ミニ・いんふぉめーしょん

目 次

【1】複数のマイクロソフト製品に脆弱性
【2】複数のアドビ製品に脆弱性
【3】複数のMozilla製品に脆弱性
【4】複数のApple製品に脆弱性
【5】複数のIntel製品に脆弱性
【6】複数のCitrix製品に脆弱性
【7】複数のSAP製品に脆弱性
【8】複数のエレコム製LANルーターに脆弱性
【9】HPE Agentless ManagementのWindowsサービスに実行ファイルのパスが引用符で囲まれていない脆弱性
【今週のひとくちメモ】JPCERT/CCが「マルウェアEmotetの感染再拡大に関する注意喚起」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr220701.html
https://www.jpcert.or.jp/wr/2022/wr220701.xml
============================================================================

【1】複数のマイクロソフト製品に脆弱性

情報源
CISA Current Activity
Microsoft Releases February 2022 Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/02/08/microsoft-releases-february-2022-security-updates

概要
複数のマイクロソフト製品には、脆弱性があります。結果として、遠隔の第三
者が任意のコードを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はマイクロソフト株式会社が提供
するアドバイザリ情報を参照してください。

この問題は、Microsoft Updateなどを用いて、更新プログラムを適用すること
で解決します。詳細は、マイクロソフト株式会社が提供する情報を参照してく
ださい。

関連文書 (日本語)
マイクロソフト株式会社
2022 年 2 月のセキュリティ更新プログラム
https://msrc.microsoft.com/update-guide/ja-JP/releaseNote/2022-Feb

JPCERT/CC 注意喚起
2022年2月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2022/at220005.html

【2】複数のアドビ製品に脆弱性

情報源
CISA Current Activity
Adobe Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/02/08/adobe-releases-security-updates-multiple-products

概要
複数のアドビ製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Adobe Premiere Rush
- Adobe Illustrator
- Adobe Photoshop
- Adobe After Effects
- Adobe Creative Cloud Desktop Application

この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
複数のアドビ製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2022020901.html

関連文書 (英語)
アドビ
Security Updates Available for Adobe Premiere Rush | APSB22-06
https://helpx.adobe.com/security/products/premiere_rush/apsb22-06.html

アドビ
Security Updates Available for Adobe Illustrator | APSB22-07
https://helpx.adobe.com/security/products/illustrator/apsb22-07.html

アドビ
Security update available for Adobe Photoshop | APSB22-08
https://helpx.adobe.com/security/products/photoshop/apsb22-08.html

アドビ
Security Updates Available for Adobe After Effects | APSB22-09
https://helpx.adobe.com/security/products/after_effects/apsb22-09.html

アドビ
Security update available for Adobe Creative Cloud Desktop Application | APSB22-11
https://helpx.adobe.com/security/products/creative-cloud/apsb22-11.html

【3】複数のMozilla製品に脆弱性

情報源
CISA Current Activity
Mozilla Releases Security Updates for Firefox, Firefox ESR, and Thunderbird
https://www.cisa.gov/uscert/ncas/current-activity/2022/02/08/mozilla-releases-security-updates-firefox-and-firefox-esr

概要
複数のMozilla製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 97より前のバージョン
- Mozilla Firefox ESR 91.6より前のバージョン
- Mozilla Thunderbird 91.6より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)
Mozilla
Security Vulnerabilities fixed in Firefox 97
https://www.mozilla.org/en-US/security/advisories/mfsa2022-04/

Mozilla
Security Vulnerabilities fixed in Firefox ESR 91.6
https://www.mozilla.org/en-US/security/advisories/mfsa2022-05/

Mozilla
Security Vulnerabilities fixed in Thunderbird 91.6
https://www.mozilla.org/en-US/security/advisories/mfsa2022-06/

【4】複数のApple製品に脆弱性

情報源
CISA Current Activity
Apple Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/02/11/apple-releases-security-updates-multiple-products

概要
複数のApple製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- iOS 15.3.1より前のバージョン
- iPadOS 15.3.1より前のバージョン
- macOS Monterey 12.2.1より前のバージョン
- Safari 15.3より前のバージョン

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Apple製品のアップデートについて（2022年2月）
https://www.jpcert.or.jp/newsflash/2022021401.html

Apple
iOS 15.3.1 および iPadOS 15.3.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213093

Apple
macOS Monterey 12.2.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213092

Apple
Safari 15.3 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213091

【5】複数のIntel製品に脆弱性

情報源
Japan Vulnerability Notes JVNVU#99045838
Intel製品に複数の脆弱性（2022年2月）
https://jvn.jp/vu/JVNVU99045838/

概要
Intelから複数の製品に含まれる脆弱性に対応したIntel Product Security
Center Advisoriesが公開されました。

詳細は、Intelが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Intel製品に関する複数の脆弱性について
https://www.jpcert.or.jp/newsflash/2022020902.html

関連文書 (英語)
Intel
Intel Product Security Center Advisories
https://www.intel.com/content/www/us/en/security-center/default.html

【6】複数のCitrix製品に脆弱性

情報源
CISA Current Activity
Citrix Releases Security Updates for Hypervisor
https://www.cisa.gov/uscert/ncas/current-activity/2022/02/08/citrix-releases-security-updates-hypervisor

概要
複数のCitrix製品には、脆弱性があります。結果として、第三者がサービス運
用妨害（DoS）攻撃を行うなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はCitrixが提供する情報を参照し
てください。

この問題は、該当する製品をCitrixが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Citrixが提供する情報を参照してください。

関連文書 (英語)
Citrix
Security Advisory for Citrix Hypervisor
https://support.citrix.com/article/CTX337526

【7】複数のSAP製品に脆弱性

情報源
CISA Current Activity
Critical Vulnerabilities Affecting SAP Applications Employing Internet Communication Manager (ICM)
https://www.cisa.gov/uscert/ncas/current-activity/2022/02/08/critical-vulnerabilities-affecting-sap-applications-employing

概要
複数のSAP製品には、脆弱性があります。結果として、遠隔の第三者が任意の
コードを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はSAPが提供するアドバイザリ情
報を参照してください。

この問題は、該当する製品をSAPが提供する修正済みのバージョンに更新する
ことで解決します。詳細は、SAPが提供する情報を参照してください。

関連文書 (英語)
SAP
SAP Security Patch Day - February 2022
https://wiki.scn.sap.com/wiki/display/PSR/SAP+Security+Patch+Day+-+February+2022

【8】複数のエレコム製LANルーターに脆弱性

情報源
Japan Vulnerability Notes JVN#17482543
複数のエレコム製 LAN ルーターにおける複数の脆弱性
https://jvn.jp/jp/JVN17482543/

概要
複数のエレコム製LANルーターには、脆弱性があります。結果として、隣接す
るネットワーク上の第三者が任意のOSコマンドを実行するなどの可能性があり
ます。

対象となる製品およびバージョンは次のとおりです。

- WRH-300BK3 ファームウェア v1.05およびそれ以前
- WRH-300WH3 ファームウェア v1.05およびそれ以前
- WRH-300BK3-S ファームウェア v1.05およびそれ以前
- WRH-300DR3-S ファームウェア v1.05およびそれ以前
- WRH-300LB3-S ファームウェア v1.05およびそれ以前
- WRH-300PN3-S ファームウェア v1.05およびそれ以前
- WRH-300WH3-S ファームウェア v1.05およびそれ以前
- WRH-300YG3-S ファームウェア v1.05およびそれ以前
- WRC-300FEBK-R ファームウェア v1.13およびそれ以前

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)
エレコム株式会社
無線LANルーター・中継器のセキュリティ向上のためのファームウェアアップデートのお願い
https://www.elecom.co.jp/news/security/20220208-02/

【9】HPE Agentless ManagementのWindowsサービスに実行ファイルのパスが引用符で囲まれていない脆弱性

情報源
Japan Vulnerability Notes JVN#12969207
HPE Agentless Management が登録する一部の Windows サービスにおいて実行ファイルのパスが引用符で囲まれていない脆弱性
https://jvn.jp/jp/JVN12969207/

概要
HPE Agentless Managementが登録する一部のWindowsサービスには、実行ファ
イルのパスが引用符で囲まれていない脆弱性があります。結果として、当該サー
ビスの権限で不正なファイルが実行される可能性があります。

対象となる製品およびバージョンは次のとおりです。

- HPE Agentless Management Service for Windows x64 1.44.0.0より前のバージョン
- HPE ProLiant Agentless Management Service for HPE Apollo, ProLiant and Synergy Gen9 servers 10.96.0.0より前のバージョン

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (英語)
Hewlett Packard Enterprise
HPE Agentless Management Service for Windows, Unquoted Search Path
https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbgn04233en_us

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○JPCERT/CCが「マルウェアEmotetの感染再拡大に関する注意喚起」を公開

2022年2月10日、JPCERT/CCは、「マルウェアEmotetの感染再拡大に関する注意
喚起」を公開しました。2022年2月の第一週よりEmotetの感染が急速に拡大し
ており、JPCERT/CCで確認しているEmotetの特徴や動向をまとめています。
感染や被害の拡大を防ぐためにも、改めて適切な対策や対処ができているかの
確認や点検を推奨します。

参考文献 (日本語)
JPCERT/CC 注意喚起
マルウェアEmotetの感染再拡大に関する注意喚起
https://www.jpcert.or.jp/at/2022/at220006.html

目 次

【1】Sambaに複数の脆弱性
【2】Google Chromeに複数の脆弱性
【3】MIPS上で動作するOpenSSLにおけるBN_mod_exp()の誤った処理による脆弱性
【4】Cisco Small Business RVシリーズルーターに複数の脆弱性
【5】CSV+にクロスサイトスクリプティングの脆弱性
【今週のひとくちメモ】NISCがサイバーセキュリティ戦略（令和3年9月28日閣議決定）のカラーパンフレットを掲載

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr220601.html
https://www.jpcert.or.jp/wr/2022/wr220601.xml
============================================================================

【1】Sambaに複数の脆弱性

情報源
CISA Current Activity
Samba Releases Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/02/01/samba-releases-security-updates

概要
Sambaには、複数の脆弱性があります。結果として、遠隔の第三者が任意のコ
マンドを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- Samba 4.15.5より前のバージョン
- Samba 4.14.12より前のバージョン
- Samba 4.13.17より前のバージョン

この問題は、SambaをThe Samba Teamが提供する修正済みのバージョンに更新
することで解決します。詳細は、The Samba Teamが提供する情報を参照してく
ださい。

関連文書 (日本語)
Japan Vulnerability Notes JVNVU#92602689
Samba vfs_fruitモジュールにおける拡張ファイル属性の安全でない処理による境界外読み書きの脆弱性
https://jvn.jp/vu/JVNVU92602689/

関連文書 (英語)
The Samba Team
Samba Security Releases
https://www.samba.org/samba/history/security.html

CERT/CC Vulnerability Note VU#119678
Samba vfs_fruit module insecurely handles extended file attributes
https://kb.cert.org/vuls/id/119678

【2】Google Chromeに複数の脆弱性

情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://www.cisa.gov/uscert/ncas/current-activity/2022/02/02/google-releases-security-updates-chrome

概要
Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 98.0.4758.80/81/82（Windows版）より前のバージョン
- Google Chrome 98.0.4758.80（MacおよびLinux版）より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/02/stable-channel-update-for-desktop.html

【3】MIPS上で動作するOpenSSLにおけるBN_mod_exp()の誤った処理による脆弱性

情報源
Japan Vulnerability Notes JVNVU#95979433
MIPS上で動作するOpenSSLにおけるBN_mod_exp()の誤った処理
https://jvn.jp/vu/JVNVU95979433/

概要
MIPS上で動作するOpenSSLには、BN_mod_exp()で誤った結果を生成する可能性
があります。結果として、第三者が秘密鍵に関する情報を推測し、暗号化され
た通信内容を解読する可能性があります。

対象となるバージョンは次のとおりです。

MIPSプラットフォーム上で動作する次のバージョンのOpenSSL
- OpenSSL 1.0.2
- OpenSSL 1.1.1
- OpenSSL 3.0.0

なお、OpenSSL 1.1.0はサポートが終了しているため、本脆弱性の評価を実施
していないとのことです。

この問題は、OpenSSLをOpenSSL Projectが提供する修正済みのバージョンに更
新することで解決します。詳細は、OpenSSL Projectが提供する情報を参照し
てください。

関連文書 (英語)
OpenSSL Project
OpenSSL Security Advisory [28 January 2022]
https://www.openssl.org/news/secadv/20220128.txt

【4】Cisco Small Business RVシリーズルーターに複数の脆弱性

情報源
CISA Current Activity
Cisco Releases Security Updates for RV Series Routers
https://www.cisa.gov/uscert/ncas/current-activity/2022/02/03/cisco-releases-security-updates-rv-series-routers

概要
Cisco Small Business RVシリーズルーターには、複数の脆弱性があります。
結果として、遠隔の第三者が任意のコマンドを実行するなどの可能性がありま
す。

対象となる製品およびバージョンは次のとおりです。

- RV160およびRV260シリーズルーター
- ファームウェアバージョン1.0.01.05およびそれ以前
- RV340およびRV345シリーズルーター
- ファームウェアバージョン1.0.03.24

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)
Cisco
Cisco Small Business RV Series Routers Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-smb-mult-vuln-KA9PK6D

【5】CSV+にクロスサイトスクリプティングの脆弱性

情報源
Japan Vulnerability Notes JVN#67396225
CSV+ におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN67396225/

概要
CSV+には、クロスサイトスクリプティングの脆弱性があります。結果として、
第三者が、当該製品を使用しているユーザーに細工されたCSVファイルを読み
込ませ、リンクをクリックさせることで、任意のスクリプトを実行したり、
OSコマンドを実行したりする可能性があります。

対象となるバージョンは次のとおりです。

- CSV+ 0.8.1より前のバージョン

この問題は、CSV+を開発者が提供する修正済みのバージョンに更新することで
解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)
Plus one
0.8.1 脆弱性対応
https://github.com/plusone-masaki/csv-plus/releases/tag/v0.8.1

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○NISCがサイバーセキュリティ戦略（令和3年9月28日閣議決定）のカラーパンフレットを掲載

2022年2月1日、内閣サイバーセキュリティセンター（NISC）がサイバーセキュ
リティ戦略（令和3年9月28日閣議決定）のカラーパンフレット（日本語版と英
語版）をWebサイトに掲載しました。

参考文献 (日本語)
内閣サイバーセキュリティセンター（NISC）
サイバーセキュリティ戦略 Cybersecurity for All 誰も取り残さないサイバーセキュリティ
https://www.nisc.go.jp/active/kihon/pdf/cs-senryaku2021-c.pdf

参考文献 (英語)
内閣サイバーセキュリティセンター（NISC）
Cybersecurity Strategy: Cybersecurity for All "Cybersecurity which leaves no-one behind"
https://www.nisc.go.jp/active/kihon/pdf/cs-senryaku2021-en-booklet.pdf

目 次

【1】複数のApple製品に脆弱性
【2】トレンドマイクロ製Deep Security及びCloud One Workload SecurityのLinux版Agentに複数の脆弱性
【3】Apache TomcatにTime-of-check Time-of-use（TOCTOU）競合状態による権限昇格の脆弱性
【4】TransmitMailに複数の脆弱性
【今週のひとくちメモ】NISCが「東京2020大会におけるサイバーセキュリティ対策結果報告（総括）」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr220501.html
https://www.jpcert.or.jp/wr/2022/wr220501.xml
============================================================================

【1】複数のApple製品に脆弱性

情報源
CISA Current Activity
Apple Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/27/apple-releases-security-updates-multiple-products

概要
複数のApple製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコマンドを実行するなどの可能性があります。

対象となる製品及びバージョンは次のとおりです。

- iOS 15.3より前のバージョン
- iPadOS 15.3より前のバージョン
- macOS Monterey 12.2より前のバージョン
- macOS Big Sur 11.6.3より前のバージョン
- macOS Catalina（Security Update 2022-001 未適用）
- tvOS 15.3より前のバージョン
- Safari 15.3より前のバージョン
- watchOS 8.4より前のバージョン

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Apple製品のアップデートについて（2022年1月）
https://www.jpcert.or.jp/newsflash/2022011701.html

Apple
iOS 15.3 および iPadOS 15.3 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213053

Apple
macOS Monterey 12.2 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213054

Apple
macOS Big Sur 11.6.3 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213055

Apple
セキュリティアップデート 2022-001 Catalina のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213056

Apple
tvOS 15.3 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213057

Apple
Safari 15.3 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213058

Apple
watchOS 8.4 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213059

【2】トレンドマイクロ製Deep Security及びCloud One Workload SecurityのLinux版Agentに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#95024141
トレンドマイクロ製Deep SecurityおよびCloud One Workload SecurityのLinux版Agentにおける複数の脆弱性
https://jvn.jp/vu/JVNVU95024141/

概要
トレンドマイクロ株式会社が提供する、Deep Security及びCloud One Workload
SecurityのLinux版Agentには複数の脆弱性があります。結果として、当該製品
にログイン可能な第三者が権限昇格し、root権限で任意のコードを実行するな
どの可能性があります。

対象となる製品及びバージョンは次のとおりです。

- Deep Security Agent Linux版 バージョン10.0、11.0、12.0、20.0
- Cloud One Workload Security

この問題は、該当する製品をトレンドマイクロ株式会社が提供するパッチを適
用することで解決します。詳細は、トレンドマイクロ株式会社が提供する情報
を参照してください。

関連文書 (日本語)
トレンドマイクロ株式会社
アラート/アドバイザリ：Deep Security および Cloud One Workload Security の Linux版Agentにおける ディレクトリトラバーサルおよびコードインジェクションの脆弱性について
https://success.trendmicro.com/jp/solution/000290304

【3】Apache TomcatにTime-of-check Time-of-use（TOCTOU）競合状態による権限昇格の脆弱性

情報源
Japan Vulnerability Notes JVNVU#93604797
Apache TomcatにTime-of-check Time-of-use（TOCTOU）競合状態による権限昇格の脆弱性
https://jvn.jp/vu/JVNVU93604797/

概要
Apache Tomcatには、Time-of-check Time-of-use（TOCTOU）競合状態による権
限昇格の脆弱性があります。結果として、ローカルの攻撃者が、Tomcatプロセ
スが使用しているユーザーの権限でアクションを実行する可能性があります。

対象となるバージョンは次のとおりです。

- Apache Tomcat 10.1.0-M1から10.1.0-M8までのバージョン
- Apache Tomcat 10.0.0-M5から10.0.14までのバージョン
- Apache Tomcat 9.0.35から9.0.56までのバージョン
- Apache Tomcat 8.5.55から8.5.73までのバージョン

この問題は、Apache TomcatをThe Apache Software Foundationが提供する修
正済みのバージョンに更新することで解決します。詳細は、The Apache Software
Foundationが提供する情報を参照してください。

関連文書 (英語)
The Apache Software Foundation
Fixed in Apache Tomcat 10.1.0-M10
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.0-M10

The Apache Software Foundation
Fixed in Apache Tomcat 10.0.16
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.0.16

The Apache Software Foundation
Fixed in Apache Tomcat 9.0.58
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.58

The Apache Software Foundation
Fixed in Apache Tomcat 8.5.75
https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.75

【4】TransmitMailに複数の脆弱性

情報源
Japan Vulnerability Notes JVN#70100915
TransmitMail における複数の脆弱性
https://jvn.jp/jp/JVN70100915/

概要
TransmitMailには、複数の脆弱性があります。結果として、遠隔の第三者が、
サーバー上の任意のファイルを取得するなどの可能性があります。

対象となるバージョンは次のとおりです。

- TransmitMail 2.5.0から2.6.1まで

この問題は、TransmitMailを開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)
多川 貴郎
TransmitMail (v2.5.0 v2.6.1) の脆弱性について
https://dounokouno.com/2022/01/25/about-the-vulnerability-of-transmitmail-v2-5-0-v2-6-1/

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○NISCが「東京2020大会におけるサイバーセキュリティ対策結果報告（総括）」を公開

2022年1月28日、内閣サイバーセキュリティセンター（NISC）は「東京2020大
会におけるサイバーセキュリティ対策結果報告（総括）」を公開しました。
2021年に開催された東京オリンピック・パラリンピックのサイバーセキュリティ
確保に向けた組織体制づくりや取組についてまとめられています。また、大会
期間中に観測された攻撃試行の概要も紹介されています。

参考文献 (日本語)
内閣サイバーセキュリティセンター
東京大会におけるサイバーセキュリティ対策と今後の取組方針
https://www.nisc.go.jp/active/2020/pdf/Tokyo2020houkoku.pdf

目 次

【1】2022年1月Oracle Critical Patch Updateについて
【2】ManageEngine Desktop Central及びManageEngine Desktop Central MSPに認証回避の脆弱性
【3】Google Chromeに複数の脆弱性
【4】複数のCisco製品に脆弱性
【5】Drupalにクロスサイトスクリプティングの脆弱性
【6】McAfee Agent for Windowsに複数の脆弱性
【7】複数のF5 Networks製品に脆弱性
【8】GROWIにユーザー制御の鍵による認証回避の脆弱性
【9】キヤノン製レーザープリンター及びスモールオフィス向け複合機にクロスサイトスクリプティングの脆弱性
【10】三菱電機製GENESIS64及びMC Works64に複数の脆弱性
【11】php_mailformに複数のクロスサイトスクリプティングの脆弱性
【今週のひとくちメモ】フィッシング対策協議会が「第４回フィッシング対策勉強会」の参加申し込み受付けを開始

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr220401.html
https://www.jpcert.or.jp/wr/2022/wr220401.xml
============================================================================

【1】2022年1月Oracle Critical Patch Updateについて

情報源
CISA Current Activity
Oracle Releases January 2022 Critical Patch Update
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/18/oracle-releases-january-2022-critical-patch-update

概要
Oracleから複数の製品及びコンポーネントに含まれる脆弱性に対応した
Oracle Critical Patch Update Advisoryが公開されました。

詳細は、Oracleが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC 注意喚起
2022年1月Oracle製品のクリティカルパッチアップデートに関する注意喚起
https://www.jpcert.or.jp/at/2022/at220003.html

関連文書 (英語)
Oracle
Oracle Critical Patch Update Advisory - January 2022
https://www.oracle.com/security-alerts/cpujan2022.html

【2】ManageEngine Desktop Central及びManageEngine Desktop Central MSPに認証回避の脆弱性

情報源
CISA Current Activity
Zoho Releases Security Advisory for ManageEngine Desktop Central and Desktop Central MSP
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/19/zoho-releases-security-advisory-manageengine-desktop-central-and

概要
Zohoが提供するManageEngine Desktop Central及びManageEngine Desktop
Central MSPには、認証回避の脆弱性があります。結果として、遠隔の攻撃者
が各製品のサーバーからアクセス権限のないファイルを読み出したり、任意の
zipファイルを書き込んだりする可能性があります。

対象となる製品及びバージョンは次のとおりです。

- ManageEngine Desktop Central ビルド番号10.1.2137.9より前のバージョン
- ManageEngine Desktop Central MSP ビルド番号10.1.2137.9より前のバージョン

この問題は、該当する製品をZohoが提供する修正済みのバージョンに更新する
ことで解決します。詳細は、Zohoが提供する情報を参照してください。

関連文書 (英語)
Zoho
A critical security patch released in Desktop Central and Desktop Central MSP for CVE-2021-44757
https://pitstop.manageengine.com/portal/en/community/topic/a-critical-security-patch-released-in-desktop-central-and-desktop-central-msp-for-cve-2021-44757-17-1-2022

【3】Google Chromeに複数の脆弱性

情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/20/google-releases-security-updates-chrome

概要
Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 97.0.4692.99より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/01/stable-channel-update-for-desktop_19.html

【4】複数のCisco製品に脆弱性

情報源
CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/20/cisco-releases-security-updates-multiple-products

概要
複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者がroot
権限で任意のコマンドを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細や最新の情報については、Cisco
が提供するアドバイザリ情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)
Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

Cisco
Cisco Redundancy Configuration Manager for Cisco StarOS Software Multiple Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rcm-vuls-7cS3Nuq

【5】Drupalにクロスサイトスクリプティングの脆弱性

情報源
CISA Current Activity
Drupal Releases Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/20/drupal-releases-security-updates

概要
Drupalが使用するサードパーティライブラリjQuery UIには、複数のクロスサ
イトスクリプティングの脆弱性があります。結果として、当該製品を使用して
いるサイトにアクセスしたユーザーのウェブブラウザー上で、任意のスクリプ
トを実行される可能性があります。

対象となるバージョンは次のとおりです。

- Drupal 9.3.3より前の9.3系バージョン
- Drupal 9.2.11より前の9.2系バージョン
- Drupal 7.86より前の7系バージョン

この問題は、Drupalを開発者が提供する修正済みのバージョンに更新すること
で解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (英語)
Drupal
Drupal core - Moderately critical - Cross Site Scripting - SA-CORE-2022-001
https://www.drupal.org/sa-core-2022-001

Drupal
Drupal core - Moderately critical - Cross Site Scripting - SA-CORE-2022-002
https://www.drupal.org/sa-core-2022-002

【6】McAfee Agent for Windowsに複数の脆弱性

情報源
CISA Current Activity
McAfee Releases Security Update for McAfee Agent for Windows
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/21/mcafee-releases-security-update-mcafee-agent-windows

概要
McAfee Agent for Windowsには、複数の脆弱性があります。結果として、第三
者がSYSTEM権限で任意のコードを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- McAfee Agent for Windows 5.7.5より前のバージョン

この問題は、McAfee Agent for WindowsをMcAfeeが提供する修正済みのバージョン
に更新することで解決します。詳細は、McAfeeが提供する情報を参照してくだ
さい。

関連文書 (日本語)
Japan Vulnerability Notes JVNVU#96845652
McAfee Agent for Windowsにおける複数の脆弱性
https://jvn.jp/vu/JVNVU96845652/

関連文書 (英語)
McAfee
Security Bulletin - McAfee Agent update fixes two vulnerabilities (CVE-2021-31854, CVE-2022-0166)
https://kc.mcafee.com/corporate/index?page=content&id=SB10378

CERT/CC Vulnerability Note VU#287178
McAfee Agent for Windows is vulnerable to privilege escalation due to OPENSSLDIR location
https://kb.cert.org/vuls/id/287178

【7】複数のF5 Networks製品に脆弱性

情報源
CISA Current Activity
F5 Releases January 2022 Quarterly Security Notification
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/20/f5-releases-january-2022-quarterly-security-notification

概要
複数のF5 Networks製品には、影響度Highを含む複数の脆弱性があります。結
果として、認証済みの攻撃者が、NGINXデータプレーンインスタンス上の任意
のファイルにアクセスするなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はF5 Networksが提供するアドバ
イザリ情報を参照してください。

この問題は、該当する製品をF5 Networksが提供する修正済みのバージョンに
更新するか、回避策を適用することで解決します。詳細は、F5 Networksが提
供する情報を参照してください。

関連文書 (英語)
F5 Networks
K40084114: Overview of F5 vulnerabilities (January 2022)
https://support.f5.com/csp/article/K40084114

【8】GROWIにユーザー制御の鍵による認証回避の脆弱性

情報源
Japan Vulnerability Notes JVNVU#94151526
GROWIにおけるユーザ制御の鍵による認証回避の脆弱性
https://jvn.jp/vu/JVNVU94151526/

概要
GROWIには、ユーザー制御の鍵による認証回避の脆弱性があります。結果とし
て、認証のない遠隔の攻撃者が認証を回避し、ユーザーのコメントを削除する
可能性があります。

対象となるバージョンは次のとおりです。

- GROWI v4.4.7及びそれ以前のバージョン

この問題は、該当する製品を株式会社WESEEKが提供する修正済みのバージョン
に更新することで解決します。詳細は、株式会社WESEEKが提供する情報を参照
してください。

関連文書 (日本語)
株式会社WESEEK
GROWI 脆弱性対応のお知らせ (JVNVU#94151526)
https://weseek.co.jp/security/2022/01/21/vulnerability/growi-authentication-bypass/

【9】キヤノン製レーザープリンター及びスモールオフィス向け複合機にクロスサイトスクリプティングの脆弱性

情報源
Japan Vulnerability Notes JVN#64806328
キヤノン製レーザープリンターおよびスモールオフィス向け複合機におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN64806328/

概要
キヤノン株式会社が提供するレーザープリンター及びスモールオフィス向け複
合機には、格納型クロスサイトスクリプティングの脆弱性があります。結果と
して、当該製品の設定画面にアクセスしたユーザーのウェブブラウザー上で、
任意のスクリプトを実行される可能性があります。

対象となる製品は、多岐にわたります。詳細や最新の情報については、キヤノン
株式会社が提供するアドバイザリ情報を参照してください。

この問題は、該当する製品をキヤノン株式会社が提供する修正済みのバージョン
に更新することで解決します。詳細はキヤノン株式会社が提供する情報を参照
してください。

関連文書 (日本語)
キヤノン株式会社
レーザープリンター及びスモールオフィス向け複合機のクロスサイトスクリプティングに関する脆弱性対応について
https://cweb.canon.jp/e-support/info/211221xss.html

【10】三菱電機製GENESIS64及びMC Works64に複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#95403720
三菱電機製GENESIS64およびMC Works64における複数の脆弱性
https://jvn.jp/vu/JVNVU95403720/

概要
三菱電機株式会社が提供するGENESIS64及びMC Works64には、複数の脆弱性が
あります。結果として、遠隔の第三者が細工したWebSocketプロトコルのパケッ
トを送信することで、認証が回避され、当該製品を不正に操作されるなどの可
能性があります。

対象となる製品及びバージョンは次のとおりです。

- GENESIS64 Version 10.97
- MC Works64 Version 4.04E及びそれ以前

この問題は、当該製品のソフトウェアを三菱電機株式会社が提供するセキュリ
ティパッチを使用して更新することで解決します。詳細は、三菱電機株式会社
が提供する情報を参照してください。

関連文書 (日本語)
三菱電機株式会社
GENESIS64およびMC Works64のデータベースサーバーにおけるサービス拒否（DoS）の脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-028.pdf

三菱電機株式会社
GENESIS64およびMC Works64における情報漏えいの脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-027.pdf

三菱電機株式会社
GENESIS64およびMC Works64のWeb通信機能における認証回避の脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-026.pdf

三菱電機株式会社
MC Works64のモバイル監視における情報漏えいの脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-025.pdf

【11】php_mailformに複数のクロスサイトスクリプティングの脆弱性

情報源
Japan Vulnerability Notes JVN#16690037
php_mailform における複数のクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN16690037/

概要
エコノシス システム設計事務所が提供するphp_mailformには、複数のクロス
サイトスクリプティングの脆弱性があります。結果として、当該製品を使用し
ているユーザーのウェブブラウザー上で、任意のスクリプトを実行される可能
性があります。

対象となる製品及びバージョンは次のとおりです。

- php_mailform Version 1.40より前のバージョン

この問題は、該当する製品をエコノシス システム設計事務所が提供する修正
済みのバージョンに更新することで解決します。詳細はエコノシス システム
設計事務所が提供する情報を参照してください。

関連文書 (日本語)
エコノシス システム設計事務所
econosys-system / php_mailform
https://github.com/econosys-system/php_mailform

目 次

【1】複数のマイクロソフト製品に脆弱性
【2】複数のアドビ製品に脆弱性
【3】複数のMozilla製品に脆弱性
【4】複数のApple製品にサービス運用妨害（DoS）の脆弱性
【5】複数のCisco製品に脆弱性
【6】複数のSAP製品に脆弱性
【7】複数のCitrix製品に脆弱性
【8】複数のJuniper Networks製品に脆弱性
【9】Sambaに任意のディレクトリ作成の脆弱性
【10】WordPress用プラグインQuiz And Survey Masterに複数の脆弱性
【11】Silicon Labs製Z-Waveチップセットを利用するデバイスに複数の脆弱性
【12】MELSEC FシリーズEthernetインタフェースブロックに複数の脆弱性
【13】複数のキングジム製品に脆弱性
【14】Androidアプリ「ジモティー」に外部サービスのAPIキーがハードコードされている問題
【今週のひとくちメモ】JPCERT/CCが「侵入型ランサムウェア攻撃を受けたら読むFAQ」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr220301.html
https://www.jpcert.or.jp/wr/2022/wr220301.xml
============================================================================

【1】複数のマイクロソフト製品に脆弱性

情報源
CISA Current Activity
Microsoft Releases January 2022 Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/11/microsoft-releases-january-2022-security-updates

概要
複数のマイクロソフト製品には、脆弱性があります。結果として、遠隔の第三
者が任意のコードを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はマイクロソフト株式会社が提供
するアドバイザリ情報を参照してください。

この問題は、Microsoft Updateなどを用いて、更新プログラムを適用すること
で解決します。詳細は、マイクロソフト株式会社が提供する情報を参照してく
ださい。

関連文書 (日本語)
マイクロソフト株式会社
2022 年 1 月のセキュリティ更新プログラム
https://msrc.microsoft.com/update-guide/ja-JP/releaseNote/2022-Jan

JPCERT/CC 注意喚起
2022年1月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2022/at220002.html

【2】複数のアドビ製品に脆弱性

情報源
CISA Current Activity
Adobe Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/11/adobe-releases-security-updates-multiple-products

概要
複数のアドビ製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Adobe Acrobat
- Adobe Acrobat Reader
- Adobe Illustrator
- Adobe Bridge
- Adobe InCopy
- Adobe InDesign

この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC 注意喚起
Adobe AcrobatおよびReaderの脆弱性（APSB22-01）に関する注意喚起
https://www.jpcert.or.jp/at/2022/at220001.html

JPCERT/CC CyberNewsFlash
複数のアドビ製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2022011201.html

アドビ
Adobe InCopy に関するセキュリティアップデート公開 | APSB22-04
https://helpx.adobe.com/jp/security/products/incopy/apsb22-04.html

関連文書 (英語)
アドビ
Security update available for Adobe Acrobat and Reader | APSB22-01
https://helpx.adobe.com/security/products/acrobat/apsb22-01.html

アドビ
Security Updates Available for Adobe Illustrator | APSB22-02
https://helpx.adobe.com/security/products/illustrator/apsb22-02.html

アドビ
Security Updates Available for Adobe Bridge | APSB22-03
https://helpx.adobe.com/security/products/bridge/apsb22-03.html

アドビ
Security Update Available for Adobe InDesign | APSB22-05
https://helpx.adobe.com/security/products/indesign/apsb22-05.html

【3】複数のMozilla製品に脆弱性

情報源
CISA Current Activity
Mozilla Releases Security Updates for Firefox, Firefox ESR, and Thunderbird
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/11/mozilla-releases-security-updates-firefox-firefox-esr-and

概要
複数のMozilla製品には、脆弱性があります。結果として、ヒープバッファー
オーバーフローが発生するなどの可能性があります。

対象となる製品及びバージョンは次のとおりです。

- Mozilla Firefox 96より前のバージョン
- Mozilla Firefox ESR 91.5より前のバージョン
- Mozilla Thunderbird 91.5より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)
Mozilla
Security Vulnerabilities fixed in Firefox 96
https://www.mozilla.org/en-US/security/advisories/mfsa2022-01/

Mozilla
Security Vulnerabilities fixed in Firefox ESR 91.5
https://www.mozilla.org/en-US/security/advisories/mfsa2022-02/

Mozilla
Security Vulnerabilities fixed in Thunderbird 91.5
https://www.mozilla.org/en-US/security/advisories/mfsa2022-03/

【4】複数のApple製品にサービス運用妨害（DoS）の脆弱性

情報源
CISA Current Activity
Apple Releases Security Updates for iOS and iPadOS
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/13/apple-releases-security-updates-ios-and-ipados

概要
複数のApple製品には、脆弱性があります。結果として、第三者がサービス運
用妨害 (DoS) 攻撃をする可能性があります。

対象となる製品及びバージョンは次のとおりです。

- iOS 15.2.1より前のバージョン
- iPadOS 15.2.1より前のバージョン

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Apple製品のアップデートについて（2022年1月）
https://www.jpcert.or.jp/newsflash/2022011701.html

Apple
iOS 15.2.1 および iPadOS 15.2.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213043

【5】複数のCisco製品に脆弱性

情報源
CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/13/cisco-releases-security-updates-multiple-products

概要
複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者が脆弱
性を悪用して、権限昇格を行うなどの可能性があります。

対象となる製品は、多岐にわたります。詳細や最新の情報については、Cisco
が提供するアドバイザリ情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)
Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

Cisco
Cisco Unified Contact Center Management Portal and Unified Contact Center Domain Manager Privilege Escalation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ccmp-priv-esc-JzhTFLm4

【6】複数のSAP製品に脆弱性

情報源
CISA Current Activity
SAP Releases January 2022 Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/11/sap-releases-january-2022-security-updates

概要
複数のSAP製品には、脆弱性があります。結果として、遠隔の第三者が任意の
コードを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はSAPが提供するアドバイザリ情
報を参照してください。

この問題は、該当する製品をSAPが提供する修正済みのバージョンに更新する
ことで解決します。詳細は、SAPが提供する情報を参照してください。

関連文書 (英語)
SAP
SAP Security Patch - Day January 2022
https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=596902035

【7】複数のCitrix製品に脆弱性

情報源
CISA Current Activity
Citrix Releases Security Update for Workspace App for Linux
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/11/citrix-releases-security-update-workspace-app-linux

CISA Current Activity
Citrix Releases Security Updates for Hypervisor
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/13/citrix-releases-security-updates-hypervisor

概要
複数のCitrix製品には、脆弱性があります。結果として、第三者が権限昇格し
たり、サービス運用妨害（DoS）攻撃を行ったりする可能性があります。

対象となる製品及びバージョンは次のとおりです。

- Citrix Workspace App for Linux 2112より前のバージョン
- Citrix Hypervisor 8.2 CU1 LTSR
- Citrix Hypervisor 8.2
- Citrix XenServer 7.1 LTSR CU2

この問題は、Citrixが提供する修正済みのバージョンに更新するか、パッチを
適用することで解決します。詳細は、Citrixが提供する情報を参照してくださ
い。

関連文書 (英語)
Citrix
Citrix Workspace App for Linux Security Update
https://support.citrix.com/article/CTX338435

Citrix
Citrix Hypervisor Security Update
https://support.citrix.com/article/CTX335432

【8】複数のJuniper Networks製品に脆弱性

情報源
CISA Current Activity
Juniper Networks Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/13/juniper-networks-releases-security-updates-multiple-products

概要
複数のJuniper Networks製品には、脆弱性があります。結果として、第三者が
機密情報を窃取したり、サービス運用妨害（DoS）攻撃を行ったりするなどの
可能性があります。

対象となる製品は、多岐にわたります。詳細はJuniper Networksが提供するア
ドバイザリ情報を参照してください。

この問題は、該当する製品をJuniper Networksが提供する修正済みのバージョ
ンに更新することで解決します。詳細は、Juniper Networksが提供する情報を
参照してください。

関連文書 (英語)
Juniper Networks
Browse by Category: Security Advisories - Security Advisories
https://kb.juniper.net/InfoCenter/index?page=content&channel=SECURITY_ADVISORIES

【9】Sambaに任意のディレクトリ作成の脆弱性

情報源
CISA Current Activity
Samba Releases Security Update
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/11/samba-releases-security-update

概要
Sambaには、任意のディレクトリ作成の脆弱性があります。結果として、第三
者がサーバーの共有設定外の領域に任意のディレクトリを作成する可能性があ
ります。

対象となるバージョンは次のとおりです。

- Samba 4.13.16より前のバージョン

この問題は、SambaをThe Samba Teamが提供する修正済みのバージョンに更新
することで解決します。詳細は、The Samba Teamが提供する情報を参照してく
ださい。

関連文書 (英語)
The Samba Team
Symlink race error can allow directory creation outside of the exported share.
https://www.samba.org/samba/security/CVE-2021-43566.html

【10】WordPress用プラグインQuiz And Survey Masterに複数の脆弱性

情報源
Japan Vulnerability Notes JVN#72788165
WordPress 用プラグイン Quiz And Survey Master における複数の脆弱性
https://jvn.jp/jp/JVN72788165/

概要
WordPress用プラグインQuiz And Survey Masterには、複数の脆弱性がありま
す。結果として、遠隔の第三者がユーザーのWebブラウザー上で任意のスクリ
プトを実行するなどの可能性があります。

対象となる製品及びバージョンは次のとおりです。

- Quiz And Survey Master 7.3.7より前のバージョン

この問題は、ExpressTechが提供する情報をもとに、修正済みのバージョンに
アップデートすることで解決します。詳細はExpressTechが提供する情報を参
照してください。

関連文書 (英語)
ExpressTech
Quiz And Survey Master - Best Quiz, Exam and Survey Plugin for WordPress
https://wordpress.org/plugins/quiz-master-next/

ExpressTech
Powerful quiz and survey for WordPress in few minutes!
https://quizandsurveymaster.com/

【11】Silicon Labs製Z-Waveチップセットを利用するデバイスに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#94598199
Silicon Labs製Z-Waveチップセットを利用するデバイスにおける複数の脆弱性
https://jvn.jp/vu/JVNVU94598199/

概要
Silicon Labs製Z-Waveチップセットを利用するデバイスには、複数の脆弱性が
あります。結果として、第三者が、機密情報を窃取したり、サービス運用妨害
（DoS）攻撃を行ったりするなどの可能性があります。

対象となる製品は次のとおりです。

- Silicon Labs 700 series
- Silicon Labs 500 series
- Silicon Labs 300 series
- Silicon Labs 200 series
- Silicon Labs 100 series

脆弱性に対する対策は各デバイスごとに異なるため、詳細は開発者に確認して
ください。

関連文書 (英語)
CERT Coordination Center
Silicon Labs Z-Wave chipsets contain multiple vulnerabilities
https://kb.cert.org/vuls/id/142629

【12】MELSEC FシリーズEthernetインタフェースブロックに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#93268332
MELSEC FシリーズEthernetインタフェースブロックにおける複数の脆弱性
https://jvn.jp/vu/JVNVU93268332/

概要
三菱電機株式会社が提供するMELSEC FシリーズEthernetインタフェースブロッ
クには、複数の脆弱性があります。結果として、遠隔の第三者が、細工したパ
ケットを送信することでサービス運用妨害（DoS）状態を引き起すなどの可能
性があります。

対象となる製品及びバージョンは、次のとおりです。

- FX3U-ENET ファームウェアバージョン1.16及びそれ以前
- FX3U-ENET-L ファームウェアバージョン1.16及びそれ以前
- FX3U-ENET-P502 ファームウェアバージョン1.16及びそれ以前

この問題は、該当する製品を三菱電機株式会社が提供する修正済みのバージョ
ンにアップデートすることで解決します。詳細は三菱電機株式会社が提供する
情報を参照してください。

関連文書 (日本語)
三菱電機株式会社
MELSEC F シリーズ Ethernet インタフェースブロックにおけるサービス拒否（DoS）及び潜在的な不特定の脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-023.pdf

三菱電機株式会社
MELSEC F シリーズ Ethernet インタフェースブロックにおけるサービス拒否（DoS）の脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-024.pdf

【13】複数のキングジム製品に脆弱性

情報源
Japan Vulnerability Notes JVN#81479705
ラベルプリンター「テプラ」PRO SR5900P / SR-R7900P における認証情報の不十分な保護の脆弱性
https://jvn.jp/jp/JVN81479705/

Japan Vulnerability Notes JVN#19826500
パスワードマネージャー「ミルパス」PW10 / PW20 における機微な情報を暗号化していない脆弱性
https://jvn.jp/jp/JVN19826500/

概要
複数のキングジム製品には脆弱性があります。結果として、当該製品にアクセ
ス可能な第三者が認証情報を漏えいさせたり、パスワードを窃取したりする可
能性があります。

対象となる製品及びバージョンは次のとおりです。

- ラベルプリンター「テプラ」PRO SR5900P 本体ソフトウェア Ver.1.080及びそれ以前
- ラベルプリンター「テプラ」PRO SR-R7900P 本体ソフトウェア Ver.1.030及びそれ以前
- パスワードマネージャー「ミルパス」PW20 ファームウェア すべてのバージョン
- パスワードマネージャー「ミルパス」PW10 ファームウェア すべてのバージョン

この問題のうち、ラベルプリンター「テプラ」については、該当する製品を株
式会社キングジムが提供する修正済みのバージョンに更新することで解決しま
す。パスワードマネージャー「ミルパス」のサポートはすでに終了しているた
め、当該製品の使用を停止してください。詳細は株式会社キングジムが提供す
る情報を参照してください。

関連文書 (日本語)
株式会社キングジム
ラベルプリンター「テプラ」PRO SR5900P / SR-R7900P における脆弱性について
https://www.kingjim.co.jp/download/security/#sr01

株式会社キングジム
パスワードマネージャー「ミルパス」PW10 / PW20における脆弱性について
https://www.kingjim.co.jp/download/security/#mirupass

【14】Androidアプリ「ジモティー」に外部サービスのAPIキーがハードコードされている問題

情報源
Japan Vulnerability Notes JVN#49047921
Android アプリ「ジモティー」に外部サービスの API キーがハードコードされている問題
https://jvn.jp/jp/JVN49047921/

概要
株式会社ジモティーが提供するAndroidアプリ「ジモティー」には、外部サー
ビスのAPIキーがハードコードされている問題があります。結果として、外部
サービスと連携するためのAPIキーが不正に窃取される可能性があります。

対象となるバージョンは次のとおりです。

- Android アプリ「ジモティー」3.7.42より前のバージョン

この問題は、該当する製品を株式会社ジモティーが提供する修正済みのバージョ
ンに更新することで解決します。詳細は株式会社ジモティーが提供する情報を
参照してください。

関連文書 (日本語)
株式会社ジモティー
株式会社ジモティーからの情報
https://jvn.jp/jp/JVN49047921/996576/

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○JPCERT/CCが「侵入型ランサムウェア攻撃を受けたら読むFAQ」を公開

2022年1月13日、JPCERT/CCは「侵入型ランサムウェア攻撃を受けたら読むFAQ」
を公開しました。本FAQは、インシデント対応の「初動対応」に焦点を絞り、3
つのカテゴリ、17のQAで構成しています。

一部の事例では、被害組織が適切な対応を行っていないことがあります。例え
ば、攻撃者が企業や組織の内部ネットワークに「侵入」した後、被害組織がネッ
トワーク／システムを停止することによる被害の拡大や、再発防止策を放置し
たままで活動を再開するなど、初動対応時に適切な対応を取っていないケース
があります。

このような状況を踏まえ、被害組織や初動対応支援にあたる関係者が初動対応
ミスを減らし、脅威を「正しく恐れ」、脅威に対応いただけるよう、本FAQは
対応のポイントや留意点をFAQ形式でまとめています。

参考文献 (日本語)
JPCERT/CC
侵入型ランサムウェア攻撃を受けたら読むFAQ
https://www.jpcert.or.jp/magazine/security/ransom-faq.html

目 次

【1】Google Chromeに複数の脆弱性
【2】複数のVMware製品にヒープベースのバッファーオーバーフローの脆弱性
【3】WordPressに複数の脆弱性
【4】オムロン製CX-Oneにスタックベースのバッファーオーバーフローの脆弱性
【今週のひとくちメモ】JASAが「2022年 情報セキュリティ十大トレンド」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr220201.html
https://www.jpcert.or.jp/wr/2022/wr220201.xml
============================================================================

【1】Google Chromeに複数の脆弱性

情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/05/google-releases-security-updates-chrome

概要
Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 97.0.4692.71より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/01/stable-channel-update-for-desktop.html

【2】複数のVMware製品にヒープベースのバッファーオーバーフローの脆弱性

情報源
CISA Current Activity
VMware Releases Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/05/vmware-releases-security-updates

概要
複数のVMware製品には、ヒープベースのバッファーオーバーフローの脆弱性が
あります。結果として、CD-ROMデバイスエミュレーションを使用して仮想マシン
にアクセスできる第三者が、仮想マシンからハイパーバイザーでコードを実行
する可能性があります。

対象となる製品及びバージョンは次のとおりです。

- ESXi バージョン7.0、6.7、6.5
- Workstation バージョン16系
- Fusion バージョン12系
- VMware Cloud Foundation (ESXi) バージョン4系、3系

この問題は、該当する製品をVMwareが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、VMwareが提供する情報を参照してください。

関連文書 (英語)
VMware
VMSA-2022-0001
https://www.vmware.com/security/advisories/VMSA-2022-0001.html

【3】WordPressに複数の脆弱性

情報源
CISA Current Activity
WordPress Releases Security Update
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/07/wordpress-releases-security-update

概要
WordPressには、複数の脆弱性があります。結果として、遠隔の第三者が機微
な情報を窃取するなどの可能性があります。

対象となるバージョンは次のとおりです。

- WordPress 3.7から5.8まで

この問題は、該当する製品をWordPressが提供する修正済みのバージョンに更
新することで解決します。詳細は、WordPressが提供する情報を参照してくだ
さい。

関連文書 (日本語)
WordPress
WordPress 5.8.3 セキュリティリリース
https://ja.wordpress.org/2022/01/07/wordpress-5-8-3-security-release/

【4】オムロン製CX-Oneにスタックベースのバッファーオーバーフローの脆弱性

情報源
Japan Vulnerability Notes JVNVU#91728245
オムロン製CX-Oneにおけるスタックベースのバッファオーバーフローの脆弱性
https://jvn.jp/vu/JVNVU91728245/

概要
オムロン株式会社が提供するCX-Oneには、スタックベースのバッファーオーバー
フローの脆弱性があります。結果として、第三者が任意のコードを実行する可
能性があります。

対象となるバージョンは次のとおりです。

- CX-One バージョン 4.60及びそれ以前

この問題は、該当する製品をオムロン株式会社が提供する修正済みのバージョン
に更新することで解決します。詳細は、オムロン株式会社が提供する情報を参
照してください。

関連文書 (日本語)
オムロン株式会社
CX-Oneバージョンアッププログラムダウンロード (CX-Oneオートアップデート(V4向け_2022年1月))
https://www.fa.omron.co.jp/product/tool/26/cxone/j4_doc.html#common_module

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○JASAが「2022年 情報セキュリティ十大トレンド」を公開

2022年1月6日、日本セキュリティ監査協会（JASA）は、「情報セキュリティ監
査人が選ぶ2022年の情報セキュリティ十大トレンド」を公開しました。
このトレンド調査は、協会の公認情報セキュリティ監査人資格認定制度により
認定を受けた情報セキュリティ監査人を対象としたアンケートにより選ばれた
ものです。
2022年のトレンドは、人々の働き方や利用するシステムの環境の大きな変化に
伴いリスクそのものが変化してきていることに対し、従来のままのセキュリティ
対策では十分でないことを示唆するトピックが多く出てきている結果となって
います。

参考文献 (日本語)
日本セキュリティ監査協会 (JASA)
監査人の警鐘- 2022年 情報セキュリティ十大トレンド
https://www.jasa.jp/seminar/sec_trend2022/

目 次 \

【1】GroupSessionに複数の脆弱性
【2】Apache HTTP Server 2.4に複数の脆弱性
【3】QNAP製ネットワークビデオレコーダー製品に複数の脆弱性
【4】複数のVMware製品に脆弱性
【5】TP-Link製TL-WR802N V4(JP)にOSコマンドインジェクションの脆弱性
【6】IDEC製PLCに複数の脆弱性
【7】コニカミノルタ製複合機および印刷システムに複数の脆弱性
【今週のひとくちメモ】JPCERT/CCが「モバイル端末を狙うマルウェアへの対応FAQ」などを公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr220101.html
https://www.jpcert.or.jp/wr/2022/wr220101.xml
============================================================================

【1】GroupSessionに複数の脆弱性

情報源
Japan Vulnerability Notes JVN#79798166
GroupSession における複数の脆弱性
https://jvn.jp/jp/JVN79798166/

概要
日本トータルシステム株式会社が提供するGroupSessionには、複数の脆弱性が
あります。結果として、遠隔の第三者がサーバー内の任意のファイルにアクセ
スするなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- GroupSession 無料版 ver5.1.1およびそれ以前
- GroupSession byCloud ver5.1.1およびそれ以前
- GroupSession ZION ver5.1.1およびそれ以前

この問題は、当該製品を日本トータルシステム株式会社が提供する修正済みの
バージョンに更新することで解決します。詳細は、日本トータルシステム株式
会社が提供する情報を参照してください。

関連文書 (日本語)
日本トータルシステム株式会社
GroupSessionにおける脆弱性に関して(2021-12)
https://groupsession.jp/info/info-news/security20211220

【2】Apache HTTP Server 2.4に複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#97805418
Apache HTTP Server 2.4における複数の脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU97805418/

概要
The Apache Software Foundationが提供するApache HTTP Serverには、複数の
脆弱性があります。結果として、遠隔の第三者がサービス運用妨害（DoS）攻
撃を行うなどの可能性があります。

対象となるバージョンは次のとおりです。

- Apache HTTP Server 2.4.51およびそれ以前

この問題は、Apache HTTP ServerをThe Apache Software Foundationが提供す
る修正済みのバージョンに更新することで解決します。詳細は、The Apache
Software Foundationが提供する情報を参照してください。

関連文書 (英語)
The Apache Software Foundation
Fixed in Apache HTTP Server 2.4.52
https://httpd.apache.org/security/vulnerabilities_24.html#2.4.52

The Apache Software Foundation
Apache HTTP Server 2.4.52 Released
https://downloads.apache.org/httpd/Announcement2.4.html

【3】QNAP製ネットワークビデオレコーダー製品に複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#95429813
QNAP製ネットワークビデオレコーダー製品における複数の脆弱性
https://jvn.jp/vu/JVNVU95429813/

概要
QNAP Systemsが提供するネットワークビデオレコーダー（NVR）であるVioStar
シリーズには、複数の脆弱性があります。結果として、遠隔の第三者が任意の
コマンドを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- QNAP NVR VioStarシリーズ

この問題は、当該製品をQNAP Systemsが提供する修正済みのバージョンに更新
することで解決します。詳細は、QNAP Systemsが提供する情報を参照してくだ
さい。

関連文書 (英語)
QNAP Systems
Command Injection Vulnerability in QVR
https://www.qnap.com/en/security-advisory/qsa-21-51

QNAP Systems
Improper Authentication Vulnerability in QVR
https://www.qnap.com/en/security-advisory/qsa-21-52

【4】複数のVMware製品に脆弱性

情報源
VMware
VMSA-2021-0030
https://www.vmware.com/security/advisories/VMSA-2021-0030.html

概要
複数のVMware製品には、脆弱性があります。結果として、遠隔の第三者が機微
な情報を窃取するなどの可能性があります。

対象となる製品は次のとおりです。

- VMware Workspace ONE Access (Access) バージョン21.08（Linux）
- VMware Workspace ONE Access (Access) バージョン20.10.0.1（Linux）
- VMware Workspace ONE Access (Access) バージョン20.10（Linux）
- VMware Identity Manager (vIDM) バージョン3.3.5、3.3.4、3.3.3（Linux）
- VMware vRealize Automation (vIDM) バージョン7.6（Linux）
- VMware Cloud Foundation (vIDM) バージョン4系
- VMware Cloud Foundation (vRA) バージョン3系
- vRealize Suite Lifecycle Manager (vIDM) バージョン8系

この問題は、当該製品にVMwareが提供するパッチを適用することで解決します。
詳細は、VMwareが提供する情報を参照してください。

【5】TP-Link製TL-WR802N V4(JP)にOSコマンドインジェクションの脆弱性

情報源
Japan Vulnerability Notes JVNVU#94883311
TP-Link 製 TL-WR802N V4(JP) におけるOSコマンドインジェクション
https://jvn.jp/vu/JVNVU94883311/

概要
TP-Link製TL-WR802N V4(JP)のファームウェアには、OSコマンドインジェクション
の脆弱性があります。結果として、当該製品のwebインタフェースにログイン
できるユーザーが、ファームウェアのデザイン上想定されていないOSコマンド
を実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- TP-Link TL-WR802N V4(JP)向けファームウェア211202より前のバージョン

この問題は、当該製品をTP-Linkが提供する修正済みのバージョンに更新する
ことで解決します。詳細は、TP-Linkが提供する情報を参照してください。

関連文書 (日本語)
TP-Link
TL-WR802N V4をダウンロード
https://www.tp-link.com/jp/support/download/tl-wr802n/#Firmware

関連文書 (英語)
Isopach's blog
TP-Link TL-WR802N V4(JP) Command Injection Exploit (CVE-2021-4144)
https://isopach.dev/CVE-2021-4144/

【6】IDEC製PLCに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#92279973
IDEC製PLCに複数の脆弱性
https://jvn.jp/vu/JVNVU92279973/

概要
IDEC株式会社が提供するPLC（Programmable Logic Controller）には、複数の
脆弱性があります。結果として、第三者がPLCとソフトウエア間の通信からユー
ザーの認証情報を取得するなどの可能性があります。

対象となる製品は、多岐に渡ります。詳細はIDEC株式会社が提供するアドバイ
ザリ情報を参照してください。

この問題は、当該製品をIDEC株式会社が提供する修正済みのバージョンに更新
することで解決します。また、IDEC株式会社から、本脆弱性の影響を軽減する
ための回避策が提示されています。詳細は、IDEC株式会社が提供する情報を参
照してください。

関連文書 (日本語)
IDEC株式会社
弊社 PLC の脆弱性に関するご連絡
https://www.idec.com/home/lp/pdf/2021-12-24-PLC.pdf

【7】コニカミノルタ製複合機および印刷システムに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#95192472
コニカミノルタ製複合機および印刷システムにおける複数の脆弱性
https://jvn.jp/vu/JVNVU95192472/

概要
コニカミノルタ製複合機および印刷システムには、複数の脆弱性があります。
結果として、第三者が認証情報を取得したり、不正なファームウェアをインス
トールしたりするなどの可能性があります。

対象となる製品は、多岐に渡ります。詳細はコニカミノルタ株式会社が提供す
るアドバイザリ情報を参照してください。

この問題は、当該製品をコニカミノルタ株式会社が提供する修正済みのバージョン
に更新することで解決します。ファームウェアの適用は、リモートメンテナン
スまたはカスタマーエンジニアの訪問時に順次実施されるとのことです。詳細
は、コニカミノルタ株式会社が提供する情報を参照してください。

関連文書 (日本語)
コニカミノルタ株式会社
コニカミノルタ製複合機・プリンターにおける複数のセキュリティー脆弱性について
https://www.konicaminolta.jp/business/support/important/211224_01_01.html

目 次

【1】複数のマイクロソフト製品に脆弱性
【2】複数のアドビ製品に脆弱性
【3】複数のSAP製品に脆弱性
【4】複数のApple製品に脆弱性
【5】Google Chromeに複数の脆弱性
【6】VMware Workspace ONE UEM consoleにサーバーサイドリクエストフォージェリの脆弱性
【7】OpenSSLのlibsslにX509_verify_cert()内部エラーの不正な処理の問題
【今週のひとくちメモ】JPCERT/CCが「Apache Log4j2のRCE脆弱性（CVE-2021-44228）を狙う攻撃観測」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr215001.html
https://www.jpcert.or.jp/wr/2021/wr215001.xml
============================================================================

【1】複数のマイクロソフト製品に脆弱性

情報源
CISA Current Activity
Microsoft Releases December 2021 Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/14/microsoft-releases-december-2021-security-updates

概要
複数のマイクロソフト製品には、複数の脆弱性があります。結果として、遠隔
の第三者が任意のコードを実行するなどの可能性があります。

対象となる製品は、多岐に渡ります。詳細はマイクロソフト株式会社が提供す
るアドバイザリ情報を参照してください。

この問題は、Microsoft Updateなどを用いて、更新プログラムを適用すること
で解決します。詳細は、マイクロソフト株式会社が提供する情報を参照してく
ださい。

関連文書 (日本語)
マイクロソフト株式会社
2021 年 12 月のセキュリティ更新プログラム
https://msrc.microsoft.com/update-guide/ja-JP/releaseNote/2021-Dec

JPCERT/CC 注意喚起
2021年12月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2021/at210051.html

【2】複数のアドビ製品に脆弱性

情報源
CISA Current Activity
Adobe Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/14/adobe-releases-security-updates-multiple-products

概要
複数のアドビ製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Adobe Premiere Rush
- Adobe Experience Manager (AEM)
- Adobe Connect
- Photoshop 2021
- Photoshop 2022
- Adobe Prelude
- Adobe After Effects
- Adobe Dimension
- Adobe Premiere Pro
- Adobe Media Encoder
- Adobe Lightroom
- Adobe Audition

この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
複数のアドビ製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2021121501.html

関連文書 (英語)
アドビ
Security Updates Available for Adobe Premiere Rush | APSB21-101
https://helpx.adobe.com/security/products/premiere_rush/apsb21-101.html

アドビ
Security updates available for Adobe Experience Manager | APSB21-103
https://helpx.adobe.com/security/products/experience-manager/apsb21-103.html

アドビ
Security update available for Adobe Connect | APSB21-112
https://helpx.adobe.com/security/products/connect/apsb21-112.html

アドビ
Security update available for Adobe Photoshop | APSB21-113
https://helpx.adobe.com/security/products/photoshop/apsb21-113.html

アドビ
Security Updates Available for Adobe Prelude | APSB21-114
https://helpx.adobe.com/security/products/prelude/apsb21-114.html

アドビ
Security Updates Available for Adobe After Effects | APSB21-115
https://helpx.adobe.com/security/products/after_effects/apsb21-115.html

アドビ
Security updates available for Dimension | APSB21-116
https://helpx.adobe.com/security/products/dimension/apsb21-116.html

アドビ
Security Updates Available for Adobe Premiere Pro | APSB21-117
https://helpx.adobe.com/security/products/premiere_pro/apsb21-117.html

アドビ
Security Updates Available for Adobe Media Encoder | APSB21-118
https://helpx.adobe.com/security/products/media-encoder/apsb21-118.html

アドビ
Security Updates Available for Adobe Lightroom | APSB21-119
https://helpx.adobe.com/security/products/lightroom/apsb21-119.html

アドビ
Security Updates Available for Adobe Audition | APSB21-121
https://helpx.adobe.com/security/products/audition/apsb21-121.html

【3】複数のSAP製品に脆弱性

情報源
CISA Current Activity
SAP Releases December 2021 Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/14/sap-releases-december-2021-security-updates

概要
複数のSAP製品には、脆弱性があります。結果として、遠隔の第三者が任意の
コードを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はSAPが提供するアドバイザリ情
報を参照してください。

この問題は、該当する製品をSAPが提供する修正済みのバージョンに更新する
ことで解決します。詳細は、SAPが提供する情報を参照してください。

関連文書 (英語)
SAP
SAP Security Patch Day December 2021
https://wiki.scn.sap.com/wiki/display/PSR/SAP+Security+Patch+Day+-+December+2021

【4】複数のApple製品に脆弱性

情報源
CISA Current Activity
Apple Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/14/apple-releases-security-updates-multiple-products

概要
複数のApple製品には、複数の脆弱性があります。結果として、遠隔の第三者
が任意のコマンドを実行するなどの可能性があります。

対象となる製品及びバージョンは次のとおりです。

- Safari 15.2より前のバージョン
- iOS 15.2より前のバージョン
- iPadOS 15.2より前のバージョン
- macOS Monterey 12.1より前のバージョン
- macOS Big Sur 11.6.2より前のバージョン
- macOS Catalina（Security Update 2021-008 未適用）
- tvOS 15.2より前のバージョン
- watchOS 8.3より前のバージョン

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Apple製品のアップデートについて（2021年12月）
https://www.jpcert.or.jp/newsflash/2021121401.html

Apple
Safari 15.2 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212982

Apple
iOS 15.2 および iPadOS 15.2 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212976

Apple
macOS Monterey 12.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212978

Apple
macOS Big Sur 11.6.2 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212979

Apple
セキュリティアップデート 2021-008 Catalina のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212981

Apple
tvOS 15.2 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212980

Apple
watchOS 8.3 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212975

【5】Google Chromeに複数の脆弱性

情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/14/google-releases-security-updates-chrome

概要
Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 96.0.4664.110より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)
Google

Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2021/12/stable-channel-update-for-desktop_13.html

【6】VMware Workspace ONE UEM consoleにサーバーサイドリクエストフォージェリの脆弱性

情報源
CISA Current Activity
VMware Releases Security Advisory
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/17/vmware-releases-security-advisory

概要
VMware Workspace ONE UEM consoleには、サーバーサイドリクエストフォージェリ
の脆弱性があります。結果として遠隔の第三者が、機微な情報を窃取する可能
性があります。

対象となる製品は次のとおりです。

- VMware Workspace ONE UEM console

この問題は、VMware Workspace ONE UEM consoleをVMwareが提供する修正済み
のバージョンに更新することで解決します。詳細は、VMwareが提供する情報を
参照してください。

関連文書 (英語)
VMware
VMSA-2021-0029
https://www.vmware.com/security/advisories/VMSA-2021-0029.html

【7】OpenSSLのlibsslにX509_verify_cert()内部エラーの不正な処理の問題

情報源
Japan Vulnerability Notes JVNVU#90127554
OpenSSLのlibsslにおけるX509_verify_cert()内部エラーの不正な処理
https://jvn.jp/vu/JVNVU90127554/

概要
OpenSSLのlibsslには、内部エラーの発生を示すX509_verify_cert()関数から
の戻り値（負の値）の処理に問題があります。結果としてアプリケーションに
クラッシュなどが発生する可能性があります。

対象となるバージョンは次のとおりです。

- OpenSSL 3.0.0 SSL/TLS クライアント

この問題は、OpenSSLをOpenSSL Projectが提供する修正済みのバージョンに更
新することで解決します。詳細は、OpenSSL Projectが提供する情報を参照し
てください。

関連文書 (英語)
OpenSSL
OpenSSL Security Advisory [14 December 2021]
https://www.openssl.org/news/secadv/20211214.txt

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○JPCERT/CCが「Apache Log4j2のRCE脆弱性（CVE-2021-44228）を狙う攻撃観測」を公開

2021年12月17日（金）、JPCERT/CCは、「Apache Log4j2のRCE脆弱性（CVE-202
1-44228）を狙う攻撃観測」をJPCERT/CC Eyesで公開しました。
本記事では、JPCERT/CCにてApache Log4j2において発見されたリモートコード
実行の脆弱性の攻撃の観測結果をまとめたものです。観測件数や攻撃文字列を
紹介しています。本製品は多数の製品に組み込まれているものと推測されます。
被害を受けていないかの確認や対策に活用ください。

参考文献 (日本語)
JPCERT/CC JPCERT/CC Eyes
Apache Log4j2のRCE脆弱性（CVE-2021-44228）を狙う攻撃観測
https://blogs.jpcert.or.jp/ja/2021/12/log4j-cve-2021-44228.html

目 次

【1】Apache Log4jに任意のコード実行の脆弱性
【2】ManageEngine Desktop CentralおよびManageEngine Desktop Central MSPに認証回避の脆弱性
【3】Google Chromeに複数の脆弱性
【4】複数のCisco製品にApache HTTP Serverと関連する脆弱性
【5】SonicWall SMA 100シリーズ製品に複数の脆弱性
【6】複数のMozilla製品に脆弱性
【7】トレンドマイクロ製ウイルスバスター クラウドに複数の脆弱性
【8】Djangoにアクセス制御回避の脆弱性
【今週のひとくちメモ】制御システムセキュリティカンファレンス 2022 参加登録開始のお知らせ

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr214901.html
https://www.jpcert.or.jp/wr/2021/wr214901.xml
============================================================================

【1】Apache Log4jに任意のコード実行の脆弱性

情報源
CISA Current Activity
Apache Releases Log4j Version 2.15.0 to Address Critical RCE Vulnerability Under Exploitation
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/10/apache-releases-log4j-version-2150-address-critical-rce

概要
JavaベースのオープンソースのロギングライブラリのApache Log4jには、任意
のコード実行の脆弱性があります。結果として、遠隔の第三者が、Apache
Log4jが動作するサーバーにおいて、細工したデータを送信することで、任意
のコードを実行する可能性があります。

対象となるバージョンは次のとおりです。

- Apache Log4j-core 2.15.0より前の2系のバージョン

なお、すでにEnd of Lifeを迎えているApache Log4j 1系のバージョンは、
Lookup機能が含まれておらず、JMS Appenderが有効でもクラス情報がデシリア
ライズされないため影響を受けないとの情報を確認しています。

この問題は、該当する製品をApache Software Foundationが提供する修正済み
のバージョンに更新することで解決します。詳細は、Apache Software
Foundationが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC 注意喚起
Apache Log4jの任意のコード実行の脆弱性（CVE-2021-44228）に関する注意喚起
https://www.jpcert.or.jp/at/2021/at210050.html

Japan Vulnerability Notes JVNVU#96768815
Apache Log4jにおける任意のコードが実行可能な脆弱性
https://jvn.jp/vu/JVNVU96768815/

関連文書 (英語)
The Apache Software Foundation
Apache Log4j Security Vulnerabilities
https://logging.apache.org/log4j/2.x/security.html

【2】ManageEngine Desktop CentralおよびManageEngine Desktop Central MSPに認証回避の脆弱性

情報源
CISA Current Activity
Zoho Releases Security Advisory for ManageEngine Desktop Central and Desktop Central MSP
https://us-cert.cisa.gov/ncas/current-activity/2021/12/06/zoho-releases-security-advisory-manageengine-desktop-central-and

概要
Zohoが提供するManageEngine Desktop CentralおよびManageEngine Desktop
Central MSPには、認証回避の脆弱性があります。結果として、遠隔の第三者
が任意のコードを実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- ManageEngine Desktop Central ビルド番号10.1.2127.17およびそれ以前と、10.1.2128.0から10.1.2137.2までのバージョン
- ManageEngine Desktop Central MSP ビルド番号10.1.2127.17およびそれ以前と、10.1.2128.0から10.1.2137.2までのバージョン

この問題は、該当する製品をZohoが提供する修正済みのバージョンに更新する
ことで解決します。詳細は、Zohoが提供する情報を参照してください。

関連文書 (英語)
Zoho
CVE-2021-44515: Security Advisory
https://www.manageengine.com/products/desktop-central/cve-2021-44515-authentication-bypass-filter-configuration.html

【3】Google Chromeに複数の脆弱性

情報源
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2021/12/stable-channel-update-for-desktop.html

概要
Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 96.0.4664.93より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

【4】複数のCisco製品にApache HTTP Serverと関連する脆弱性

情報源
CISA Current Activity
Cisco Releases Security Advisory for Multiple Products Affected by Apache HTTP Server Vulnerabilities
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/09/cisco-releases-security-advisory-multiple-products-affected-apache

概要
複数のCisco製品には、Apache HTTP Serverに関連する脆弱性があります。結
果として、遠隔の第三者がシステムを制御するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細や最新の情報については、Cisco
が提供するアドバイザリ情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)
Cisco
Multiple Vulnerabilities in Apache HTTP Server Affecting Cisco Products: November 2021
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-apache-httpd-2.4.49-VWL69sWQ

【5】SonicWall SMA 100シリーズ製品に複数の脆弱性

情報源
SonicWall
SonicWall Releases Security Advisory for SMA 100 Series Appliances
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/08/sonicwall-releases-security-advisory-sma-100-series-appliances

概要
SonicWall SMA 100シリーズには、複数の脆弱性があります。結果として、遠
隔の第三者が任意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

製品
- SMA 100シリーズ(SMA 200, 210, 400, 410, 500v (ESX, Hyper-V, KVM, AWS, Azure)

バージョン
- 10.2.1.3-27svより前のバージョン
- 10.2.0.9-41svより前のバージョン

この問題は、該当する製品をSonicWallが提供する修正済みのバージョンに更
新することで解決します。詳細は、SonicWallが提供する情報を参照してくだ
さい。

なお、バージョン9系のファームウェアは2021年10月31日にEOLとなっており、
バージョン9系を使用している場合は、最新の10.2.xバージョンへのアップグ
レードが推奨されています。

関連文書 (英語)
SonicWall
SonicWall patches multiple SMA100 affected vulnerabilities
https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0026

SonicWall
Product Security Notice: SMA 100 Series Vulnerability Patches (Q4 2021)
https://www.sonicwall.com/support/product-notification/product-security-notice-sma-100-series-vulnerability-patches-q4-2021/211201154715443/

【6】複数のMozilla製品に脆弱性

情報源
CISA Current Activity
Mozilla Releases Security Updates for Firefox, Firefox ESR, and Thunderbird
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/08/mozilla-releases-security-updates-firefox-firefox-esr-and

概要
複数のMozilla製品には、脆弱性があります。結果として、第三者がなりすま
し攻撃をするなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 95より前のバージョン
- Mozilla Firefox ESR 91.4.0より前のバージョン
- Mozilla Thunderbird 91.4.0より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)
Mozilla
Security Vulnerabilities fixed in Firefox 95
https://www.mozilla.org/en-US/security/advisories/mfsa2021-52/

Mozilla
Security Vulnerabilities fixed in Firefox ESR 91.4.0
https://www.mozilla.org/en-US/security/advisories/mfsa2021-53/

Mozilla
Security Vulnerabilities fixed in Thunderbird 91.4.0
https://www.mozilla.org/en-US/security/advisories/mfsa2021-54/

【7】トレンドマイクロ製ウイルスバスター クラウドに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#98117192
トレンドマイクロ製ウイルスバスター クラウドにおける複数の脆弱性
https://jvn.jp/vu/JVNVU98117192/

概要
トレンドマイクロ株式会社が提供するウイルスバスター クラウドには、複数
の脆弱性があります。結果として、当該製品がインストールされたシステムに
ログイン可能なユーザーが、管理者権限を取得し、任意のコードを実行するな
どの可能性があります。

対象となるバージョンは次のとおりです。

- ウイルスバスター クラウド バージョン17.0

この問題は、当該製品をトレンドマイクロ株式会社が提供する最新版へアップ
デートしたうえで、最新のパターンファイルを適用することで解決します。詳
細は、トレンドマイクロ株式会社が提供する情報を参照してください。

関連文書 (日本語)
トレンドマイクロ株式会社
アラート/アドバイザリ：ウイルスバスター クラウドの脆弱性について(CVE-2021-32460)
https://helpcenter.trendmicro.com/ja-jp/article/TMKA-10338

トレンドマイクロ株式会社
アラート/アドバイザリ：ウイルスバスター クラウド の脆弱性について(CVE-2021-43772)
https://helpcenter.trendmicro.com/ja-jp/article/TMKA-10848

【8】Djangoにアクセス制御回避の脆弱性

情報源
Django Software Foundation
Django security releases issued: 3.2.10, 3.1.14, and 2.2.25
https://www.djangoproject.com/weblog/2021/dec/07/security-releases/

概要
Djangoには、アクセス制限回避の脆弱性があります。

対象となるバージョンは次のとおりです。

- Django main branch
- Django 4.0
- Django 3.2
- Django 3.1
- Django 2.2

この問題は、当該製品をDjango Software Foundationが提供する最新版へアッ
プデートすることで解決します。詳細は、Django Software Foundationが提供
する情報を参照してください。

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○制御システムセキュリティカンファレンス 2022 参加登録開始のお知らせ

2022年2月3日（木）、JPCERT/CCは、制御システムセキュリティカンファレン
ス 2022をオンラインで開催します。ユーザー企業によるICSセキュリティガイ
ドラインの自社内策定の取り組みや、ICSベンダー視点でのランサムウェア感
染被害に遭った際の迅速な復旧までの道筋や対策など、今回も幅広く講演タイ
トルをご用意いたしました。

参加をご希望の場合、申し込みフォームに必要事項をご記入いただき、受付窓
口までメールでお申し込みください。

参考文献 (日本語)
JPCERT/CC
制御システムセキュリティカンファレンス 2022
https://www.jpcert.or.jp/event/ics-conference2022.html

目 次

【1】Mozilla Network Security Servicesにメモリ破損の脆弱性
【2】エレコム製LANルーターに複数の脆弱性
【3】NTTドコモ製Wi-Fi STATION SH-52Aにクロスサイトスクリプティングの脆弱性
【4】三菱電機製MELSECおよびMELIPCシリーズのEthernetポートに複数の脆弱性
【5】WordPress用プラグインAdvanced Custom Fieldsに複数の認証欠如の脆弱性
【今週のひとくちメモ】JPCERT/CC CSIRTマテリアルを更新

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr214801.html
https://www.jpcert.or.jp/wr/2021/wr214801.xml
============================================================================

【1】Mozilla Network Security Servicesにメモリ破損の脆弱性

情報源
CISA Current Activity
Mozilla Releases Security Updates for Network Security Services
https://us-cert.cisa.gov/ncas/current-activity/2021/12/02/mozilla-releases-security-updates-network-security-services

概要
Mozilla Network Security Servicesには、メモリ破損の脆弱性があります。
DERエンコードされたDSAまたはRSA-PSS署名の処理に問題があり、結果として、
ヒープオーバーフローが発生する可能性があります。

対象となるバージョンは次のとおりです。

- Mozilla Network Security Services 3.73より前のバージョン
- Mozilla Network Security Services 3.68.1 ESRより前のバージョン

Mozillaによると、Firefoxはこの問題の影響を受けませんが、Thunderbirdや
LibreOffice、Evolution、Evinceなど、署名検証にNetwork Security Services
を使用しているメールクライアントやPDFビューアーは影響を受ける可能性が
あります。

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)
Mozilla
Memory corruption in NSS via DER-encoded DSA and RSA-PSS signatures
https://www.mozilla.org/en-US/security/advisories/mfsa2021-51/

【2】エレコム製LANルーターに複数の脆弱性

情報源
Japan Vulnerability Notes JVN#88993473
複数のエレコム製 LAN ルーターにおける複数の脆弱性
https://jvn.jp/jp/JVN88993473/

Japan Vulnerability Notes JVNVU#94527926
エレコム製ルータにおける複数の脆弱性
https://jvn.jp/vu/JVNVU94527926/

概要
エレコム製LANルーターには、複数の脆弱性があります。結果として、隣接す
るネットワーク上の第三者が、認証なしで管理画面にアクセスするなどの可能
性があります。

対象となる製品およびバージョンは、多岐に渡ります。詳細は、エレコム株式
会社が提供する情報を参照してください。

この問題は、当該製品をエレコム株式会社が提供する情報をもとに、ファーム
ウェアを最新版へアップデートすることで解決します。詳細は、エレコム株式
会社が提供する情報を参照してください。

関連文書 (日本語)
エレコム株式会社
無線LANルーターのセキュリティ向上のためのファームウェアアップデートのお願い
https://www.elecom.co.jp/news/security/20211130-01/

【3】NTTドコモ製Wi-Fi STATION SH-52Aにクロスサイトスクリプティングの脆弱性

情報源
Japan Vulnerability Notes JVN#19482703
株式会社NTTドコモ製 Wi-Fi STATION SH-52A におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN19482703/

概要
株式会社NTTドコモが提供するWi-Fi STATION SH-52Aには、クロスサイトスク
リプティングの脆弱性があります。結果として、第三者が、当該製品のWebUI
にアクセスしているユーザーのウェブブラウザー上で、任意のスクリプトを実
行する可能性があります。

対象となるバージョンは次のとおりです。

- Wi-Fi STATION SH-52A
- 38JP_1_11G
- 38JP_1_11J
- 38JP_1_11K
- 38JP_1_11L
- 38JP_1_26F
- 38JP_1_26G
- 38JP_1_26J
- 38JP_2_03B
- 38JP_2_03C

この問題は、株式会社NTTドコモが提供する情報をもとに、最新版にアップデー
トすることで解決します。詳細は、株式会社NTTドコモが提供する情報を参照
してください。

関連文書 (日本語)
株式会社NTTドコモ
Wi-Fi STATION SH-52Aのソフトウェアアップデート情報
https://www.nttdocomo.co.jp/support/product_update/sh52a/

【4】三菱電機製MELSECおよびMELIPCシリーズのEthernetポートに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#94434051
三菱電機製MELSECおよびMELIPCシリーズのEthernetポートにおける複数の脆弱性
https://jvn.jp/vu/JVNVU94434051/

概要
三菱電機製MELSECおよびMELIPCシリーズのEthernetポートには、複数の脆弱性
があります。結果として、遠隔の第三者が、細工したパケットを送信すること
でサービス運用妨害（DoS）状態を引き起こし、当該製品のプログラムの実行
を停止したり、Ethernetの通信を停止するなどの可能性があります。

対象となる製品およびバージョンは、多岐に渡ります。詳細は三菱電機株式会
社が提供する情報を参照してください。

この問題は、一部の製品については開発者が提供する情報をもとに、修正済み
のバージョンにアップデートすることで解決します。その他の製品については、
次の回避策を適用することで影響を軽減することが可能です。

- 当該製品をインターネットに接続する場合には、ファイアウォールや仮想プライベートネットワーク（VPN）等を使用する
- LAN内で使用し、信頼できないネットワークやホストからアクセスできないようにする
- 当該製品のリモートパスワード機能またはIPフィルター機能を使用し、信頼できないホストからアクセスできないようにする

詳細は三菱電機株式会社が提供する情報を参照してください。

関連文書 (日本語)
三菱電機株式会社
MELSECおよびMELIPCシリーズのEthernetポートにおける複数のサービス拒否(DoS)の脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-019.pdf

【5】WordPress用プラグインAdvanced Custom Fieldsに複数の認証欠如の脆弱性

情報源
Japan Vulnerability Notes JVN#09136401
WordPress 用プラグイン Advanced Custom Fields における複数の認証欠如の脆弱性
https://jvn.jp/jp/JVN09136401/

概要
WordPress用プラグインAdvanced Custom Fieldsには、複数の認証欠如の脆弱
性があります。結果として、遠隔の第三者がデータベース上のアクセス権限の
ないデータを閲覧するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Advanced Custom Fields 5.11より前のバージョン
- Advanced Custom Fields Pro 5.11より前のバージョン

この問題は、Delicious Brainsが提供する情報をもとに、修正済みのバージョン
にアップデートすることで解決します。詳細はDelicious Brainsが提供する情
報を参照してください。

関連文書 (日本語)
Delicious Brains
Advanced Custom Fields
https://ja.wordpress.org/plugins/advanced-custom-fields/

関連文書 (英語)
Delicious Brains
Advanced Custom Fields for WordPress Developers.
https://www.advancedcustomfields.com/

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○JPCERT/CC CSIRTマテリアルを更新

JPCERT/CCはCSIRTマテリアルを更新しました。更新版では、CSIRTの体制整備
と運用、インシデント対応に関する現在の知見をもとに加筆修正するとともに、
PSIRTに代表される組織の提供物に対するセキュリティの取り組みといった、
組織のセキュリティ対応のスコープの変化を記述内容に反映しています。さら
にインシデント対応演習の実施について説明する参考資料を新たに加えました。

CSIRTマテリアルは、組織的なインシデント対応体制である「組織内CSIRT」の
構築を支援する目的で作成した文書です。これから自組織内にCSIRTを構築し
ようと考えている組織の方が、それまでのインシデント対応経験をもとに、既
存の体制を整理したり、見直したりしてCSIRTの構築に繋げる際の参考として
いただくことを意図しています。一連の資料では組織内CSIRTが一般的に備え
るべき機能や能力等を説明しています。

参考文献 (日本語)
JPCERT/CC
CSIRTマテリアル
https://www.jpcert.or.jp/csirt_material/