ミニ・いんふぉめーしょん

目 次

【1】複数のマイクロソフト製品に脆弱性
【2】複数のアドビ製品に脆弱性
【3】複数のMozilla製品に脆弱性
【4】複数のApple製品にサービス運用妨害（DoS）の脆弱性
【5】複数のCisco製品に脆弱性
【6】複数のSAP製品に脆弱性
【7】複数のCitrix製品に脆弱性
【8】複数のJuniper Networks製品に脆弱性
【9】Sambaに任意のディレクトリ作成の脆弱性
【10】WordPress用プラグインQuiz And Survey Masterに複数の脆弱性
【11】Silicon Labs製Z-Waveチップセットを利用するデバイスに複数の脆弱性
【12】MELSEC FシリーズEthernetインタフェースブロックに複数の脆弱性
【13】複数のキングジム製品に脆弱性
【14】Androidアプリ「ジモティー」に外部サービスのAPIキーがハードコードされている問題
【今週のひとくちメモ】JPCERT/CCが「侵入型ランサムウェア攻撃を受けたら読むFAQ」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr220301.html
https://www.jpcert.or.jp/wr/2022/wr220301.xml
============================================================================

【1】複数のマイクロソフト製品に脆弱性

情報源
CISA Current Activity
Microsoft Releases January 2022 Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/11/microsoft-releases-january-2022-security-updates

概要
複数のマイクロソフト製品には、脆弱性があります。結果として、遠隔の第三
者が任意のコードを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はマイクロソフト株式会社が提供
するアドバイザリ情報を参照してください。

この問題は、Microsoft Updateなどを用いて、更新プログラムを適用すること
で解決します。詳細は、マイクロソフト株式会社が提供する情報を参照してく
ださい。

関連文書 (日本語)
マイクロソフト株式会社
2022 年 1 月のセキュリティ更新プログラム
https://msrc.microsoft.com/update-guide/ja-JP/releaseNote/2022-Jan

JPCERT/CC 注意喚起
2022年1月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2022/at220002.html

【2】複数のアドビ製品に脆弱性

情報源
CISA Current Activity
Adobe Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/11/adobe-releases-security-updates-multiple-products

概要
複数のアドビ製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Adobe Acrobat
- Adobe Acrobat Reader
- Adobe Illustrator
- Adobe Bridge
- Adobe InCopy
- Adobe InDesign

この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC 注意喚起
Adobe AcrobatおよびReaderの脆弱性（APSB22-01）に関する注意喚起
https://www.jpcert.or.jp/at/2022/at220001.html

JPCERT/CC CyberNewsFlash
複数のアドビ製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2022011201.html

アドビ
Adobe InCopy に関するセキュリティアップデート公開 | APSB22-04
https://helpx.adobe.com/jp/security/products/incopy/apsb22-04.html

関連文書 (英語)
アドビ
Security update available for Adobe Acrobat and Reader | APSB22-01
https://helpx.adobe.com/security/products/acrobat/apsb22-01.html

アドビ
Security Updates Available for Adobe Illustrator | APSB22-02
https://helpx.adobe.com/security/products/illustrator/apsb22-02.html

アドビ
Security Updates Available for Adobe Bridge | APSB22-03
https://helpx.adobe.com/security/products/bridge/apsb22-03.html

アドビ
Security Update Available for Adobe InDesign | APSB22-05
https://helpx.adobe.com/security/products/indesign/apsb22-05.html

【3】複数のMozilla製品に脆弱性

情報源
CISA Current Activity
Mozilla Releases Security Updates for Firefox, Firefox ESR, and Thunderbird
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/11/mozilla-releases-security-updates-firefox-firefox-esr-and

概要
複数のMozilla製品には、脆弱性があります。結果として、ヒープバッファー
オーバーフローが発生するなどの可能性があります。

対象となる製品及びバージョンは次のとおりです。

- Mozilla Firefox 96より前のバージョン
- Mozilla Firefox ESR 91.5より前のバージョン
- Mozilla Thunderbird 91.5より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)
Mozilla
Security Vulnerabilities fixed in Firefox 96
https://www.mozilla.org/en-US/security/advisories/mfsa2022-01/

Mozilla
Security Vulnerabilities fixed in Firefox ESR 91.5
https://www.mozilla.org/en-US/security/advisories/mfsa2022-02/

Mozilla
Security Vulnerabilities fixed in Thunderbird 91.5
https://www.mozilla.org/en-US/security/advisories/mfsa2022-03/

【4】複数のApple製品にサービス運用妨害（DoS）の脆弱性

情報源
CISA Current Activity
Apple Releases Security Updates for iOS and iPadOS
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/13/apple-releases-security-updates-ios-and-ipados

概要
複数のApple製品には、脆弱性があります。結果として、第三者がサービス運
用妨害 (DoS) 攻撃をする可能性があります。

対象となる製品及びバージョンは次のとおりです。

- iOS 15.2.1より前のバージョン
- iPadOS 15.2.1より前のバージョン

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Apple製品のアップデートについて（2022年1月）
https://www.jpcert.or.jp/newsflash/2022011701.html

Apple
iOS 15.2.1 および iPadOS 15.2.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213043

【5】複数のCisco製品に脆弱性

情報源
CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/13/cisco-releases-security-updates-multiple-products

概要
複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者が脆弱
性を悪用して、権限昇格を行うなどの可能性があります。

対象となる製品は、多岐にわたります。詳細や最新の情報については、Cisco
が提供するアドバイザリ情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)
Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

Cisco
Cisco Unified Contact Center Management Portal and Unified Contact Center Domain Manager Privilege Escalation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ccmp-priv-esc-JzhTFLm4

【6】複数のSAP製品に脆弱性

情報源
CISA Current Activity
SAP Releases January 2022 Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/11/sap-releases-january-2022-security-updates

概要
複数のSAP製品には、脆弱性があります。結果として、遠隔の第三者が任意の
コードを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はSAPが提供するアドバイザリ情
報を参照してください。

この問題は、該当する製品をSAPが提供する修正済みのバージョンに更新する
ことで解決します。詳細は、SAPが提供する情報を参照してください。

関連文書 (英語)
SAP
SAP Security Patch - Day January 2022
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=596902035

【7】複数のCitrix製品に脆弱性

情報源
CISA Current Activity
Citrix Releases Security Update for Workspace App for Linux
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/11/citrix-releases-security-update-workspace-app-linux

CISA Current Activity
Citrix Releases Security Updates for Hypervisor
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/13/citrix-releases-security-updates-hypervisor

概要
複数のCitrix製品には、脆弱性があります。結果として、第三者が権限昇格し
たり、サービス運用妨害（DoS）攻撃を行ったりする可能性があります。

対象となる製品及びバージョンは次のとおりです。

- Citrix Workspace App for Linux 2112より前のバージョン
- Citrix Hypervisor 8.2 CU1 LTSR
- Citrix Hypervisor 8.2
- Citrix XenServer 7.1 LTSR CU2

この問題は、Citrixが提供する修正済みのバージョンに更新するか、パッチを
適用することで解決します。詳細は、Citrixが提供する情報を参照してくださ
い。

関連文書 (英語)
Citrix
Citrix Workspace App for Linux Security Update
https://support.citrix.com/article/CTX338435

Citrix
Citrix Hypervisor Security Update
https://support.citrix.com/article/CTX335432

【8】複数のJuniper Networks製品に脆弱性

情報源
CISA Current Activity
Juniper Networks Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/13/juniper-networks-releases-security-updates-multiple-products

概要
複数のJuniper Networks製品には、脆弱性があります。結果として、第三者が
機密情報を窃取したり、サービス運用妨害（DoS）攻撃を行ったりするなどの
可能性があります。

対象となる製品は、多岐にわたります。詳細はJuniper Networksが提供するア
ドバイザリ情報を参照してください。

この問題は、該当する製品をJuniper Networksが提供する修正済みのバージョ
ンに更新することで解決します。詳細は、Juniper Networksが提供する情報を
参照してください。

関連文書 (英語)
Juniper Networks
Browse by Category: Security Advisories - Security Advisories
https://kb.juniper.net/InfoCenter/index?page=content&channel=SECURITY_ADVISORIES

【9】Sambaに任意のディレクトリ作成の脆弱性

情報源
CISA Current Activity
Samba Releases Security Update
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/11/samba-releases-security-update

概要
Sambaには、任意のディレクトリ作成の脆弱性があります。結果として、第三
者がサーバーの共有設定外の領域に任意のディレクトリを作成する可能性があ
ります。

対象となるバージョンは次のとおりです。

- Samba 4.13.16より前のバージョン

この問題は、SambaをThe Samba Teamが提供する修正済みのバージョンに更新
することで解決します。詳細は、The Samba Teamが提供する情報を参照してく
ださい。

関連文書 (英語)
The Samba Team
Symlink race error can allow directory creation outside of the exported share.
https://www.samba.org/samba/security/CVE-2021-43566.html

【10】WordPress用プラグインQuiz And Survey Masterに複数の脆弱性

情報源
Japan Vulnerability Notes JVN#72788165
WordPress 用プラグイン Quiz And Survey Master における複数の脆弱性
https://jvn.jp/jp/JVN72788165/

概要
WordPress用プラグインQuiz And Survey Masterには、複数の脆弱性がありま
す。結果として、遠隔の第三者がユーザーのWebブラウザー上で任意のスクリ
プトを実行するなどの可能性があります。

対象となる製品及びバージョンは次のとおりです。

- Quiz And Survey Master 7.3.7より前のバージョン

この問題は、ExpressTechが提供する情報をもとに、修正済みのバージョンに
アップデートすることで解決します。詳細はExpressTechが提供する情報を参
照してください。

関連文書 (英語)
ExpressTech
Quiz And Survey Master - Best Quiz, Exam and Survey Plugin for WordPress
https://wordpress.org/plugins/quiz-master-next/

ExpressTech
Powerful quiz and survey for WordPress in few minutes!
https://quizandsurveymaster.com/

【11】Silicon Labs製Z-Waveチップセットを利用するデバイスに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#94598199
Silicon Labs製Z-Waveチップセットを利用するデバイスにおける複数の脆弱性
https://jvn.jp/vu/JVNVU94598199/

概要
Silicon Labs製Z-Waveチップセットを利用するデバイスには、複数の脆弱性が
あります。結果として、第三者が、機密情報を窃取したり、サービス運用妨害
（DoS）攻撃を行ったりするなどの可能性があります。

対象となる製品は次のとおりです。

- Silicon Labs 700 series
- Silicon Labs 500 series
- Silicon Labs 300 series
- Silicon Labs 200 series
- Silicon Labs 100 series

脆弱性に対する対策は各デバイスごとに異なるため、詳細は開発者に確認して
ください。

関連文書 (英語)
CERT Coordination Center
Silicon Labs Z-Wave chipsets contain multiple vulnerabilities
https://kb.cert.org/vuls/id/142629

【12】MELSEC FシリーズEthernetインタフェースブロックに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#93268332
MELSEC FシリーズEthernetインタフェースブロックにおける複数の脆弱性
https://jvn.jp/vu/JVNVU93268332/

概要
三菱電機株式会社が提供するMELSEC FシリーズEthernetインタフェースブロッ
クには、複数の脆弱性があります。結果として、遠隔の第三者が、細工したパ
ケットを送信することでサービス運用妨害（DoS）状態を引き起すなどの可能
性があります。

対象となる製品及びバージョンは、次のとおりです。

- FX3U-ENET ファームウェアバージョン1.16及びそれ以前
- FX3U-ENET-L ファームウェアバージョン1.16及びそれ以前
- FX3U-ENET-P502 ファームウェアバージョン1.16及びそれ以前

この問題は、該当する製品を三菱電機株式会社が提供する修正済みのバージョ
ンにアップデートすることで解決します。詳細は三菱電機株式会社が提供する
情報を参照してください。

関連文書 (日本語)
三菱電機株式会社
MELSEC F シリーズ Ethernet インタフェースブロックにおけるサービス拒否（DoS）及び潜在的な不特定の脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-023.pdf

三菱電機株式会社
MELSEC F シリーズ Ethernet インタフェースブロックにおけるサービス拒否（DoS）の脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-024.pdf

【13】複数のキングジム製品に脆弱性

情報源
Japan Vulnerability Notes JVN#81479705
ラベルプリンター「テプラ」PRO SR5900P / SR-R7900P における認証情報の不十分な保護の脆弱性
https://jvn.jp/jp/JVN81479705/

Japan Vulnerability Notes JVN#19826500
パスワードマネージャー「ミルパス」PW10 / PW20 における機微な情報を暗号化していない脆弱性
https://jvn.jp/jp/JVN19826500/

概要
複数のキングジム製品には脆弱性があります。結果として、当該製品にアクセ
ス可能な第三者が認証情報を漏えいさせたり、パスワードを窃取したりする可
能性があります。

対象となる製品及びバージョンは次のとおりです。

- ラベルプリンター「テプラ」PRO SR5900P 本体ソフトウェア Ver.1.080及びそれ以前
- ラベルプリンター「テプラ」PRO SR-R7900P 本体ソフトウェア Ver.1.030及びそれ以前
- パスワードマネージャー「ミルパス」PW20 ファームウェア すべてのバージョン
- パスワードマネージャー「ミルパス」PW10 ファームウェア すべてのバージョン

この問題のうち、ラベルプリンター「テプラ」については、該当する製品を株
式会社キングジムが提供する修正済みのバージョンに更新することで解決しま
す。パスワードマネージャー「ミルパス」のサポートはすでに終了しているた
め、当該製品の使用を停止してください。詳細は株式会社キングジムが提供す
る情報を参照してください。

関連文書 (日本語)
株式会社キングジム
ラベルプリンター「テプラ」PRO SR5900P / SR-R7900P における脆弱性について
https://www.kingjim.co.jp/download/security/#sr01

株式会社キングジム
パスワードマネージャー「ミルパス」PW10 / PW20における脆弱性について
https://www.kingjim.co.jp/download/security/#mirupass

【14】Androidアプリ「ジモティー」に外部サービスのAPIキーがハードコードされている問題

情報源
Japan Vulnerability Notes JVN#49047921
Android アプリ「ジモティー」に外部サービスの API キーがハードコードされている問題
https://jvn.jp/jp/JVN49047921/

概要
株式会社ジモティーが提供するAndroidアプリ「ジモティー」には、外部サー
ビスのAPIキーがハードコードされている問題があります。結果として、外部
サービスと連携するためのAPIキーが不正に窃取される可能性があります。

対象となるバージョンは次のとおりです。

- Android アプリ「ジモティー」3.7.42より前のバージョン

この問題は、該当する製品を株式会社ジモティーが提供する修正済みのバージョ
ンに更新することで解決します。詳細は株式会社ジモティーが提供する情報を
参照してください。

関連文書 (日本語)
株式会社ジモティー
株式会社ジモティーからの情報
https://jvn.jp/jp/JVN49047921/996576/

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○JPCERT/CCが「侵入型ランサムウェア攻撃を受けたら読むFAQ」を公開

2022年1月13日、JPCERT/CCは「侵入型ランサムウェア攻撃を受けたら読むFAQ」
を公開しました。本FAQは、インシデント対応の「初動対応」に焦点を絞り、3
つのカテゴリ、17のQAで構成しています。

一部の事例では、被害組織が適切な対応を行っていないことがあります。例え
ば、攻撃者が企業や組織の内部ネットワークに「侵入」した後、被害組織がネッ
トワーク／システムを停止することによる被害の拡大や、再発防止策を放置し
たままで活動を再開するなど、初動対応時に適切な対応を取っていないケース
があります。

このような状況を踏まえ、被害組織や初動対応支援にあたる関係者が初動対応
ミスを減らし、脅威を「正しく恐れ」、脅威に対応いただけるよう、本FAQは
対応のポイントや留意点をFAQ形式でまとめています。

参考文献 (日本語)
JPCERT/CC
侵入型ランサムウェア攻撃を受けたら読むFAQ
https://www.jpcert.or.jp/magazine/security/ransom-faq.html