■01/08(日)～01/14(土) のセキュリティ関連情報
目 次
【1】複数のマイクロソフト製品に脆弱性
【2】Windows 8.1サポートは2023年1月10日に終了しました
【3】複数のアドビ製品に脆弱性
【4】複数のJuniper Networks製品に脆弱性
【5】DrupalのPrivate Taxonomy Termsモジュールに脆弱性
【6】Google Chromeに複数の脆弱性
【7】OpenAM Web Policy Agent(OpenAMコンソーシアム版)にパストラバーサル脆弱性
【8】TP-Link SG105PEに認証回避の脆弱性
【9】pgAdmin 4にオープンリダイレクトの脆弱性
【10】Intel製oneAPIツールキットに権限昇格の脆弱性
【11】CLUSTERPRO Xに複数の脆弱性
【12】MAHO-PBX NetDevancerシリーズに複数の脆弱性
【13】ピクセラ製PIX-RT100に複数の脆弱性
【今週のひとくちメモ】JPCERT/CCが「Malware Analysis Operations（MAOps）の自動化」を公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2023/wr230118.html
https://www.jpcert.or.jp/wr/2023/wr230118.xml
============================================================================
【1】複数のマイクロソフト製品に脆弱性
情報源
CISA Current Activity
Microsoft Releases January 2023 Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2023/01/10/microsoft-releases-january-2023-security-updates
概要
複数のマイクロソフト製品には、脆弱性があります。結果として、遠隔の第三
者が任意のコードを実行するなどの可能性があります。
この問題は、Microsoft Updateなどを用いて、更新プログラムを適用すること
で解決します。詳細は、マイクロソフト株式会社が提供する情報を参照してく
ださい。
関連文書 (日本語)
マイクロソフト株式会社
2023 年 1 月のセキュリティ更新プログラム (月例)
https://msrc-blog.microsoft.com/2023/1/10/202301-security-update/
JPCERT/CC 注意喚起
2023年1月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2023/at230002.html
【2】Windows 8.1サポートは2023年1月10日に終了しました
情報源
マイクロソフト株式会社
Windows 8.1サポートは 2023 年 1 月 10 日に終了しました
https://prod.support.services.microsoft.com/ja-jp/windows/windows-8-1%E3%82%B5%E3%83%9D%E3%83%BC%E3%83%88%E3%81%AF-2023-%E5%B9%B4-1-%E6%9C%88-10-%E6%97%A5%E3%81%AB%E7%B5%82%E4%BA%86%E3%81%97%E3%81%BE%E3%81%99-3cfd4cde-f611-496a-8057-923fba401e93
概要
Windows 8.1は2023年1月10日にサポートが終了しました。この時点で、テクニ
カルアシスタンスとソフトウェア更新プログラムは提供されなくなります。Windows 8.1
を実行しているデバイスがある場合は、より最新のサービスおよびサポートさ
れているWindowsリリースにアップグレードすることをお勧めします。デバイ
スがWindowsのより最新のリリースを実行するための技術的な要件を満たして
いない場合は、デバイスをWindows 11をサポートするデバイスに置き換えるこ
とをお勧めします。
また、同社が提供するWindows 7 ESU、Windows Server 2008 ESU、Windows Server 2008 R2 ESU
のサポートも終了しました。
関連文書 (日本語)
情報処理推進機構（IPA）
Windows 8.1 のサポート終了に伴う注意喚起
https://www.ipa.go.jp/security/announce/win8_1_eos.html
【3】複数のアドビ製品に脆弱性
情報源
CISA Current Activity
Adobe Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2023/01/10/adobe-releases-security-updates-multiple-products
概要
複数のアドビ製品には、脆弱性があります。結果として、攻撃者が用意した悪
意のあるコンテンツをユーザーが開いた場合、任意のコードが実行されるなど
の可能性があります。
対象となる製品は次のとおりです。
- Adobe Acrobat
- Adobe Acrobat Reader
- Adobe InDesign
- Adobe InCopy
- Adobe Dimension
この問題は、該当製品を開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書 (日本語)
JPCERT/CC 注意喚起
Adobe AcrobatおよびReaderの脆弱性（APSB23-01）に関する注意喚起
https://www.jpcert.or.jp/at/2023/at230001.html
JPCERT/CC CyberNewsFlash
複数のアドビ製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2023011101.html
関連文書 (英語)
アドビ
Security update available for Adobe Acrobat and Reader | APSB23-01
https://helpx.adobe.com/security/products/acrobat/apsb23-01.html
アドビ
Security Update Available for Adobe InDesign | APSB23-07
https://helpx.adobe.com/security/products/indesign/apsb23-07.html
アドビ
Security Update Available for Adobe InCopy | APSB23-08
https://helpx.adobe.com/security/products/incopy/apsb23-08.html
アドビ
Security updates available for Dimension | APSB23-10
https://helpx.adobe.com/security/products/dimension/apsb23-10.html
【4】複数のJuniper Networks製品に脆弱性
情報源
CISA Current Activity
Juniper Networks Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2023/01/12/juniper-networks-releases-security-updates-multiple-products
概要
複数のJuniper Networks製品には、脆弱性があります。結果として、遠隔の第
三者がサービス運用妨害（DoS）攻撃を行うなどの可能性があります。
対象となる製品は、多岐にわたります。詳細はJuniper Networksが提供するア
ドバイザリ情報を参照してください。
この問題は、該当する製品をJuniper Networksが提供する修正済みのバージョン
に更新することで解決します。詳細は、Juniper Networksが提供する情報を参
照してください。
関連文書 (英語)
Juniper Networks
Juniper Support Portal Search Results - Security Advisories
https://supportportal.juniper.net/s/global-search/%40uri?#f:ctype=[Security Advisories]
【5】DrupalのPrivate Taxonomy Termsモジュールに脆弱性
情報源
CISA Current Activity
Drupal Releases Security Update to Address Vulnerability in Private Taxonomy Terms
https://www.cisa.gov/uscert/ncas/current-activity/2023/01/12/drupal-releases-security-update-address-vulnerability-private
概要
DrupalのPrivate Taxonomy Termsモジュールには、taxonomy overview pageと
overview formに対して適切にパーミッションを実施しない脆弱性があります。
対象となるモジュールおよびバージョンは次のとおりです。
- Drupal 8系向けのPrivate Taxonomy Terms 8.x-2.6より前のバージョン
この問題は、開発者が提供する修正済みのバージョンに更新することで解決し
ます。詳細は、開発者が提供する情報を参照してください。
関連文書 (英語)
Drupal
Private Taxonomy Terms - Moderately critical - Access bypass - SA-CONTRIB-2023-001
https://www.drupal.org/sa-contrib-2023-001
【6】Google Chromeに複数の脆弱性
情報源
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2023/01/stable-channel-update-for-desktop.html
概要
Google Chromeには、複数の脆弱性があります。
対象となるバージョンは次のとおりです。
- Google Chrome 109.0.5414.74（Linux版）より前のバージョン
- Google Chrome 109.0.5414.74/.75（Windows版）より前のバージョン
- Google Chrome 109.0.5414.87（Mac版）より前のバージョン
この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。
【7】OpenAM Web Policy Agent(OpenAMコンソーシアム版)にパストラバーサル脆弱性
情報源
Japan Vulnerability Notes JVNVU#91740661
OpenAM Web Policy Agent (OpenAMコンソーシアム版)におけるパストラバーサル脆弱性
https://jvn.jp/vu/JVNVU91740661/
概要
OpenAM Web Policy Agent（OpenAMコンソーシアム版）には、パストラバーサ
ルの脆弱性があります。結果として、第三者がドキュメントルート外のファイ
ルにアクセスする可能性があります。また、アクセスを許可されていない第三
者が、保護されたリソースにアクセスする可能性があります。
対象となるバージョンは次のとおりです。
- OpenAM Web Policy Agent（OpenAMコンソーシアム版）バージョン 4.1.0
この問題は、該当製品に開発者が提供する情報をもとにパッチを適用すること
で解決します。詳細は、開発者が提供する情報を参照してください。
関連文書 (日本語)
OpenAMコンソーシアム
web-agentsリポジトリ
https://github.com/openam-jp/web-agents
OpenAMコンソーシアム
issue#3: CVE-2023-22320
https://github.com/openam-jp/web-agents/issues/3
【8】TP-Link SG105PEに認証回避の脆弱性
情報源
Japan Vulnerability Notes JVN#78481846
TP-Link SG105PE における認証回避の脆弱性
https://jvn.jp/jp/JVN78481846/
概要
TP-Link SG105PEには、認証回避の脆弱性があります。結果として、悪意のあ
る第三者が特定の条件下で、管理者の権限で情報を閲覧したり、設定を変更し
たりする可能性があります。
対象となるバージョンは次のとおりです。
- TP-Link SG105PE 「TL-SG105PE(UN) 1.0_1.0.0 Build 20221208」より前のファームウェア
この問題は、該当製品を開発者が提供する情報をもとに、ファームウェアを最
新版へアップデートすることで解決します。詳細は、開発者が提供する情報を
参照してください。
関連文書 (日本語)
TP-Link
TL-SG105PE V1 のコンテンツ
https://www.tp-link.com/jp/support/download/tl-sg105pe/v1/#Firmware
TP-Link
イージースマートスイッチ | TL-SG105PE
https://www.tp-link.com/jp/business-networking/easy-smart-switch/tl-sg105pe/
【9】pgAdmin 4にオープンリダイレクトの脆弱性
情報源
Japan Vulnerability Notes JVN#03832974
pgAdmin 4 におけるオープンリダイレクトの脆弱性
https://jvn.jp/jp/JVN03832974/
概要
pgAdmin Projectが提供するpgAdmin 4には、オープンリダイレクトの脆弱性が
あります。結果として、細工されたURLにアクセスすることで、任意のウェブ
サイトにリダイレクトされる可能性があります。
対象となるバージョンは次のとおりです。
- pgAdmin 4 v6.14より前のバージョン
この問題は、該当製品を開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書 (英語)
pgAdmin Project
pgAdmin - PostgreSQL Tools
https://www.pgadmin.org/
pgAdmin Project
GitHub pgadmin-org / pgadmin4
https://github.com/pgadmin-org/pgadmin4
pgAdmin Project
Open URL Redirect Vulnerability #5343
https://github.com/pgadmin-org/pgadmin4/issues/5343
【10】Intel製oneAPIツールキットに権限昇格の脆弱性
情報源
Japan Vulnerability Notes JVNVU#94327726
Intel製oneAPIツールキットにおける権限昇格の脆弱性
https://jvn.jp/vu/JVNVU94327726/
概要
Intelから権限昇格の脆弱性に対応したoneAPIツールキット向けのアップデー
トが公開されました。
対象となる製品およびバージョンは次のとおりです。
- Intel oneAPI DPC++/C++ Compiler 2022.2.1より前のバージョン
- Intel C++ Compiler Classic 2021.8より前のバージョン
この問題は、該当製品を開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Intel製品に関する脆弱性について
https://www.jpcert.or.jp/newsflash/2023011102.html
関連文書 (英語)
Intel Corporation
INTEL-SA-00773: Intel oneAPI Toolkit software Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00773.html
Intel Corporation
Intel Product Security Center Advisories
https://www.intel.com/content/www/us/en/security-center/default.html
【11】CLUSTERPRO Xに複数の脆弱性
情報源
Japan Vulnerability Notes JVNVU#937040474
CLUSTERPRO Xにおける複数の脆弱性
https://jvn.jp/vu/JVNVU93704047/
概要
日本電気株式会社が提供するCLUSTERPRO Xには、複数の脆弱性があります。結
果として、遠隔の第三者が既存ファイルを上書きし、任意のコードを実行する
可能性があります。
対象となるバージョンは多岐にわたります。
この問題は、該当製品に開発者が提供する修正パッチを適用するか回避策を適
用することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書 (日本語)
日本電気株式会社
CLUSTERPRO X に複数の脆弱性
https://jpn.nec.com/security-info/secinfo/nv22-014.html
【12】MAHO-PBX NetDevancerシリーズに複数の脆弱性
情報源
Japan Vulnerability Notes JVN#99957889
MAHO-PBX NetDevancerシリーズにおける複数の脆弱性
https://jvn.jp/jp/JVN99957889/
概要
株式会社まほろば工房が提供するMAHO-PBX NetDevancerシリーズには、複数の
脆弱性があります。結果として、遠隔の第三者が任意のOSコマンドを実行する
などの可能性があります。
対象となるバージョンは次のとおりです。
- MAHO-PBX NetDevancer Lite/Uni/Pro/Cloud Ver.1.11.00より前のバージョン
- MAHO-PBX NetDevancer VSG Lite/Uni Ver.1.11.00より前のバージョン
- MAHO-PBX NetDevancer MobileGate Home/Office Ver.1.11.00より前のバージョン
この問題は、該当製品を開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書 (日本語)
株式会社まほろば工房
MAHO-PBX NetDevancerにおける複数の脆弱性につきまして
https://www.ate-mahoroba.jp/netdevancer/download/JVN99957889.pdf
【13】ピクセラ製PIX-RT100に複数の脆弱性
情報源
Japan Vulnerability Notes JVN#57296685
ピクセラ製 PIX-RT100 における複数の脆弱性
https://jvn.jp/jp/JVN57296685/
概要
株式会社ピクセラが提供するPIX-RT100には、複数の脆弱性があります。結果
として、隣接ネットワーク上の第三者が、ドキュメント化されていないTelnet
サービスまたはSSHサービスを介して当該製品にアクセスする可能性がありま
す。
対象となるバージョンは次のとおりです。
- PIX-RT100 バージョン RT100_TEQ_2.1.1_EQ101およびRT100_TEQ_2.1.2_EQ101
この問題は、該当製品を開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書 (日本語)
株式会社ピクセラ
PIX-RT100 アップデート
https://www.pixela.co.jp/products/network/pix_rt100/update.html
――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――
○JPCERT/CCが「Malware Analysis Operations（MAOps）の自動化」を公開
2023年1月10日、JPCERT/CCは「Malware Analysis Operations（MAOps）の自動
化」を公開しました。JPCERT/CCで行っているクラウド上でのマルウェア分析
の自動化方法について、事例をもとに紹介しています。クラウドサービスを活
用して日々のマルウェア分析の効率化に取り組む一助となれば幸いです。
参考文献 (日本語)
JPCERT/CC Eyes
Malware Analysis Operations（MAOps）の自動化
https://blogs.jpcert.or.jp/ja/2023/01/cloud_malware_analysis.html
―――――――――――――――――――――――――――――――――
