【7】OpenSSLのlibsslにX509_verify_cert()内部エラーの不正な処理の問題

情報源
Japan Vulnerability Notes JVNVU#90127554
OpenSSLのlibsslにおけるX509_verify_cert()内部エラーの不正な処理
https://jvn.jp/vu/JVNVU90127554/

概要
OpenSSLのlibsslには、内部エラーの発生を示すX509_verify_cert()関数から
の戻り値（負の値）の処理に問題があります。結果としてアプリケーションに
クラッシュなどが発生する可能性があります。

対象となるバージョンは次のとおりです。

- OpenSSL 3.0.0 SSL/TLS クライアント

この問題は、OpenSSLをOpenSSL Projectが提供する修正済みのバージョンに更
新することで解決します。詳細は、OpenSSL Projectが提供する情報を参照し
てください。

関連文書 (英語)
OpenSSL
OpenSSL Security Advisory [14 December 2021]
https://www.openssl.org/news/secadv/20211214.txt

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○JPCERT/CCが「Apache Log4j2のRCE脆弱性（CVE-2021-44228）を狙う攻撃観測」を公開

2021年12月17日（金）、JPCERT/CCは、「Apache Log4j2のRCE脆弱性（CVE-202
1-44228）を狙う攻撃観測」をJPCERT/CC Eyesで公開しました。
本記事では、JPCERT/CCにてApache Log4j2において発見されたリモートコード
実行の脆弱性の攻撃の観測結果をまとめたものです。観測件数や攻撃文字列を
紹介しています。本製品は多数の製品に組み込まれているものと推測されます。
被害を受けていないかの確認や対策に活用ください。

参考文献 (日本語)
JPCERT/CC JPCERT/CC Eyes
Apache Log4j2のRCE脆弱性（CVE-2021-44228）を狙う攻撃観測
https://blogs.jpcert.or.jp/ja/2021/12/log4j-cve-2021-44228.html

目 次

【1】Apache Log4jに任意のコード実行の脆弱性
【2】ManageEngine Desktop CentralおよびManageEngine Desktop Central MSPに認証回避の脆弱性
【3】Google Chromeに複数の脆弱性
【4】複数のCisco製品にApache HTTP Serverと関連する脆弱性
【5】SonicWall SMA 100シリーズ製品に複数の脆弱性
【6】複数のMozilla製品に脆弱性
【7】トレンドマイクロ製ウイルスバスター クラウドに複数の脆弱性
【8】Djangoにアクセス制御回避の脆弱性
【今週のひとくちメモ】制御システムセキュリティカンファレンス 2022 参加登録開始のお知らせ

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr214901.html
https://www.jpcert.or.jp/wr/2021/wr214901.xml
============================================================================

【1】Apache Log4jに任意のコード実行の脆弱性

情報源
CISA Current Activity
Apache Releases Log4j Version 2.15.0 to Address Critical RCE Vulnerability Under Exploitation
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/10/apache-releases-log4j-version-2150-address-critical-rce

概要
JavaベースのオープンソースのロギングライブラリのApache Log4jには、任意
のコード実行の脆弱性があります。結果として、遠隔の第三者が、Apache
Log4jが動作するサーバーにおいて、細工したデータを送信することで、任意
のコードを実行する可能性があります。

対象となるバージョンは次のとおりです。

- Apache Log4j-core 2.15.0より前の2系のバージョン

なお、すでにEnd of Lifeを迎えているApache Log4j 1系のバージョンは、
Lookup機能が含まれておらず、JMS Appenderが有効でもクラス情報がデシリア
ライズされないため影響を受けないとの情報を確認しています。

この問題は、該当する製品をApache Software Foundationが提供する修正済み
のバージョンに更新することで解決します。詳細は、Apache Software
Foundationが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC 注意喚起
Apache Log4jの任意のコード実行の脆弱性（CVE-2021-44228）に関する注意喚起
https://www.jpcert.or.jp/at/2021/at210050.html

Japan Vulnerability Notes JVNVU#96768815
Apache Log4jにおける任意のコードが実行可能な脆弱性
https://jvn.jp/vu/JVNVU96768815/

関連文書 (英語)
The Apache Software Foundation
Apache Log4j Security Vulnerabilities
https://logging.apache.org/log4j/2.x/security.html

【2】ManageEngine Desktop CentralおよびManageEngine Desktop Central MSPに認証回避の脆弱性

情報源
CISA Current Activity
Zoho Releases Security Advisory for ManageEngine Desktop Central and Desktop Central MSP
https://us-cert.cisa.gov/ncas/current-activity/2021/12/06/zoho-releases-security-advisory-manageengine-desktop-central-and

概要
Zohoが提供するManageEngine Desktop CentralおよびManageEngine Desktop
Central MSPには、認証回避の脆弱性があります。結果として、遠隔の第三者
が任意のコードを実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- ManageEngine Desktop Central ビルド番号10.1.2127.17およびそれ以前と、10.1.2128.0から10.1.2137.2までのバージョン
- ManageEngine Desktop Central MSP ビルド番号10.1.2127.17およびそれ以前と、10.1.2128.0から10.1.2137.2までのバージョン

この問題は、該当する製品をZohoが提供する修正済みのバージョンに更新する
ことで解決します。詳細は、Zohoが提供する情報を参照してください。

関連文書 (英語)
Zoho
CVE-2021-44515: Security Advisory
https://www.manageengine.com/products/desktop-central/cve-2021-44515-authentication-bypass-filter-configuration.html

【3】Google Chromeに複数の脆弱性

情報源
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2021/12/stable-channel-update-for-desktop.html

概要
Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 96.0.4664.93より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

【4】複数のCisco製品にApache HTTP Serverと関連する脆弱性

情報源
CISA Current Activity
Cisco Releases Security Advisory for Multiple Products Affected by Apache HTTP Server Vulnerabilities
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/09/cisco-releases-security-advisory-multiple-products-affected-apache

概要
複数のCisco製品には、Apache HTTP Serverに関連する脆弱性があります。結
果として、遠隔の第三者がシステムを制御するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細や最新の情報については、Cisco
が提供するアドバイザリ情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)
Cisco
Multiple Vulnerabilities in Apache HTTP Server Affecting Cisco Products: November 2021
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-apache-httpd-2.4.49-VWL69sWQ

【5】SonicWall SMA 100シリーズ製品に複数の脆弱性

情報源
SonicWall
SonicWall Releases Security Advisory for SMA 100 Series Appliances
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/08/sonicwall-releases-security-advisory-sma-100-series-appliances

概要
SonicWall SMA 100シリーズには、複数の脆弱性があります。結果として、遠
隔の第三者が任意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

製品
- SMA 100シリーズ(SMA 200, 210, 400, 410, 500v (ESX, Hyper-V, KVM, AWS, Azure)

バージョン
- 10.2.1.3-27svより前のバージョン
- 10.2.0.9-41svより前のバージョン

この問題は、該当する製品をSonicWallが提供する修正済みのバージョンに更
新することで解決します。詳細は、SonicWallが提供する情報を参照してくだ
さい。

なお、バージョン9系のファームウェアは2021年10月31日にEOLとなっており、
バージョン9系を使用している場合は、最新の10.2.xバージョンへのアップグ
レードが推奨されています。

関連文書 (英語)
SonicWall
SonicWall patches multiple SMA100 affected vulnerabilities
https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0026

SonicWall
Product Security Notice: SMA 100 Series Vulnerability Patches (Q4 2021)
https://www.sonicwall.com/support/product-notification/product-security-notice-sma-100-series-vulnerability-patches-q4-2021/211201154715443/

【6】複数のMozilla製品に脆弱性

情報源
CISA Current Activity
Mozilla Releases Security Updates for Firefox, Firefox ESR, and Thunderbird
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/08/mozilla-releases-security-updates-firefox-firefox-esr-and

概要
複数のMozilla製品には、脆弱性があります。結果として、第三者がなりすま
し攻撃をするなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 95より前のバージョン
- Mozilla Firefox ESR 91.4.0より前のバージョン
- Mozilla Thunderbird 91.4.0より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)
Mozilla
Security Vulnerabilities fixed in Firefox 95
https://www.mozilla.org/en-US/security/advisories/mfsa2021-52/

Mozilla
Security Vulnerabilities fixed in Firefox ESR 91.4.0
https://www.mozilla.org/en-US/security/advisories/mfsa2021-53/

Mozilla
Security Vulnerabilities fixed in Thunderbird 91.4.0
https://www.mozilla.org/en-US/security/advisories/mfsa2021-54/

【7】トレンドマイクロ製ウイルスバスター クラウドに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#98117192
トレンドマイクロ製ウイルスバスター クラウドにおける複数の脆弱性
https://jvn.jp/vu/JVNVU98117192/

概要
トレンドマイクロ株式会社が提供するウイルスバスター クラウドには、複数
の脆弱性があります。結果として、当該製品がインストールされたシステムに
ログイン可能なユーザーが、管理者権限を取得し、任意のコードを実行するな
どの可能性があります。

対象となるバージョンは次のとおりです。

- ウイルスバスター クラウド バージョン17.0

この問題は、当該製品をトレンドマイクロ株式会社が提供する最新版へアップ
デートしたうえで、最新のパターンファイルを適用することで解決します。詳
細は、トレンドマイクロ株式会社が提供する情報を参照してください。

関連文書 (日本語)
トレンドマイクロ株式会社
アラート/アドバイザリ：ウイルスバスター クラウドの脆弱性について(CVE-2021-32460)
https://helpcenter.trendmicro.com/ja-jp/article/TMKA-10338

トレンドマイクロ株式会社
アラート/アドバイザリ：ウイルスバスター クラウド の脆弱性について(CVE-2021-43772)
https://helpcenter.trendmicro.com/ja-jp/article/TMKA-10848

【8】Djangoにアクセス制御回避の脆弱性

情報源
Django Software Foundation
Django security releases issued: 3.2.10, 3.1.14, and 2.2.25
https://www.djangoproject.com/weblog/2021/dec/07/security-releases/

概要
Djangoには、アクセス制限回避の脆弱性があります。

対象となるバージョンは次のとおりです。

- Django main branch
- Django 4.0
- Django 3.2
- Django 3.1
- Django 2.2

この問題は、当該製品をDjango Software Foundationが提供する最新版へアッ
プデートすることで解決します。詳細は、Django Software Foundationが提供
する情報を参照してください。

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○制御システムセキュリティカンファレンス 2022 参加登録開始のお知らせ

2022年2月3日（木）、JPCERT/CCは、制御システムセキュリティカンファレン
ス 2022をオンラインで開催します。ユーザー企業によるICSセキュリティガイ
ドラインの自社内策定の取り組みや、ICSベンダー視点でのランサムウェア感
染被害に遭った際の迅速な復旧までの道筋や対策など、今回も幅広く講演タイ
トルをご用意いたしました。

参加をご希望の場合、申し込みフォームに必要事項をご記入いただき、受付窓
口までメールでお申し込みください。

参考文献 (日本語)
JPCERT/CC
制御システムセキュリティカンファレンス 2022
https://www.jpcert.or.jp/event/ics-conference2022.html

目 次

【1】Mozilla Network Security Servicesにメモリ破損の脆弱性
【2】エレコム製LANルーターに複数の脆弱性
【3】NTTドコモ製Wi-Fi STATION SH-52Aにクロスサイトスクリプティングの脆弱性
【4】三菱電機製MELSECおよびMELIPCシリーズのEthernetポートに複数の脆弱性
【5】WordPress用プラグインAdvanced Custom Fieldsに複数の認証欠如の脆弱性
【今週のひとくちメモ】JPCERT/CC CSIRTマテリアルを更新

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr214801.html
https://www.jpcert.or.jp/wr/2021/wr214801.xml
============================================================================

【1】Mozilla Network Security Servicesにメモリ破損の脆弱性

情報源
CISA Current Activity
Mozilla Releases Security Updates for Network Security Services
https://us-cert.cisa.gov/ncas/current-activity/2021/12/02/mozilla-releases-security-updates-network-security-services

概要
Mozilla Network Security Servicesには、メモリ破損の脆弱性があります。
DERエンコードされたDSAまたはRSA-PSS署名の処理に問題があり、結果として、
ヒープオーバーフローが発生する可能性があります。

対象となるバージョンは次のとおりです。

- Mozilla Network Security Services 3.73より前のバージョン
- Mozilla Network Security Services 3.68.1 ESRより前のバージョン

Mozillaによると、Firefoxはこの問題の影響を受けませんが、Thunderbirdや
LibreOffice、Evolution、Evinceなど、署名検証にNetwork Security Services
を使用しているメールクライアントやPDFビューアーは影響を受ける可能性が
あります。

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)
Mozilla
Memory corruption in NSS via DER-encoded DSA and RSA-PSS signatures
https://www.mozilla.org/en-US/security/advisories/mfsa2021-51/

【2】エレコム製LANルーターに複数の脆弱性

情報源
Japan Vulnerability Notes JVN#88993473
複数のエレコム製 LAN ルーターにおける複数の脆弱性
https://jvn.jp/jp/JVN88993473/

Japan Vulnerability Notes JVNVU#94527926
エレコム製ルータにおける複数の脆弱性
https://jvn.jp/vu/JVNVU94527926/

概要
エレコム製LANルーターには、複数の脆弱性があります。結果として、隣接す
るネットワーク上の第三者が、認証なしで管理画面にアクセスするなどの可能
性があります。

対象となる製品およびバージョンは、多岐に渡ります。詳細は、エレコム株式
会社が提供する情報を参照してください。

この問題は、当該製品をエレコム株式会社が提供する情報をもとに、ファーム
ウェアを最新版へアップデートすることで解決します。詳細は、エレコム株式
会社が提供する情報を参照してください。

関連文書 (日本語)
エレコム株式会社
無線LANルーターのセキュリティ向上のためのファームウェアアップデートのお願い
https://www.elecom.co.jp/news/security/20211130-01/

【3】NTTドコモ製Wi-Fi STATION SH-52Aにクロスサイトスクリプティングの脆弱性

情報源
Japan Vulnerability Notes JVN#19482703
株式会社NTTドコモ製 Wi-Fi STATION SH-52A におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN19482703/

概要
株式会社NTTドコモが提供するWi-Fi STATION SH-52Aには、クロスサイトスク
リプティングの脆弱性があります。結果として、第三者が、当該製品のWebUI
にアクセスしているユーザーのウェブブラウザー上で、任意のスクリプトを実
行する可能性があります。

対象となるバージョンは次のとおりです。

- Wi-Fi STATION SH-52A
- 38JP_1_11G
- 38JP_1_11J
- 38JP_1_11K
- 38JP_1_11L
- 38JP_1_26F
- 38JP_1_26G
- 38JP_1_26J
- 38JP_2_03B
- 38JP_2_03C

この問題は、株式会社NTTドコモが提供する情報をもとに、最新版にアップデー
トすることで解決します。詳細は、株式会社NTTドコモが提供する情報を参照
してください。

関連文書 (日本語)
株式会社NTTドコモ
Wi-Fi STATION SH-52Aのソフトウェアアップデート情報
https://www.nttdocomo.co.jp/support/product_update/sh52a/

【4】三菱電機製MELSECおよびMELIPCシリーズのEthernetポートに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#94434051
三菱電機製MELSECおよびMELIPCシリーズのEthernetポートにおける複数の脆弱性
https://jvn.jp/vu/JVNVU94434051/

概要
三菱電機製MELSECおよびMELIPCシリーズのEthernetポートには、複数の脆弱性
があります。結果として、遠隔の第三者が、細工したパケットを送信すること
でサービス運用妨害（DoS）状態を引き起こし、当該製品のプログラムの実行
を停止したり、Ethernetの通信を停止するなどの可能性があります。

対象となる製品およびバージョンは、多岐に渡ります。詳細は三菱電機株式会
社が提供する情報を参照してください。

この問題は、一部の製品については開発者が提供する情報をもとに、修正済み
のバージョンにアップデートすることで解決します。その他の製品については、
次の回避策を適用することで影響を軽減することが可能です。

- 当該製品をインターネットに接続する場合には、ファイアウォールや仮想プライベートネットワーク（VPN）等を使用する
- LAN内で使用し、信頼できないネットワークやホストからアクセスできないようにする
- 当該製品のリモートパスワード機能またはIPフィルター機能を使用し、信頼できないホストからアクセスできないようにする

詳細は三菱電機株式会社が提供する情報を参照してください。

関連文書 (日本語)
三菱電機株式会社
MELSECおよびMELIPCシリーズのEthernetポートにおける複数のサービス拒否(DoS)の脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-019.pdf

【5】WordPress用プラグインAdvanced Custom Fieldsに複数の認証欠如の脆弱性

情報源
Japan Vulnerability Notes JVN#09136401
WordPress 用プラグイン Advanced Custom Fields における複数の認証欠如の脆弱性
https://jvn.jp/jp/JVN09136401/

概要
WordPress用プラグインAdvanced Custom Fieldsには、複数の認証欠如の脆弱
性があります。結果として、遠隔の第三者がデータベース上のアクセス権限の
ないデータを閲覧するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Advanced Custom Fields 5.11より前のバージョン
- Advanced Custom Fields Pro 5.11より前のバージョン

この問題は、Delicious Brainsが提供する情報をもとに、修正済みのバージョン
にアップデートすることで解決します。詳細はDelicious Brainsが提供する情
報を参照してください。

関連文書 (日本語)
Delicious Brains
Advanced Custom Fields
https://ja.wordpress.org/plugins/advanced-custom-fields/

関連文書 (英語)
Delicious Brains
Advanced Custom Fields for WordPress Developers.
https://www.advancedcustomfields.com/

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○JPCERT/CC CSIRTマテリアルを更新

JPCERT/CCはCSIRTマテリアルを更新しました。更新版では、CSIRTの体制整備
と運用、インシデント対応に関する現在の知見をもとに加筆修正するとともに、
PSIRTに代表される組織の提供物に対するセキュリティの取り組みといった、
組織のセキュリティ対応のスコープの変化を記述内容に反映しています。さら
にインシデント対応演習の実施について説明する参考資料を新たに加えました。

CSIRTマテリアルは、組織的なインシデント対応体制である「組織内CSIRT」の
構築を支援する目的で作成した文書です。これから自組織内にCSIRTを構築し
ようと考えている組織の方が、それまでのインシデント対応経験をもとに、既
存の体制を整理したり、見直したりしてCSIRTの構築に繋げる際の参考として
いただくことを意図しています。一連の資料では組織内CSIRTが一般的に備え
るべき機能や能力等を説明しています。

参考文献 (日本語)
JPCERT/CC
CSIRTマテリアル
https://www.jpcert.or.jp/csirt_material/

目 次

【1】複数のVMware製品に脆弱性
【2】複数のCisco製品に脆弱性
【3】PowerCMSのXMLRPC APIにOSコマンドインジェクションの脆弱性
【4】baserCMSに複数の脆弱性
【5】Apache log4netにXML外部実体参照（XXE）の脆弱性
【6】トレンドマイクロ製ウイルスバスター for Macにアクセス制限不備の脆弱性
【7】WordPress用プラグインBrowser and Operating System Finderにクロスサイトリクエストフォージェリの脆弱性
【今週のひとくちメモ】JPCERT/CC ベストレポーター賞 2021

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr214701.html
https://www.jpcert.or.jp/wr/2021/wr214701.xml
============================================================================

【1】複数のVMware製品に脆弱性

情報源
CISA Current Activity
VMware Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/11/24/vmware-releases-security-updates

概要
複数のVMware製品には、脆弱性があります。結果として、遠隔の第三者が機微
情報を窃取するなどの可能性があります。

対象となる製品は次のとおりです。

- vCenter Server 6.7系 6.7 U3pより前のバージョン
- vCenter Server 6.5系 6.5 U3rより前のバージョン
- Cloud Foundation (vCenter Server) 3系

この問題は、該当する製品をVMwareが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、VMwareが提供する情報を参照してください。

関連文書 (英語)
VMware
VMSA-2021-0027
https://www.vmware.com/security/advisories/VMSA-2021-0027.html

【2】複数のCisco製品に脆弱性

情報源
Cisco
Multiple Vulnerabilities in Apache HTTP Server Affecting Cisco Products: November 2021
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-apache-httpd-2.4.49-VWL69sWQ

概要
複数のCisco製品には、Apache HTTP Serverの脆弱性に関連する脆弱性があり
ます。結果として、遠隔の第三者が機微な情報を窃取するなどの可能性があり
ます。

対象となる製品は、多岐にわたります。詳細や最新の情報については、Cisco
が提供するアドバイザリ情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

【3】PowerCMSのXMLRPC APIにOSコマンドインジェクションの脆弱性

情報源
Japan Vulnerability Notes JVN#17645965
PowerCMS の XMLRPC API における OS コマンドインジェクションの脆弱性
https://jvn.jp/jp/JVN17645965/

概要
PowerCMSのXMLRPC APIには、OSコマンドインジェクションの脆弱性があります。
結果として、遠隔の第三者が任意のOSコマンドを実行する可能性があります。

対象となるバージョンは次のとおりです。

- PowerCMS 5.19およびそれ以前の5系のバージョン
- PowerCMS 4.49およびそれ以前の4系のバージョン
- PowerCMS 3.295およびそれ以前の3系のバージョン

開発者によると、すでにサポート終了をしたPowerCMS 2系以前のバージョンも
本脆弱性の影響を受けるとのことです。

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)
アルファサード株式会社
PowerCMS 5.19 / 4.49 / 3.295 向けパッチについて (XMLRPC API における OS コマンド・インジェクションの脆弱性対策)
https://www.powercms.jp/news/release-patch-xmlrpc-api-202110.html

アルファサード株式会社
PowerCMS の XMLRPC API における OS コマンド・インジェクションへの対応
https://www.powercms.jp/news/xmlrpc-api-provision-202111.html.html

【4】baserCMSに複数の脆弱性

情報源
Japan Vulnerability Notes JVN#81376414
baserCMS における複数の脆弱性
https://jvn.jp/jp/JVN81376414/

概要
baserCMSユーザー会が提供するbaserCMSには、複数の脆弱性があります。結果
として、当該製品にサイト運営者権限でログイン可能なユーザーが、任意のOS
コマンドを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- baserCMS 4.5.4より前のバージョン

この問題は、baserCMSを開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)
baserCMSユーザー会
2021/11/25 OSコマンドインジェクション、不正なコードアップロードの脆弱性
https://basercms.net/security/JVN_81376414

【5】Apache log4netにXML外部実体参照（XXE）の脆弱性

情報源
Japan Vulnerability Notes JVNTA#94851885
Apache log4netにおけるXML外部実体参照（XXE）の脆弱性
https://jvn.jp/ta/JVNTA94851885/

概要
Microsoft .NET Framework向けのオープンソースライブラリApache log4netに
は、XML外部実体参照（XXE）の脆弱性があります。結果として、log4netが組
み込まれたアプリケーションにおいて、細工されたlog4net用の設定ファイル
が読み込まれることによって、遠隔の第三者が機微なデータを窃取したり、サー
ビス運用妨害（DoS）攻撃を行ったりするなどの可能性があります。

対象となる製品は次のとおりです。

- Apache log4net（2.0.10より前のバージョン）を組み込んだ.NET FrameworkベースのWindowsアプリケーションおよびWebアプリケーション

この問題は、log4netを開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (英語)
PEPPERL+FUCHS
Multiple DTM and VisuNet Software - Vulnerability may allow local authorized attackers access and remote code execution on the target device
https://files.pepperl-fuchs.com/webcat/navi/productInfo/doct/tdoct7494__eng.pdf

Apache log4net
Download Apache log4net
http://logging.apache.org/log4net/download_log4net.html

Apache log4net
log4net function having XXE vulnerability
https://issues.apache.org/jira/browse/LOG4NET-575

【6】トレンドマイクロ製ウイルスバスター for Macにアクセス制限不備の脆弱性

情報源
Japan Vulnerability Notes JVNVU#95400836
トレンドマイクロ製ウイルスバスター for Macにおけるアクセス制限不備の脆弱性
https://jvn.jp/vu/JVNVU95400836/

概要
トレンドマイクロ株式会社が提供するウイルスバスター for Macには、アクセ
ス制限不備の脆弱性があります。結果として、当該製品がインストールされた
システムにログイン可能なユーザーが、管理者権限を取得し、任意のコードを
実行する可能性があります。

対象となるバージョンは次のとおりです。

- ウイルスバスター for Mac バージョン11.0

この問題は、当該製品をトレンドマイクロ株式会社が提供する修正済みのバー
ジョンに更新することで解決します。詳細は、トレンドマイクロ株式会社が提
供する情報を参照してください。

関連文書 (日本語)
トレンドマイクロ株式会社
アラート/アドバイザリ：ウイルスバスター for Mac の脆弱性について(CVE-2021-43771)
https://helpcenter.trendmicro.com/ja-jp/article/TMKA-10833

【7】WordPress用プラグインBrowser and Operating System Finderにクロスサイトリクエストフォージェリの脆弱性

情報源
Japan Vulnerability Notes JVN#93562098
WordPress 用プラグイン Browser and Operating System Finder におけるクロスサイトリクエストフォージェリの脆弱性
https://jvn.jp/jp/JVN93562098/

概要
WordPress用プラグインBrowser and Operating System Finderには、クロスサ
イトリクエストフォージェリの脆弱性があります。結果として、当該製品にロ
グインした状態の管理者権限を持つユーザーが、細工されたページにアクセス
した場合、意図しない操作をさせられる可能性があります。

対象となるバージョンは次のとおりです。

- Browser and Operating System Finder 1.2より前のバージョン

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)
WordPress
Browser and Operating System Finder
https://ja.wordpress.org/plugins/browser-and-operating-system-finder/

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○JPCERT/CC ベストレポーター賞 2021

JPCERT/CCは2021年度よりベストレポーター賞を制定し、2021年11月25日、初
回となる受賞者を発表しました。ベストレポーター賞は、インシデント報告と
脆弱性報告のそれぞれの部門において、情報提供によりJPCERT/CCの活動に顕
著な貢献をいただいた方に年1回、感謝の意を表するものです。

JPCERT/CCでは、国内外からインシデントや脆弱性などサイバーセキュリティ
に関するさまざまな問題についての報告をいただき、報告された問題の技術的
な分析、問題を解決するための関係者間の調整、問題から得られた知見や対策
につながる情報を発信しています。問題をいち早く発見し正確な情報を提供い
ただける報告者（レポーター）の皆さまの活動は、JPCERT/CCがサイバーセキュ
リティにおける問題を解決するための一連の活動を進めるためには無くてはな
らないものです。

JPCERT/CCは、多くの報告者の方々に日々ご協力いただいております。
JPCERT/CCに報告をくださったすべての方々に、この場を借りて感謝申し上げ
ます。引き続きJPCERT/CCの活動にご協力いただければと存じます。

参考文献 (日本語)
JPCERT/CC
JPCERT/CC ベストレポーター賞 2021
https://www.jpcert.or.jp/award/best-reporter-award/2021.html