■07/17(日)～07/23(土) のセキュリティ関連情報
目 次
【1】2022年7月Oracle Critical Patch Updateについて
【2】Google Chromeに複数の脆弱性
【3】Drupalに複数の脆弱性
【4】複数のApple製品に脆弱性
【5】複数のCisco製品に脆弱性
【6】Confluence ServerおよびData Center用のQuestions for Confluenceアプリに脆弱性
【7】三菱電機製GENESIS64およびMC Works64に複数の脆弱性
【8】サイボウズ Officeに複数の脆弱性
【9】U-Bootのsquashfsファイルシステム実装にヒープベースのバッファオーバーフローの脆弱性
【10】Bookedにオープンリダイレクトの脆弱性
【今週のひとくちメモ】「製品セキュリティインシデント対応チーム（PSIRT）成熟度ドキュメント」の日本語訳が公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr222901.html
https://www.jpcert.or.jp/wr/2022/wr222901.xml
============================================================================
【1】2022年7月Oracle Critical Patch Updateについて
情報源
CISA Current Activity
Oracle Releases July 2022 Critical Patch Update
https://www.cisa.gov/uscert/ncas/current-activity/2022/07/20/oracle-releases-july-2022-critical-patch-update
概要
Oracleから複数の製品およびコンポーネントに含まれる脆弱性に対応した
Oracle Critical Patch Update Advisoryが公開されました。
詳細は、Oracleが提供する情報を参照してください。
関連文書 (日本語)
JPCERT/CC 注意喚起
2022年7月Oracle製品のクリティカルパッチアップデートに関する注意喚起
https://www.jpcert.or.jp/at/2022/at220019.html
関連文書 (英語)
Oracle
Oracle Critical Patch Update Advisory - July 2022
https://www.oracle.com/security-alerts/cpujul2022.html
【2】Google Chromeに複数の脆弱性
情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://www.cisa.gov/uscert/ncas/current-activity/2022/07/21/google-releases-security-updates-chrome
概要
Google Chromeには、複数の脆弱性があります。
対象となるバージョンは次のとおりです。
- Google Chrome 103.0.5060.134より前のバージョン
この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。
関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/07/stable-channel-update-for-desktop_19.html
【3】Drupalに複数の脆弱性
情報源
CISA Current Activity
Drupal Releases Security Update
https://www.cisa.gov/uscert/ncas/current-activity/2022/07/21/drupal-releases-security-update
概要
Drupalには、複数の脆弱性があります。結果として、遠隔の第三者が任意のコー
ドを実行するなどの可能性があります。
対象となるバージョンは次のとおりです。
- Drupal 9.4.3より前の9.4系バージョン
- Drupal 9.3.19より前の9.3系バージョン
- Drupal 7.91より前の7系バージョン
なお、Drupal 9.3系より前の9系および8系のバージョンはサポートが終了して
おり、今回のセキュリティに関する情報は提供されていません。脆弱性ごとの
対象バージョンや条件についてはDrupalが提供する情報をご確認ください。
この問題は、Drupalが提供する修正済みのバージョンに更新することで解決し
ます。詳細は、Drupalが提供する情報を参照してください。
関連文書 (英語)
Drupal
Drupal core - Moderately critical - Information Disclosure - SA-CORE-2022-012
https://www.drupal.org/sa-core-2022-012
Drupal
Drupal core - Moderately critical - Access Bypass - SA-CORE-2022-013
https://www.drupal.org/sa-core-2022-013
Drupal
Drupal core - Critical - Arbitrary PHP code execution - SA-CORE-2022-014
https://www.drupal.org/sa-core-2022-014
Drupal
Drupal core - Moderately critical - Multiple vulnerabilities - SA-CORE-2022-015
https://www.drupal.org/sa-core-2022-015
【4】複数のApple製品に脆弱性
情報源
CISA Current Activity
Apple Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/07/22/apple-releases-security-updates-multiple-products
概要
複数のApple製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。
対象となる製品およびバージョンは次のとおりです。
- iOS 15.6より前のバージョン
- iPadOS 15.6より前のバージョン
- tvOS 15.6より前のバージョン
- macOS Monterey 12.5より前のバージョン
- macOS Big Sur 11.6.8より前のバージョン
- macOS Catalina（Security Update 2022-005 未適用）
- watchOS 8.7より前のバージョン
- Safari 15.6より前のバージョン
この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。
関連文書 (日本語)
Apple
iOS 15.6 および iPadOS 15.6 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213346
Apple
tvOS 15.6 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213342
Apple
macOS Monterey 12.5 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213345
Apple
macOS Big Sur 11.6.8 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213344
Apple
セキュリティアップデート 2022-005 Catalina のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213343
Apple
watchOS 8.7 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213340
Apple
Safari 15.6 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213341
【5】複数のCisco製品に脆弱性
情報源
CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/07/22/cisco-releases-security-updates-multiple-products
概要
複数のCisco製品には、影響度Criticalを含む複数の脆弱性があります。結果
として、遠隔の第三者が任意のコマンドを実行するなどの可能性があります。
対象となる製品は、多岐にわたります。詳細や最新の情報については、Cisco
が提供する情報を参照してください。
関連文書 (英語)
Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x
【6】Confluence ServerおよびData Center用のQuestions for Confluenceアプリに脆弱性
情報源
CISA Current Activity
Atlassian Releases Security Advisory for Questions for Confluence App, CVE-2022-26138
https://www.cisa.gov/uscert/ncas/current-activity/2022/07/22/atlassian-releases-security-advisory-questions-confluence-app-cve
概要
Confluence ServerおよびData Center用のQuestions for Confluenceアプリに
は、ハードコードされた認証情報の使用の脆弱性があります。結果として、遠
隔の第三者が機微な情報を窃取するなどの可能性があります。
対象となる製品およびバージョンは次のとおりです。
- 次のアプリを使用していたConfluence ServerおよびData Center
- Questions for Confluence 3.0.2
- Questions for Confluence 2.7.34および2.7.35
なお、上記バージョン以外にも影響を受ける可能性があるとのことです。
この問題は、当該アプリをAtlassianが提供する修正済みのバージョンに更新
または回避策を適用することで解決します。詳細は、Atlassianが提供する情
報を参照してください。
関連文書 (日本語)
Atlassian
Questions for Confluence のセキュリティ勧告 2022-07-20
https://ja.confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html
【7】三菱電機製GENESIS64およびMC Works64に複数の脆弱性
情報源
Japan Vulnerability Notes JVNVU#96480474
三菱電機製GENESIS64およびMC Works64における複数の脆弱性
https://jvn.jp/vu/JVNVU96480474/
概要
三菱電機株式会社が提供するGENESIS64およびMC Works64には、複数の脆弱性
があります。結果として、第三者が悪意のあるプログラムを実行するなどの可
能性があります。
対象となる製品およびバージョンは次のとおりです。
- GENESIS64 Version 10.97から10.97.1まで
- MC Works64 Version 4.04Eおよびそれ以前の全バージョン
この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書 (日本語)
三菱電機株式会社
GENESIS64 および MC Works64 における複数の脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2022-008.pdf
【8】サイボウズ Officeに複数の脆弱性
情報源
Japan Vulnerability Notes JVN#20573662
サイボウズ Office に複数の脆弱性
https://jvn.jp/jp/JVN20573662/
概要
サイボウズ Officeには、複数の脆弱性があります。結果として、遠隔の第三
者が、当該製品の情報を窃取したり、改ざんしたりするなどの可能性がありま
す。
対象となるバージョンは次のとおりです。
- サイボウズ Office 10.0.0から10.8.5まで
この問題は、サイボウズ Officeを開発者が提供する修正済みのバージョンに
更新することで解決します。詳細は、開発者が提供する情報を参照してくださ
い。
関連文書 (日本語)
サイボウズ株式会社
サイボウズ Office 10 脆弱性に関するお知らせ
https://cs.cybozu.co.jp/2022/007584.html
【9】U-Bootのsquashfsファイルシステム実装にヒープベースのバッファオーバーフローの脆弱性
情報源
Japan Vulnerability Notes JVNVU#97846460
U-Bootのsquashfsファイルシステム実装にヒープベースのバッファオーバーフローの脆弱性
https://jvn.jp/vu/JVNVU97846460/
概要
U-Bootのsquashfsファイルシステム実装には、ヒープベースのバッファオーバー
フローの脆弱性があります。結果として、細工されたsquashfsイメージをロー
ドすることで、任意のコードを実行されたり、サービス運用妨害（DoS）攻撃を
受けたりする可能性があります。
対象となるバージョンは次のとおりです。
- U-Boot バージョン v2020.10-rc2からv2022.07-rc5まで
この問題は、U-Bootを開発者が提供する修正済みのバージョンに更新すること
で解決します。詳細は、開発者が提供する情報を参照してください。
【10】Bookedにオープンリダイレクトの脆弱性
情報源
Japan Vulnerability Notes JVN#75063798
Booked におけるオープンリダイレクトの脆弱性
https://jvn.jp/jp/JVN75063798/
概要
Twinkle Toes Softwareが提供するBookedには、オープンリダイレクトの脆弱
性があります。結果として、細工されたURLにアクセスすることで、任意のWeb
サイトにリダイレクトされる可能性があります。
対象となるバージョンは次のとおりです。
- Booked 3.3より前のバージョン
この問題は、Bookedを開発者が提供する修正済みのバージョンに更新すること
で解決します。詳細は、開発者が提供する情報を参照してください。
――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――
○「製品セキュリティインシデント対応チーム（PSIRT）成熟度ドキュメント」の日本語訳が公開
2022年7月、FIRSTの製品セキュリティコミュニティによってまとめられた「製
品セキュリティインシデント対応チーム（PSIRT）成熟度ドキュメント 運用能
力と成熟度レベル」の日本語訳が公開されました。日本語訳は日本シーサート
協議会とSoftware ISACによって翻訳された後、JPCERT/CCとPanasonic PSIRT
とTOSHIBA-SIRTによってレビューされました。本ドキュメントでは、PSIRTが
成熟度レベルごとに選択する一連のユースケースとサービスの概要を紹介して
います。
参考文献 (日本語)
日本シーサート協議会
PSIRT Maturity Document 日本語版
https://www.nca.gr.jp/ttc/first_psirt_maturity_document.html
FIRST
Product Security Incident Response Team (PSIRT) Maturity Document（日本語訳）
https://www.first.org/standards/frameworks/psirts/FIRST_PSIRT_Maturity_Document_ja.pdf
――――――――――――――――――――――――――――――――――――――
