■09/25(日)～10/01(土) のセキュリティ関連情報
目 次
【1】Google Chromeに複数の脆弱性
【2】Apache TomcatにHttp11Processorインスタンスにおける競合状態による情報漏えいの脆弱性
【3】複数のCisco製品に脆弱性
【4】Drupal coreに情報漏えいの脆弱性
【5】Mozilla Thunderbirdに複数の脆弱性
【今週のひとくちメモ】IPAが「ビジネスメール詐欺（BEC）対策特設ページ」を公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr223901.html
https://www.jpcert.or.jp/wr/2022/wr223901.xml
============================================================================
【1】Google Chromeに複数の脆弱性
情報源
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/09/stable-channel-update-for-desktop_27.html
概要
Google Chromeには、複数の脆弱性があります。
対象となる製品は次のとおりです。
- Google Chrome 106.0.5249.61より前のバージョン
この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。
【2】Apache TomcatにHttp11Processorインスタンスにおける競合状態による情報漏えいの脆弱性
情報源
Japan Vulnerability Notes JVNVU#98868043
Apache TomcatにHttp11Processorインスタンスにおける競合状態による情報漏えいの脆弱性
https://jvn.jp/vu/JVNVU98868043/
概要
Apache Tomcatには、Http11Processorインスタンスにて競合状態が発生し、情
報漏えいに繋がる脆弱性があります。結果として、複数のクライアントから接
続された場合、レスポンスのすべてまたはその一部を誤ったクライアントに送
信することで、情報が漏えいする可能性があります。
対象となるバージョンは次のとおりです。
- Apache Tomcat 10.1.0-M1から10.1.0-M12までのバージョン
- Apache Tomcat 10.0.0-M1から10.0.18までのバージョン
- Apache Tomcat 9.0.0-M1から9.0.60までのバージョン
- Apache Tomcat 8.5.0から8.5.77までのバージョン
この問題は、Apache TomcatをThe Apache Software Foundationがが提供する
修正済みのバージョンに更新することで解決します。詳細は、開発者が提供す
る情報を参照してください。
関連文書 (英語)
The Apache Software Foundation
Fixed in Apache Tomcat 10.0.20
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.0.20
The Apache Software Foundation
Fixed in Apache Tomcat 10.1.0-M14
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.0-M14
The Apache Software Foundation
Fixed in Apache Tomcat 9.0.62
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.62
The Apache Software Foundation
Fixed in Apache Tomcat 8.5.78
https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.78
【3】複数のCisco製品に脆弱性
情報源
CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/09/30/cisco-releases-security-updates-multiple-products
概要
複数のCisco製品には、複数の脆弱性があります。結果として、遠隔の第三者
が、サービス運用妨害（DoS）攻撃を行うなどの可能性があります。
影響を受ける製品、バージョンは多岐にわたります。詳細は、Ciscoが提供す
るアドバイザリ情報を参照してください。
この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。
関連文書 (英語)
Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x
【4】Drupal coreに情報漏えいの脆弱性
情報源
CISA Current Activity
Drupal Releases Security Update
https://www.cisa.gov/uscert/ncas/current-activity/2022/09/30/drupal-releases-security-update
概要
Drupal coreには情報漏えいの脆弱性があります。結果として、Twigコードの
書き込み権限を持つ第三者が、当該システムのファイルの内容やデータベース
の資格情報を窃取する可能性があります
対象となるバージョンは次のとおりです。
- Drupal 9.4.7より前のバージョン
- Drupal 9.3.22より前のバージョン
- Drupal 8系バージョン
なお、Drupal 9.3系より前の9系および8系のバージョンはサポートが終了して
おり、セキュリティに関する情報は提供されていません。脆弱性ごとの対象
バージョンや条件についてはDrupalが提供する情報をご確認ください。
この問題は、Drupalが提供する修正済みのバージョンに更新することで解決し
ます。詳細は、Drupalが提供する情報を参照してください。
関連文書 (英語)
Drupal
Drupal core - Critical - Multiple vulnerabilities - SA-CORE-2022-016
https://www.drupal.org/sa-core-2022-016
【5】Mozilla Thunderbirdに複数の脆弱性
情報源
CISA Current Activity
Mozilla Releases Security Update for Thunderbird
https://www.cisa.gov/uscert/ncas/current-activity/2022/09/30/mozilla-releases-security-update-thunderbird
概要
Thunderbirdは複数の脆弱性があります。結果として、攻撃者がメッセージを
他者になりすまして送信するなどの可能性があります。
対象となるバージョンは次のとおりです。
- Mozilla Thunderbird 102.3.1より前のバージョン
この問題は、Mozilla ThunderbirdをMozillaが提供する修正済みのバージョン
に更新することで解決します。詳細は、Mozillaが提供する情報を参照してく
ださい。
関連文書 (英語)
Mozilla
Mozilla Foundation Security Advisory 2022-43
https://www.mozilla.org/en-US/security/advisories/mfsa2022-43/
――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――
○IPAが「ビジネスメール詐欺（BEC）対策特設ページ」を公開
2022年9月28日、IPAは「ビジネスメール詐欺（BEC）対策特設ページ」を公開
しました。本ページでは、今後もさらなるビジネスメール詐欺の脅威が考えら
れることから、ビジネスメール詐欺の対策に必要となる情報を集約しています。
参考文献 (日本語)
情報処理推進機構（IPA）
ビジネスメール詐欺（BEC）対策特設ページ
https://www.ipa.go.jp/security/bec/
――――――――――――――――――――――――――――――――――――――
