ミニ・いんふぉめーしょん

目 次 

【1】Google Chrome に脆弱性
【2】複数の Cisco 製品に脆弱性
【3】pppd にバッファオーバーフローの脆弱性
【4】オムロン製 PLC CJ シリーズにリソース枯渇の脆弱性
【5】GRANDIT にセッション管理不備の脆弱性
【6】OpenBlocks IoT VX2 に複数の脆弱性
【7】ManageEngine Desktop Central に任意のコード実行の脆弱性
【今週のひとくちメモ】NISC が「サイバーセキュリティ関係法令Q&Aハンドブック」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr201001.html
https://www.jpcert.or.jp/wr/2020/wr201001.xml
============================================================================

【1】Google Chrome に脆弱性

情報源
US-CERT Current Activity
Google Releases Security Updates for Chrome
https://www.us-cert.gov/ncas/current-activity/2020/03/04/google-releases-security-updates-chrome

概要
Google Chrome には、脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 80.0.3987.132 より前のバージョン

この問題は、Google Chrome を Google が提供する修正済みのバージョンに更
新することで解決します。詳細は、Google が提供する情報を参照してくださ
い。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2020/03/stable-channel-update-for-desktop.html

【2】複数の Cisco 製品に脆弱性

情報源
US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/03/05/cisco-releases-security-updates

概要
複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするな
どの可能性があります。

影響度 High の脆弱性情報の対象となる製品は次のとおりです。

- Cisco Intelligent Proximity application
- Cisco Jabber
- Cisco Webex Teams
- Cisco Meeting App
- Cisco Webex Meetings
- Cisco Webex Meetings Online
- Cisco Webex Meetings Server
- Cisco Prime Network Registrar

※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、
影響度 Medium の複数の脆弱性情報が公開されています。詳細は、Cisco が
提供する情報を参照してください。

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
したり、回避策を適用したりすることで解決します。詳細は、Cisco が提供す
る情報を参照してください。

関連文書 (英語)
Cisco Security Advisory
Cisco Intelligent Proximity SSL Certificate Validation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-proximity-ssl-cert-gBBu3RB

Cisco Security Advisory
Cisco Webex Network Recording Player and Cisco Webex Player Arbitrary Code Execution Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200304-webex-player

Cisco Security Advisory
Cisco Prime Network Registrar Cross-Site Request Forgery Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cpnr-csrf-WWTrDkyL

【3】pppd にバッファオーバーフローの脆弱性

情報源
Vulnerability Note VU#782301
pppd vulnerable to buffer overflow due to a flaw in EAP packet processing
https://www.kb.cert.org/vuls/id/782301/

概要
pppd (Point to Point Protocol Daemon) には、バッファオーバーフローの脆
弱性があります。結果として、遠隔の第三者が、任意のコードを実行したり、
サービス運用妨害 (DoS) 攻撃を行ったりする可能性があります。

対象となるバージョンは次のとおりです。

- pppd 2.4.2 から 2.4.8 までのバージョン

この問題は、pppd を開発者が提供する修正済みのバージョンに更新すること
で解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)
Japan Vulnerability Notes JVNVU#99700555
pppd におけるバッファオーバーフローの脆弱性
https://jvn.jp/vu/JVNVU99700555/

関連文書 (英語)
US-CERT Current Activity
Point-to-Point Protocol Daemon Vulnerability
https://www.us-cert.gov/ncas/current-activity/2020/03/05/point-point-protocol-daemon-vulnerability

paulusmack/ppp
pppd: Fix bounds check in EAP code
https://github.com/paulusmack/ppp/commit/8d7970b8f3db727fe798b65f3377fe6787575426

lwIP
PPP, EAP: fix bounds check in EAP code
https://git.savannah.nongnu.org/cgit/lwip.git/commit/src/netif/ppp/eap.c?id=2ee3cbe69c6d2805e64e7cac2a1c1706e49ffd86

【4】オムロン製 PLC CJ シリーズにリソース枯渇の脆弱性

情報源
ICS Advisory (ICSA-20-063-03)
Omron PLC CJ Series
https://www.us-cert.gov/ics/advisories/icsa-20-063-03

Japan Vulnerability Notes JVNVU#91000130
オムロン製 PLC CJ シリーズにおけるサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/vu/JVNVU91000130/

概要
オムロン株式会社が提供する PLC CJ シリーズには、リソース枯渇の脆弱性が
あります。結果として、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行う
可能性があります。

対象となるバージョンは次のとおりです。

- Omron PLC CJ シリーズの全てのバージョン

2020年3月11日現在、この問題に対する修正済みのバージョンは提供されてい
ません。PLC CJ シリーズに回避策を適用することで影響を軽減できます。詳
細は、オムロン株式会社が提供する情報を参照してください。

関連文書 (日本語)
オムロン株式会社
弊社PLC(CJシリーズCPU)に対する外部機関からの脆弱性指摘について
http://www.omron-cxone.com/security/2020-02-28_PLC_JP.pdf

【5】GRANDIT にセッション管理不備の脆弱性

情報源
Japan Vulnerability Notes JVN#73472345
GRANDIT におけるセッション管理不備の脆弱性
http://jvn.jp/jp/JVN73472345/

概要
GRANDIT株式会社が提供する GRANDIT には、セッション管理不備の脆弱性があ
ります。結果として、遠隔の第三者が、情報を窃取したり、情報を改ざんした
りするなどの可能性があります。

対象となるバージョンは次のとおりです。

- GRANDIT Ver.3.0
- GRANDIT Ver.2.3
- GRANDIT Ver.2.2
- GRANDIT Ver.2.1
- GRANDIT Ver.2.0
- GRANDIT Ver.1.6

この問題は、GRANDIT を GRANDIT株式会社が提供する修正済みのバージョンに
更新することで解決します。詳細は、GRANDIT 株式会社が提供する情報を参照
してください。

関連文書 (日本語)
GRANDIT株式会社
GRANDITにおけるセッション管理不備の脆弱性について
https://www.grandit.jp/etc/20200228_letter.pdf

【6】OpenBlocks IoT VX2 に複数の脆弱性

情報源
Japan Vulnerability Notes JVN#19666251
OpenBlocks IoT VX2 における複数の脆弱性
https://jvn.jp/jp/JVN19666251/

概要
OpenBlocks IoT VX2 には、複数の脆弱性があります。結果として、第三者が、
機器を初期化したり、任意のコマンドを実行したりするなどの可能性がありま
す。

対象となるバージョンは次のとおりです。

- OpenBlocks IoT VX2 Ver.4.0.0 より前のバージョン

この問題は、OpenBlocks IoT VX2 をぷらっとホーム株式会社が提供する修正
済みのバージョンに更新することで解決します。詳細は、ぷらっとホーム株式
会社が提供する情報を参照してください。

関連文書 (日本語)
ぷらっとホーム株式会社
OpenBlocks IoT VX2　ソフトウェアリリース情報｜FW4.0.0
https://www.plathome.co.jp/software/vx2-v4-0-0/

【7】ManageEngine Desktop Central に任意のコード実行の脆弱性

情報源
US-CERT Current Activity
Zoho Releases Security Update on ManageEngine Desktop Central
https://www.us-cert.gov/ncas/current-activity/2020/03/06/zoho-releases-security-update-manageengine-desktop-central

概要
ManageEngine Desktop Central には、遠隔の第三者が任意のコードを実行可
能な脆弱性があります。

対象となるバージョンは次のとおりです。

- ManageEngine Desktop Central 10.0.473 およびそれ以前

この問題は、ManageEngine Desktop Central を Zoho が提供する修正済みの
バージョンに更新することで解決します。詳細は、Zoho が提供する情報を参
照してください。

関連文書 (英語)
Zoho
ManageEngine Desktop Central remote code execution vulnerability (CVE-2020-10189)
https://www.plathome.co.jp/software/vx2-v4-0-0/

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○NISC が「サイバーセキュリティ関係法令Q&Aハンドブック」を公開

2020年3月2日、内閣サイバーセキュリティセンター (NISC) は、サイバーセキュ
リティ対策において参照すべき関係法令を解説する「サイバーセキュリティ関
係法令Q&Aハンドブック」を公開しました。企業におけるサイバーセキュリティ
対策やインシデント対応に関する法令上の事項や、情報の取扱いに関する法的
課題等をわかりやすくまとめたとのことです。法令上の課題解決や疑問点の解
消にご活用ください。

参考文献 (日本語)
内閣サイバーセキュリティセンター (NISC)
「サイバーセキュリティ関係法令Q＆Aハンドブック 」について
https://www.nisc.go.jp/security-site/law_handbook/

目 次 

【1】複数の Cisco 製品に脆弱性
【2】Google Chrome に複数の脆弱性
【3】Apache Tomcat に複数の脆弱性
【4】OpenSMTPD に脆弱性
【5】株式会社リコー製プリンタに複数の脆弱性
【6】株式会社リコー製プリンタドライバに権限昇格の脆弱性
【7】複数の ZyXEL 製品にコマンドインジェクションの脆弱性
【今週のひとくちメモ】IPAが「「情報セキュリティ10大脅威 2020」各脅威の解説資料」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr200901.html
https://www.jpcert.or.jp/wr/2020/wr200901.xml
============================================================================

【1】複数の Cisco 製品に脆弱性

情報源
US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/02/27/cisco-releases-security-updates

概要
複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするな
どの可能性があります。

影響度 High の脆弱性情報に記載されている製品は次のとおりです。

- Firepower 1000 Series
- Firepower 2100 Series
- Firepower 4100 Series
- Firepower 9300 Security Appliances
- MDS 9000 Series Multilayer Switches
- Nexus 1000 Virtual Edge for VMware vSphere
- Nexus 1000V Switch for Microsoft Hyper-V
- Nexus 1000V Switch for VMware vSphere
- Nexus 3000 Series Switches
- Nexus 5500 Platform Switches
- Nexus 5600 Platform Switches
- Nexus 6000 Series Switches
- Nexus 7000 Series Switches
- Nexus 9000 Series Fabric Switches in Application Centric Infrastructure mode
- Nexus 9000 Series Switches in standalone NX-OS mode
- UCS 6200 Series Fabric Interconnects
- UCS 6300 Series Fabric Interconnects
- UCS 6400 Series Fabric Interconnects

※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、
影響度 Medium の複数の脆弱性情報が公開されています。詳細は、Cisco が
提供する情報を参照してください。

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

関連文書 (英語)
Cisco Security Advisory
Cisco FXOS and NX-OS Software Cisco Discovery Protocol Arbitrary Code Execution and Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200226-fxos-nxos-cdp

Cisco Security Advisory
Cisco FXOS and UCS Manager Software Local Management CLI Command Injection Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200226-fxos-ucs-cli-cmdinj

Cisco Security Advisory
Cisco FXOS and UCS Manager Software CLI Command Injection Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200226-fxos-ucs-cmdinj

Cisco Security Advisory
Cisco MDS 9000 Series Multilayer Switches Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200226-mds-ovrld-dos

Cisco Security Advisory
Cisco Nexus 1000V Switch for VMware vSphere Secure Login Enhancements Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200226-nexus-1000v-dos

Cisco Security Advisory
Cisco UCS Manager Software Local Management CLI Command Injection Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200226-ucs-cli-cmdinj

【2】Google Chrome に複数の脆弱性

情報源
US-CERT Current Activity
Google Releases Security Updates for Chrome
https://www.us-cert.gov/ncas/current-activity/2020/02/25/google-releases-security-updates-chrome

概要
Google Chrome には、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Chrome 80.0.3987.122 より前のバージョン

この問題は、Google Chrome を Google が提供する修正済みのバージョンに更
新することで解決します。詳細は、Google が提供する情報を参照してくださ
い。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2020/02/stable-channel-update-for-desktop_24.html

【3】Apache Tomcat に複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#94679920
Apache Tomcat の複数の脆弱性に対するアップデート
http://jvn.jp/vu/JVNVU94679920

概要
The Apache Software Foundation が提供する Apache Tomcat には複数の脆弱
性があります。結果として、遠隔の第三者が任意のコードを実行するなどの可
能性があります。

対象となるバージョンは次のとおりです。

- Apache Tomcat 9.0.0.M1 から 9.0.30 までのバージョン
- Apache Tomcat 8.5.0 から 8.5.50 までのバージョン
- Apache Tomcat 7.0.0 から 7.0.99 までのバージョン

この問題は、Apache Tomcat を The Apache Software Foundation が提供する
修正済みのバージョンに更新することで解決します。詳細は、The Apache Software
Foundation が提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC
Apache Tomcat の脆弱性 (CVE-2020-1938) に関する注意喚起
https://www.jpcert.or.jp/at/2020/at200009.html

関連文書 (英語)
The Apache Software Foundation
Fixed in Apache Tomcat 9.0.31
http://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.31

The Apache Software Foundation
Fixed in Apache Tomcat 8.5.51
http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.51

The Apache Software Foundation
Fixed in Apache Tomcat 7.0.100
http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.100

【4】OpenSMTPD に脆弱性

情報源
US-CERT Current Activity
OpenSMTPD Releases Version 6.6.4p1 to Address a Critical Vulnerability
https://www.us-cert.gov/ncas/current-activity/2020/02/25/opensmtpd-releases-version-664p1-address-critical-vulnerability

概要
OpenSMTPD には、脆弱性があります。

対象となるバージョンは次のとおりです。

- OpenSMTPD 6.6.4p1 より前のバージョン

この問題は、OpenSMTPD を開発者が提供する修正済みのバージョンに更新する
ことで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (英語)
The Mail Archive
OpenSMTPD 6.6.4p1 released: addresses CRITICAL vulnerability
https://www.mail-archive.com/misc@opensmtpd.org/msg04888.html

Github
OpenSMTPD 6.6.4p1 release
https://github.com/OpenSMTPD/OpenSMTPD/releases/tag/6.6.4p1

【5】株式会社リコー製プリンタに複数の脆弱性

情報源
Japan Vulnerability Notes JVN#52962201
リコー製プリンタにおける複数の脆弱性
http://jvn.jp/jp/JVN52962201

概要
株式会社リコー製プリンタには、複数の脆弱性があります。結果として、第三
者が任意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- RICOH SP C250SFL・RICOH SP C251SF ファームウェア ver.1.13より前のバージョン
- RICOH SP C250L・RICOH SP C251 ファームウェア ver.1.07より前のバージョン
- RICOH P C301SF ファームウェア ver.1.02より前のバージョン
- RICOH P C301 ファームウェア ver.1.02より前のバージョン
- RICOH SP 3700SF・RICOH SP 2300SFL ファームウェア ver.1.07より前のバージョン
- RICOH SP 3700・RICOH SP 2300L ファームウェア ver.1.07より前のバージョン
- RICOH SP C260SFL・RICOH SP C261SF ファームウェア ver.1.15より前のバージョン
- RICOH SP C260L・RICOH SP C261 ファームウェア ver.1.12より前のバージョン
- RICOH SP 2200SFL ファームウェア ver.1.20より前のバージョン
- RICOH SP 2200L ファームウェア ver.1.13より前のバージョン
- RICOH SP 2100L ファームウェア ver.1.13より前のバージョン
- IPSiO SP 3510SF ファームウェア ver.2.16より前のバージョン
- IPSiO SP 3510 ファームウェア ver.2.13より前のバージョン
- IPSiO SP C241SF・IPSiO SP C230SFL ファームウェア ver.1.18より前のバージョン
- IPSiO SP C241・IPSiO SP C230L ファームウェア ver.1.08より前のバージョン
- IPSiO SP 3410SF ファームウェア ver.2.13より前のバージョン
- IPSiO SP 3410・IPSiO SP 3410L ファームウェア ver.2.10より前のバージョン
- IPSiO SP C301SF ファームウェア ver.1.32より前のバージョン
- IPSiO SP C221SF・IPSiO SP C221SFL ファームウェア ver.1.72より前のバージョン

※海外機種についても影響があるとのことです。詳細は株式会社リコーが提供
　する情報を参照してください。

この問題は、該当する製品を株式会社リコーが提供する修正済みのバージョン
に更新することで解決します。詳細は、株式会社リコーが提供する情報を参照
してください。

関連文書 (日本語)
株式会社リコー
リコー プリンター／複合機製品を安全にご利用いただくために
https://jp.ricoh.com/info/notice/2019/0918_1.html

【6】株式会社リコー製プリンタドライバに権限昇格の脆弱性

情報源
Japan Vulnerability Notes JVN#15697526
リコー製プリンタドライバにおける権限昇格の脆弱性
http://jvn.jp/jp/JVN15697526

概要
株式会社リコーが提供するプリンタドライバには、権限昇格の脆弱性がありま
す。結果として、第三者が細工したプリンタドライバをユーザに使用させるこ
とで管理者権限を取得する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- RPCSドライバー すべてのバージョン
- PSドライバー すべてのバージョン
- PCL6（PCL XL）ドライバー すべてのバージョン
- RPCSラスタードライバー すべてのバージョン
- PC-FAXドライバー すべてのバージョン

※海外機種についても影響があるとのことです。詳細は株式会社リコーが提供
　する情報を参照してください。

この問題は、該当する製品を株式会社リコーが提供する修正済みのバージョン
に更新することで解決します。詳細は、株式会社リコーが提供する情報を参照
してください。

関連文書 (日本語)
株式会社リコー
リコー プリンタードライバー/PC FAXドライバーを安全にご利用いただくために
https://jp.ricoh.com/info/notice/2020/0221_1/

【7】複数の ZyXEL 製品にコマンドインジェクションの脆弱性

情報源
Japan Vulnerability Notes JVNVU#97748968
複数の ZyXEL 製品に含まれる weblogin.cgi にコマンドインジェクションの脆弱性
http://jvn.jp/vu/JVNVU97748968

概要
ZyXEL が提供する複数の製品で使用されている weblogin.cgi にはコマンドイ
ンジェクションの脆弱性があります。結果として、遠隔の第三者が任意の OS
コマンドを実行する可能性があります。

対象となる製品は次のとおりです。

- NAS326
- NAS520
- NAS540
- NAS542
- ATP100
- ATP200
- ATP500
- ATP800
- USG20-VPN
- USG20W-VPN
- USG40
- USG40W
- USG60
- USG60W
- USG110
- USG210
- USG310
- USG1100
- USG1900
- USG2200
- VPN50
- VPN100
- VPN300
- VPN1000
- ZyWALL110
- ZyWALL310
- ZyWALL1100

この問題は、該当する製品を ZyXEL が提供する修正済みのバージョンに更新
することで解決します。詳細は、ZyXEL が提供する情報を参照してください。

関連文書 (英語)
ZYXEL
Zyxel security advisory for the remote code execution vulnerability of NAS and firewall products
https://www.zyxel.com/support/remote-code-execution-vulnerability-of-NAS-products.shtml

目 次 

【1】複数の Cisco 製品に脆弱性
【2】複数の Adobe 製品に脆弱性
【3】Google Chrome に複数の脆弱性
【4】PHP に複数の脆弱性
【5】VMware vRealize Operations for Horizon Adapter に複数の脆弱性
【6】三菱電機製 MELSEC C言語コントローラユニットおよび MELIPC シリーズ MI5000 に複数の脆弱性
【7】WordPress 用プラグイン Easy Property Listings にクロスサイトリクエストフォージェリの脆弱性
【8】日本電気株式会社製無線 LAN ルータに複数の脆弱性
【今週のひとくちメモ】Japan Security Analyst Conference 2020 開催レポートを公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr200801.html
https://www.jpcert.or.jp/wr/2020/wr200801.xml
============================================================================

【1】複数の Cisco 製品に脆弱性

情報源
US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/02/20/cisco-releases-security-updates

概要
複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、
情報を窃取したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可能
性があります。

影響度 Critical および High の脆弱性情報に記載されている製品は次のとお
りです。

- Cisco Smart Software Manager On-Prem
- Cisco Unified Contact Center Express Software
- Firepower Management Center 1000
- Firepower Management Center 2500
- Firepower Management Center 4500
- Secure Network Server 3500 Series Appliances
- Secure Network Server 3600 Series Appliances
- Threat Grid 5504 Appliance
- Cisco AsyncOS Software for Cisco Email Security Appliance
- Cisco AsyncOS Software for Cisco Content Security Management Appliance
- Cisco Data Center Network Manager

※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、
影響度 Medium の複数の脆弱性情報が公開されています。詳細は、Cisco が
提供する情報を参照してください。

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

関連文書 (英語)
Cisco Security Advisory
Cisco Smart Software Manager On-Prem Static Default Credential Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-on-prem-static-cred-sL8rDs8

Cisco Security Advisory
Cisco Unified Contact Center Express Privilege Escalation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-uccx-privesc-Zd7bvwyf#vp

Cisco Security Advisory
Multiple Cisco UCS-Based Products UEFI Secure Boot Bypass Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200219-ucs-boot-bypass

Cisco Security Advisory
Cisco Email Security Appliance and Cisco Content Security Management Appliance Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200219-esa-sma-dos

Cisco Security Advisory
Cisco Email Security Appliance Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200219-esa-dos

Cisco Security Advisory
Cisco Data Center Network Manager Privilege Escalation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200219-dcnm-priv-esc

Cisco Security Advisory
Cisco Data Center Network Manager Cross-Site Request Forgery Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200219-dcnm-csrf

【2】複数の Adobe 製品に脆弱性

情報源
US-CERT Current Activity
Adobe Releases Security Updates for After Effects and Media Encoder
https://www.us-cert.gov/ncas/current-activity/2020/02/20/adobe-releases-security-updates-after-effects-and-media-encoder

概要
複数の Adobe 製品には、脆弱性があります。結果として、第三者が、該当す
る製品を実行しているユーザの権限で任意のコードを実行する可能性がありま
す。

対象となる製品は次のとおりです。

- Adobe After Effects
- Adobe Media Encoder

この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新
することで解決します。詳細は、Adobe が提供する情報を参照してください。

関連文書 (英語)
Adobe
Security Updates Available for Adobe After Effects | APSB20-09
https://helpx.adobe.com/security/products/after_effects/apsb20-09.html

Adobe
Security Updates Available for Adobe Media Encoder | APSB20-10
https://helpx.adobe.com/security/products/media-encoder/apsb20-10.html

【3】Google Chrome に複数の脆弱性

情報源
US-CERT Current Activity
Google Releases Security Updates for Chrome
https://www.us-cert.gov/ncas/current-activity/2020/02/21/google-releases-security-updates-chrome

概要
Google Chrome には、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 80.0.3987.116 より前のバージョン

この問題は、Google Chrome を Google が提供する修正済みのバージョンに更
新することで解決します。詳細は、Google が提供する情報を参照してくださ
い。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2020/02/stable-channel-update-for-desktop_18.html

【4】PHP に複数の脆弱性

情報源
The PHP Group
PHP 7.4.3 released
https://www.php.net/archive/2020.php#2020-02-20-3

The PHP Group
PHP 7.3.15 Released
https://www.php.net/archive/2020.php#2020-02-20-2

The PHP Group
PHP 7.2.28 Released
https://www.php.net/archive/2020.php#2020-02-20-1

概要
PHP には、複数の脆弱性があります。結果として、遠隔の第三者が任意のコー
ドを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- PHP 7.4.3 より前のバージョン
- PHP 7.3.15 より前のバージョン
- PHP 7.2.28 より前のバージョン

この問題は、PHP を開発者や配布元が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者や配布元が提供する情報を参照してくだ
さい。

関連文書 (英語)
The PHP Group
PHP 7 ChangeLog Version 7.4.3
https://www.php.net/ChangeLog-7.php#7.4.3

The PHP Group
PHP 7 ChangeLog Version 7.3.15
https://www.php.net/ChangeLog-7.php#7.3.15

The PHP Group
PHP 7 ChangeLog Version 7.2.28
https://www.php.net/ChangeLog-7.php#7.2.28

【5】VMware vRealize Operations for Horizon Adapter に複数の脆弱性

情報源
US-CERT Current Activity
VMware Releases Security Updates for vRealize Operations for Horizon Adapter
https://www.us-cert.gov/ncas/current-activity/2020/02/19/vmware-releases-security-updates-vrealize-operations-horizon

概要
VMware vRealize Operations for Horizon Adapter には、複数の脆弱性があ
ります。結果として、遠隔の第三者が任意のコードを実行するなどの可能性が
あります。

対象となる製品およびバージョンは以下の通りです。

- VMware vRealize Operations for Horizon Adapter 6.7 系のバージョン
- VMware vRealize Operations for Horizon Adapter 6.6 系のバージョン

この問題は、VMware vRealize Operations for Horizon Adapter を VMware
が提供する修正済みのバージョンに更新することで解決します。詳細は、
VMware が提供する情報を参照してください。

関連文書 (英語)
VMware Security Advisories
VMSA-2020-0003
https://www.vmware.com/security/advisories/VMSA-2020-0003.html

【6】三菱電機製 MELSEC C言語コントローラユニットおよび MELIPC シリーズ MI5000 に複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#95424547
三菱電機製 MELSEC C言語コントローラユニットおよび MELIPC シリーズ MI5000 における複数の脆弱性
https://jvn.jp/vu/JVNVU95424547/

概要
三菱電機株式会社が提供する MELSEC C言語コントローラユニットおよび、
MELIPC シリーズ MI5000 には複数の脆弱性があります。結果として、遠隔の
第三者が、細工した TCP パケットを送信することで、サービス運用妨害
(DoS) などを行う可能性があります。

対象となる製品およびバージョンは次のとおりです。

- MELSEC-Q シリーズ C言語コントローラユニットのうち、下記の製品型番とバージョンのもの
- Q24DHCCPU-V、Q24DHCCPU-VG ユーザ Ethernet ポート (CH1、CH2) (シリアル番号の上 5桁が "21121" およびそれ以前)

- MELSEC iQ-R シリーズ C言語コントローラユニット、C言語インテリジェント機能ユニットのうち、下記の製品型番とバージョンのもの
- R12CCPU-V Ethernet ポート (CH1、CH2) (シリアル番号の上 2桁が "11" 以下)
- RD55UP06-V Ethernet ポート (シリアル番号の上 2桁が "08" 以下)

- MELIPC シリーズ MI5000のうち、下記の製品型番とバージョンのもの
- MI5122-VW Ethernet ポート(CH1) （シリアル番号の上 2桁が "03" 以下、もしくはファームウェアバージョンが "03" 以下）

この問題は、該当する製品を三菱電機株式会社が提供する修正済みのバージョン
に更新することで解決します。詳細は、三菱電機株式会社が提供する情報を参
照してください。

関連文書 (日本語)
三菱電機株式会社
MELSEC C言語コントローラユニット及びMELIPC シリーズMI5000のTCP/IP機能における複数の脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2019-003.pdf

【7】WordPress 用プラグイン Easy Property Listings にクロスサイトリクエストフォージェリの脆弱性

情報源
Japan Vulnerability Notes JVN#89259622
WordPress 用プラグイン Easy Property Listings におけるクロスサイトリクエストフォージェリの脆弱性
https://jvn.jp/jp/JVN89259622/

概要
WordPress 用プラグイン Easy Property Listings には、クロスサイトリクエ
ストフォージェリの脆弱性があります。結果として、遠隔の第三者が、細工し
たページにユーザをアクセスさせることにより、該当する製品の管理画面にロ
グインしているユーザの権限で任意の操作を行う可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Easy Property Listings 3.4 より前のバージョン

この問題は、Easy Property Listings を開発者が提供する修正済みのバージョン
に更新することで解決します。詳細は、開発者が提供する情報を参照してくだ
さい。

関連文書 (英語)
Merv Barrett
Easy Property Listings
https://wordpress.org/plugins/easy-property-listings/#developers

【8】日本電気株式会社製無線 LAN ルータに複数の脆弱性

情報源
Japan Vulnerability Notes JVN#49410695
Aterm WG2600HS における複数の脆弱性
https://jvn.jp/jp/JVN49410695/

Japan Vulnerability Notes JVN#25766797
Aterm WF1200CR 、WG1200CR および WG2600HS における複数の OS コマンドインジェクションの脆弱性
https://jvn.jp/jp/JVN25766797/

概要
日本電気株式会社製無線 LAN ルータには、複数の脆弱性があります。結果と
して、該当する製品にアクセス可能な第三者が、任意の OS コマンドを実行す
るなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Aterm WG2600HS ファームウェア Ver1.3.2 およびそれ以前
- Aterm WG1200CR ファームウェア Ver1.2.1 およびそれ以前
- Aterm WF1200CR ファームウェア Ver1.2.1 およびそれ以前

この問題は、該当する製品を日本電気株式会社が提供する修正済みのバージョン
に更新することで解決します。詳細は、日本電気株式会社が提供する情報を参
照してください。

関連文書 (日本語)
日本電気株式会社
Aterm WG2600HSにおける複数の脆弱性
https://jpn.nec.com/security-info/secinfo/nv20-003.html

日本電気株式会社
Atermシリーズにおける複数のOSコマンドインジェクション
https://jpn.nec.com/security-info/secinfo/nv20-005.html

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○Japan Security Analyst Conference 2020 開催レポートを公開

JPCERT/CC は、2020年1月17日に開催した Japan Security Analyst Conference
2020 (JSAC2020) の開催レポートを公開しました。本カンファレンスは、日々
セキュリティインシデントに対応する現場のセキュリティアナリストを対象と
し、高度化するサイバー攻撃に対抗するための技術情報を共有することを目的
に開催しております。

開催レポートでは、JSAC2020 の講演の様子を、前半と後半の 2回に分けて紹
介しています。講演資料も Web サイトで公開しています。(一部非公開)

参考文献 (日本語)
JPCERT/CC
Japan Security Analyst Conference 2020開催レポート 前編
https://blogs.jpcert.or.jp/ja/2020/02/japan-security-analyst-conference-2020-1.html

JPCERT/CC
Japan Security Analyst Conference 2020開催レポート 後編
https://blogs.jpcert.or.jp/ja/2020/02/japan-security-analyst-conference-2020-2.html

目 次 

【1】複数の Microsoft 製品に脆弱性
【2】複数の Adobe 製品に脆弱性
【3】複数の Intel 製品に脆弱性
【4】複数の Mozilla 製品に脆弱性
【5】ウイルスバスター クラウド (Windows版) にサービス運用妨害 (DoS) 攻撃の脆弱性
【6】IBM ServeRAID Manager に任意のコード実行が可能な脆弱性
【7】HtmlUnit に任意のコード実行が可能な脆弱性
【8】スマートフォンアプリ「ilbo」に認証不備の脆弱性
【今週のひとくちメモ】NICT が「NICTER観測レポート2019」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr200701.html
https://www.jpcert.or.jp/wr/2020/wr200701.xml
============================================================================

【1】複数の Microsoft 製品に脆弱性

情報源
US-CERT Current Activity
Microsoft Releases February 2020 Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/02/11/microsoft-releases-february-2020-security-updates

概要
複数の Microsoft 製品には、脆弱性があります。結果として、遠隔の第三者
が任意のコードを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Microsoft Windows
- Microsoft Edge (EdgeHTML ベース)
- Microsoft Edge (Chromium ベース)
- ChakraCore
- Internet Explorer
- Microsoft Exchange Server
- Microsoft SQL Server
- Microsoft Office、Microsoft Office Services および Web Apps
- Windows 悪意のあるソフトウェアの削除ツール
- Windows Surface Hub

この問題は、Microsoft Update などを用いて、更新プログラムを適用するこ
とで解決します。詳細は、Microsoft が提供する情報を参照してください。

関連文書 (日本語)
マイクロソフト株式会社
2020 年 2 月のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-jp/security-guidance/releasenotedetail/2020-Feb

JPCERT/CC 注意喚起
2020年2月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2020/at200008.html

【2】複数の Adobe 製品に脆弱性

情報源
US-CERT Current Activity
Adobe Releases Security Updates for Multiple Products
https://www.us-cert.gov/ncas/current-activity/2020/02/11/adobe-releases-security-updates-multiple-products

概要
複数の Adobe 製品には、脆弱性があります。結果として、遠隔の第三者が、
情報を窃取したり、任意のコードを実行したりするなどの可能性があります。

対象となる製品は次のとおりです。

- Adobe Framemaker
- Adobe Acrobat DC Continuous
- Adobe Acrobat 2017 Classic 2017
- Adobe Acrobat 2015 Classic 2015
- Adobe Acrobat Reader DC Continuous
- Adobe Acrobat Reader 2017 Classic 2017
- Adobe Acrobat Reader 2015 Classic 2015
- Adobe Flash Player Desktop Runtime
- Adobe Flash Player for Google Chrome
- Adobe Flash Player for Microsoft Edge and Internet Explorer 11
- Adobe Digital Editions
- Adobe Experience Manager

この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新
することで解決します。詳細は、Adobe が提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC 注意喚起
Adobe Acrobat および Reader の脆弱性 (APSB20-05) に関する注意喚起
https://www.jpcert.or.jp/at/2020/at200006.html

JPCERT/CC 注意喚起
Adobe Flash Player の脆弱性 (APSB20-06) に関する注意喚起
https://www.jpcert.or.jp/at/2020/at200007.html

JPCERT/CC CyberNewsFlash
複数の Adobe 製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2020021201.html

関連文書 (英語)
Adobe
Security Updates Available for Adobe Framemaker | APSB20-04
https://helpx.adobe.com/security/products/framemaker/apsb20-04.html

Adobe
Security update available for Adobe Acrobat and Reader | APSB20-05
https://helpx.adobe.com/security/products/acrobat/apsb20-05.html

Adobe
Security Bulletin for Adobe Flash Player | APSB20-06
https://helpx.adobe.com/security/products/flash-player/apsb20-06.html

Adobe
Security Updates Available for Adobe Digital Editions | APSB20-07
https://helpx.adobe.com/security/products/Digital-Editions/apsb20-07.html

Adobe
Security updates available for Adobe Experience Manager | APSB20-08
https://helpx.adobe.com/security/products/experience-manager/apsb20-08.html

【3】複数の Intel 製品に脆弱性

情報源
US-CERT Current Activity
Intel Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/02/11/intel-releases-security-updates

Japan Vulnerability Notes JVNVU#96221887
Intel 製品に複数の脆弱性
https://jvn.jp/vu/JVNVU96221887

概要
複数の Intel 製品には、脆弱性があります。結果として、第三者が、権限を
昇格したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可能性があ
ります。

影響を受ける製品やバージョンは多岐に渡ります。対象製品の詳細は、Intel
が提供するアドバイザリ情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Intel 製品に関する複数の脆弱性について
https://www.jpcert.or.jp/newsflash/2020021202.html

関連文書 (英語)
Intel
INTEL-SA-00273: Intel Renesas Electronics USB 3.0 Driver Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00273.html

Intel
INTEL-SA-00307: Intel CSME Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00307.html

Intel
INTEL-SA-00336: Intel SGX SDK Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00336.html

Intel
INTEL-SA-00339: Intel RWC2 Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00339.html

Intel
INTEL-SA-00340: Intel MPSS Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00340.html

Intel
INTEL-SA-00341: Intel RWC3 Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00341.html

【4】複数の Mozilla 製品に脆弱性

情報源
US-CERT Current Activity
Mozilla Releases Security Updates for Multiple Products
https://www.us-cert.gov/ncas/current-activity/2020/02/11/mozilla-releases-security-updates-multiple-products

概要
複数の Mozilla 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可
能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 73 より前のバージョン
- Mozilla Firefox ESR 68.5 より前のバージョン
- Mozilla Thunderbird 68.5 より前のバージョン

この問題は、該当する製品を Mozilla が提供する修正済みのバージョンに更
新することで解決します。詳細は、Mozilla が提供する情報を参照してくださ
い。

関連文書 (英語)
Mozilla
Security Vulnerabilities fixed in Firefox 73
https://www.mozilla.org/en-US/security/advisories/mfsa2020-05/

Mozilla
Security Vulnerabilities fixed in Firefox ESR68.5
https://www.mozilla.org/en-US/security/advisories/mfsa2020-06/

Mozilla
Security Vulnerabilities fixed in Thunderbird 68.5
https://www.mozilla.org/en-US/security/advisories/mfsa2020-07/

【5】ウイルスバスター クラウド (Windows版) にサービス運用妨害 (DoS) 攻撃の脆弱性

情報源
Japan Vulnerability Notes JVN#02921757
ウイルスバスター クラウド (Windows版) におけるサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/jp/JVN02921757/

概要
ウイルスバスター クラウド (Windows版) には、サービス運用妨害 (DoS) 攻
撃の脆弱性があります。結果として、第三者が当該製品を無効化する可能性が
あります。

対象となるバージョンは次のとおりです。

- ウイルスバスター クラウド (Windows版) バージョン 15

この問題は、該当する製品をトレンドマイクロ株式会社が提供する修正済みの
バージョンに更新することで解決します。詳細は、トレンドマイクロ株式会社
が提供する情報を参照してください。

関連文書 (日本語)
トレンドマイクロ株式会社
アラート/アドバイザリ：ウイルスバスター クラウドの脆弱性について (CVE-2019-19694)
https://esupport.trendmicro.com/support/vb/solution/ja-jp/1124058.aspx

【6】IBM ServeRAID Manager に任意のコード実行が可能な脆弱性

情報源
CERT/CC Vulnerability Note VU#597809
IBM ServeRAID Manager exposes unauthenticated Java Remote Method Invocation (RMI) service
https://www.kb.cert.org/vuls/id/597809/

概要
IBM ServeRAID Manager には、任意のコード実行が可能な脆弱性があります。
結果として、遠隔の第三者が、Microsoft Windows の SYSTEM 権限で任意のコー
ドを実行する可能性があります。

対象となるバージョンは次のとおりです。

- IBM ServeRAID Manager 9.30-17006 およびそれ以前

2020年2月18日現在、IBM ServeRAID Manager 向けの修正バージョンは提供さ
れていません。また IBM ServeRAID Manager はサポートが終了しています。
IBM はこの問題に関する回避策の情報を提供しています。詳細は、IBM が提供
する情報を参照してください。

関連文書 (日本語)
Japan Vulnerability Notes JVNVU#99571081
IBM ServeRAID Manager における任意のコード実行が可能な脆弱性
https://jvn.jp/vu/JVNVU99571081/

関連文書 (英語)
IBM
IBM ServeRAID Application CD v9.30-17006 - IBM System x and BladeCenter
https://www.ibm.com/support/pages/ibm-serveraid-application-cd-v930-17006-ibm-system-x-and-bladecenter

【7】HtmlUnit に任意のコード実行が可能な脆弱性

情報源
Japan Vulnerability Notes JVN#34535327
HtmlUnit において任意のコードが実行可能な脆弱性
https://jvn.jp/jp/JVN34535327/

概要
HtmlUnit には、任意のコード実行が可能な脆弱性があります。結果として、
遠隔の第三者が、中間者攻撃などの方法により、任意の Java コードを実行す
る可能性があります。

対象となるバージョンは次のとおりです。

- HtmlUnit 2.37.0 より前のバージョン

この問題は、HtmlUnit を開発者が提供する修正済みのバージョンに更新する
ことで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (英語)
RBRi
HtmlUnit-2.37.0
https://github.com/HtmlUnit/htmlunit/releases/tag/2.37.0

【8】スマートフォンアプリ「ilbo」に認証不備の脆弱性

情報源
Japan Vulnerability Notes JVN#35496038
スマートフォンアプリ「ilbo」における認証不備の脆弱性
https://jvn.jp/jp/JVN35496038/

概要
株式会社エクストランが提供するスマートフォンアプリ「ilbo」には、認証不
備の脆弱性があります。結果として、当該製品にログイン可能な第三者が、他
のユーザの映像を閲覧する可能性があります。

対象となるバージョンは次のとおりです。

- Android アプリ「ilbo」 1.1.8 より前のバージョン
- iOS アプリ「ilbo」 1.2.0 より前のバージョン

この問題は、該当する製品を株式会社エクストランが提供する修正済みのバー
ジョンに更新することで解決します。詳細は、株式会社エクストランが提供す
る情報を参照してください。

関連文書 (日本語)
Google Play
ilbo
https://play.google.com/store/apps/details?id=jp.extrun.ilbo&hl=ja

App Store
ilbo
https://apps.apple.com/jp/app/ilbo/id1116864683

目 次 

【1】複数の Cisco 製品に脆弱性
【2】Google Chrome に複数の脆弱性
【3】Ghostscript にアクセス制限回避の脆弱性
【4】Movable Type にクロスサイトスクリプティングの脆弱性
【今週のひとくちメモ】「マルウエアEmotetへの対応FAQ」を更新

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr200601.html
https://www.jpcert.or.jp/wr/2020/wr200601.xml
============================================================================

【1】複数の Cisco 製品に脆弱性

情報源
CERT/CC Vulnerability Note VU#261385
Cisco Discovery Protocol (CDP) enabled devices are vulnerable to denial-of-service and remote code execution
https://kb.cert.org/vuls/id/261385/

概要
複数の Cisco 製品には、脆弱性があります。結果として、第三者が、任意の
コードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可
能性があります。

対象となる製品およびバージョンは、多岐に渡ります。詳細は Cisco が提供
するアドバイザリ情報を参照してください。

関連文書 (日本語)
Japan Vulnerability Notes JVNVU#95679983
Cisco Discovery Protocol (CDP) を使用する製品に複数の脆弱性
https://jvn.jp/vu/JVNVU95679983/

関連文書 (英語)
Cisco Security Advisory
Cisco FXOS, IOS XR, and NX-OS Software Cisco Discovery Protocol Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200205-fxnxos-iosxr-cdp-dos

Cisco Security Advisory
Cisco IOS XR Software Cisco Discovery Protocol Format String Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200205-iosxr-cdp-rce

Cisco Security Advisory
Cisco Video Surveillance 8000 Series IP Cameras Cisco Discovery Protocol Remote Code Execution and Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200205-ipcameras-rce-dos

Cisco Security Advisory
Cisco NX-OS Software Cisco Discovery Protocol Remote Code Execution Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200205-nxos-cdp-rce

Cisco Security Advisory
Cisco IP Phone Remote Code Execution and Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200205-voip-phones-rce-dos

【2】Google Chrome に複数の脆弱性

情報源
US-CERT Current Activity
Google Releases Security Updates for Chrome
https://www.us-cert.gov/ncas/current-activity/2020/02/05/google-releases-security-updates-chrome

概要
Google Chrome には、複数の脆弱性があります。

対象となる製品およびバージョンは次のとおりです。

- Chrome 80.0.3987.87 より前のバージョン

この問題は、Google Chrome を Google が提供する修正済みのバージョンに更
新することで解決します。詳細は、Google が提供する情報を参照してくださ
い。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2020/02/stable-channel-update-for-desktop.html

【3】Ghostscript にアクセス制限回避の脆弱性

情報源
Japan Vulnerability Notes JVN#52486659
Ghostscript におけるアクセス制限回避の脆弱性
https://jvn.jp/jp/JVN52486659/

概要
Ghostscript には、アクセス制限回避の脆弱性があります。結果として、遠隔
の第三者が、細工したファイルを Ghostscript で実行し、Ghostscript の権
限で任意のコマンドを実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Ghostscript 9.27 およびそれ以前のバージョン

この問題は、Ghostscript を Artifex Software, Inc. が提供する修正済みの
バージョンに更新することで解決します。詳細は、Artifex Software, Inc.
が提供する情報を参照してください。

関連文書 (英語)
Artifex Software, Inc.
Ghostscript
https://artifex.com/products/ghostscript/

Ghostscript and GhostPDL
git.ghostscript.com Git
https://git.ghostscript.com/?p=ghostpdl.git;a=commitdiff;h=485904772c5f

【4】Movable Type にクロスサイトスクリプティングの脆弱性

情報源
Japan Vulnerability Notes JVN#94435544
Movable Type におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN94435544/

概要
Movable Type には、クロスサイトスクリプティングの脆弱性があります。結
果として、遠隔の第三者が、当該製品にログインしているユーザのウェブブラ
ウザ上で、任意のスクリプトを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- Movable Type 7 r.4603 およびそれ以前 (Movable Type 7 系)
- Movable Type 6.5.2 およびそれ以前 (Movable Type 6.5 系)
- Movable Type Advanced 7 r.4603 およびそれ以前 (Movable Type Advanced 7 系)
- Movable Type Advanced 6.5.2 およびそれ以前 (Movable Type Advanced 6.5 系)
- Movable Type Premium 1.26 およびそれ以前
- Movable Type Premium Advanced 1.26 およびそれ以前

この問題は、Movable Type をシックス・アパート株式会社が提供する修正済
みのバージョンに更新することで解決します。詳細は、シックス・アパート株
式会社が提供する情報を参照してください。

関連文書 (日本語)
シックス・アパート株式会社
[重要] Movable Type 6.5.3 / 6.3.11 / Movable Type 7 r.4605 / Movable Type Premium 1.27 の提供を開始（セキュリティアップデート）
https://www.sixapart.jp/movabletype/news/2020/02/06-1100.html

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○「マルウエアEmotetへの対応FAQ」を更新

2020年2月3日に JPCERT/CC Eyes 「マルウエアEmotetへの対応FAQ」を更新し
ました。新型コロナウイルスを題材とした Emotet メール例や、Emotet の感
染有無を確認できる EmoCheck の情報を追加しています。

参考文献 (日本語)
JPCERT/CC
マルウエアEmotetへの対応FAQ
https://blogs.jpcert.or.jp/ja/2019/12/emotetfaq.html

目 次 

【1】複数の Apple 製品に脆弱性
【2】Magento に複数の脆弱性
【3】複数の Cisco 製品に脆弱性
【4】複数の Intel 製品に脆弱性
【5】OpenSMTPD に権限昇格と任意コード実行の脆弱性
【6】Android アプリ「MyPallete」にサーバ証明書検証不備の脆弱性
【7】スマートフォンアプリ「AWMS Mobile」にサーバ証明書の検証不備の脆弱性
【今週のひとくちメモ】警察庁が「複数のIoT機器等の脆弱性を標的としたアクセスの増加等について」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr200501.html
https://www.jpcert.or.jp/wr/2020/wr200501.xml
============================================================================

【1】複数の Apple 製品に脆弱性

情報源
US-CERT Current Activity
Apple Releases Multiple Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/01/28/apple-releases-multiple-security-updates

概要
複数の Apple 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、情報を窃取したりするなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- macOS Catalina 10.15.3 より前のバージョン
- macOS Mojave 10.14.6 (Security Update 2020-001 未適用)
- macOS High Sierra 10.13.6 (Security Update 2020-001 未適用)
- iOS 13.3.1 より前のバージョン
- iPadOS 13.3.1 より前のバージョン
- Safari 13.0.5 より前のバージョン
- tvOS 13.3.1 より前のバージョン
- iTunes 12.10.4 for Windows より前のバージョン
- watchOS 6.1.2 より前のバージョン
- iCloud for Windows 10.9.2 より前のバージョン
- iCloud for Windows 7.17 より前のバージョン

この問題は、該当する製品を Apple が提供する修正済みのバージョンに更新
することで解決します。詳細は、Apple が提供する情報を参照してください。

関連文書 (日本語)
Japan Vulnerability Notes JVNVU#95678717
複数の Apple 製品における脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU95678717/

Apple
iOS 13.3.1 および iPadOS 13.3.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210918

Apple
macOS Catalina 10.15.3、セキュリティアップデート 2020-001 Mojave、セキュリティアップデート 2020-001 High Sierra のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210919

Apple
tvOS 13.3.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210920

Apple
watchOS 6.1.2 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210921

Apple
Safari 13.0.5 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210922

Apple
iTunes for Windows 12.10.4 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210923

Apple
Windows 用 iCloud 10.9.2 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210947

Apple
Windows 用 iCloud 7.17 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210948

【2】Magento に複数の脆弱性

情報源
US-CERT Current Activity
Adobe Releases Security Updates for Magento
https://www.us-cert.gov/ncas/current-activity/2020/01/31/adobe-releases-security-updates-magento

概要
Magento には、複数の脆弱性があります。結果として、遠隔の第三者が、任意
のコードを実行したり、情報を窃取したりするなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Magento Commerce 2.3.3 およびそれ以前のバージョン
- Magento Commerce 2.2.10 およびそれ以前のバージョン
- Magento Open Source 2.3.3 およびそれ以前のバージョン
- Magento Open Source 2.2.10 およびそれ以前のバージョン
- Magento Enterprise Edition 1.14.4.3 およびそれ以前のバージョン
- Magento Community Edition 1.9.4.3 およびそれ以前のバージョン

この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新
することで解決します。詳細は、Adobe が提供する情報を参照してください。

関連文書 (英語)
Adobe
Security Updates Available for Magento | APSB20-02
https://helpx.adobe.com/security/products/magento/apsb20-02.html

【3】複数の Cisco 製品に脆弱性

情報源
US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/01/24/cisco-releases-security-updates

US-CERT Current Activity
Cisco Releases Security Updates for Cisco Small Business Switches
https://www.us-cert.gov/ncas/current-activity/2020/01/30/cisco-releases-security-updates-cisco-small-business-switches

概要
複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が情
報を窃取するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Cisco Webex Meetings Suite sites 40.1.3 より前のバージョン
- Cisco Webex Meetings Suite sites 39.11.5 より前のバージョン
- Cisco Webex Meetings Online sites 40.1.3 より前のバージョン
- Cisco Webex Meetings Online sites 39.11.5 より前のバージョン
2.5.0.92 より前のファームウエアが稼働する次の製品
- 250 Series Smart Switches
- 350 Series Managed Switches
- 350X Series Stackable Managed Switches
- 550X Series Stackable Managed Switches
1.4.11.4 より前のファームウエアが稼働する次の製品
- 200 Series Smart Switches
- 300 Series Managed Switches
- 500 Series Stackable Managed Switches
1.3.7.18 より前のファームウエアが稼働する次の製品
- 200 Series Smart Switches
- 300 Series Managed Switches
- 500 Series Stackable Managed Switches

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

関連文書 (英語)
Cisco Security Advisory
Cisco Webex Meetings Suite and Cisco Webex Meetings Online Unauthenticated Meeting Join Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200124-webex-unauthjoin

Cisco Security Advisory
Cisco Small Business Switches Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-smlbus-switch-dos-R6VquS2u

Cisco Security Advisory
Cisco Small Business Switches Information Disclosure Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200129-smlbus-switch-disclos

【4】複数の Intel 製品に脆弱性

情報源
Japan Vulnerability Notes JVNVU#97139173
Intel 製 CPU の投機的実行機能に対するサイドチャネル攻撃 (Vector Register Sampling、L1D Eviction Sampling)
https://jvn.jp/vu/JVNVU97139173/

概要
複数の Intel 製品には、脆弱性があります。結果として、第三者がサイドチャ
ネル攻撃によってベクトルレジスタ値や L1 データキャッシュの値を推測する
可能性があります。

影響を受ける製品は多岐に渡ります。対象製品の詳細は、Intel が提供するア
ドバイザリ情報を参照してください。

関連文書 (英語)
Intel
Intel Processors Data Leakage Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00329.html

Intel
IPAS: INTEL-SA-00329
https://blogs.intel.com/technology/2020/01/ipas-intel-sa-00329/#gs.viev5k

Intel
Vector Register Sampling / CVE-2020-0548 / INTEL-SA-00329
https://software.intel.com/security-software-guidance/software-guidance/vector-register-sampling

Intel
L1D Eviction Sampling / CVE-2020-0549 / INTEL-SA-00329
https://software.intel.com/security-software-guidance/software-guidance/l1d-eviction-sampling

Intel
Microcode Update Guidance
https://www.intel.com/content/dam/www/public/us/en/security-advisory/documents/sa00329-microcode-update-guidance.pdf

【5】OpenSMTPD に権限昇格と任意コード実行の脆弱性

情報源
CERT/CC Vulnerability Note VU#390745
OpenSMTPD vulnerable to local privilege escalation and remote code execution
https://kb.cert.org/vuls/id/390745/

概要
OpenSMTPD には、脆弱性があります。結果として、遠隔の第三者が任意のコー
ドを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- OpenSMTPD 6.4.0 から 6.6.1 までのバージョン

この問題は、OpenSMTPD を開発者が提供する修正済みのバージョンに更新する
ことで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)
Japan Vulnerability Notes JVNVU#90495537
OpenSMTPD に権限昇格と任意コード実行の脆弱性
https://jvn.jp/vu/JVNVU90495537/

関連文書 (英語)
US-CERT Current Activity
OpenSMTPD Vulnerability
https://www.us-cert.gov/ncas/current-activity/2020/02/03/opensmtpd-vulnerability

【6】Android アプリ「MyPallete」にサーバ証明書検証不備の脆弱性

情報源
Japan Vulnerability Notes JVN#28845872
Android アプリ「MyPallete」におけるサーバ証明書検証不備の脆弱性
https://jvn.jp/jp/JVN28845872/

概要
株式会社 NTTデータが提供する Android アプリ「MyPallete」には、サーバ証
明書の検証不備の脆弱性があります。結果として、遠隔の第三者が中間者攻撃
によって暗号通信の盗聴を行うなどの可能性があります。

対象となる製品は次のとおりです。

- Android アプリ「MyPallete」
- 「MyPallete」を使用して作成されている一部の金融機関の Android アプリ

この問題は、該当する製品を株式会社 NTTデータや各金融機関が提供する修正
済みのバージョンに更新することで解決します。詳細は、株式会社 NTTデータ
や各金融機関が提供する情報を参照してください。

関連文書 (日本語)
株式会社 NTTデータ
Androidアプリ「My Pallete」におけるSSL通信時の脆弱性に関するお知らせ
http://www.dokodemobank.ne.jp/info_20200128_bankingapp.html

株式会社足利銀行
あしぎんアプリにおけるＳＳＬ通信時の脆弱性に関するお知らせ
https://www.ashikagabank.co.jp/appbanking/pdf/oshirase.pdf

株式会社池田泉州銀行
当行バンキングアプリにおける脆弱性に関するお知らせ
https://www.sihd-bk.jp/common_v2/pdf/20200127.pdf

株式会社四国銀行
四国銀行アプリにおけるSSL通信時の複数の脆弱性に関するお知らせ
https://www.shikokubank.co.jp/info/apps20200128.html

株式会社東北銀行
とうぎんアプリにおけるSSL通信時の複数の脆弱性に関するお知らせ
https://www.tohoku-bank.co.jp/news/topics/200128_applissl.html

株式会社長野銀行
ながぎんアプリにおけるSSL通信時の複数の脆弱性に関するお知らせ
https://www.naganobank.co.jp/soshiki/2/app-ssl.html

株式会社七十七銀行
【重要】七十七銀行アプリにおける脆弱性に関するお知らせ
https://www.77bank.co.jp/pdf/oshirase/20012801_appvulnerability.pdf

株式会社北海道銀行
『どうぎんアプリ』における SSL 通信時の脆弱性の修正に関するお知らせ
https://www.hokkaidobank.co.jp/common/dat/2020/0120/15795047141946146699.pdf

株式会社北陸銀行
『北陸銀行ポータルアプリ』におけるSSL通信時の脆弱性の修正に関するお知らせ
https://www.hokugin.co.jp/info/archives/personal/2020/1913.html

【7】スマートフォンアプリ「AWMS Mobile」にサーバ証明書の検証不備の脆弱性

情報源
Japan Vulnerability Notes JVN#00014057
スマートフォンアプリ「AWMS Mobile」におけるサーバ証明書の検証不備の脆弱性
https://jvn.jp/jp/JVN00014057/

概要
富士ゼロックス株式会社が提供するスマートフォンアプリ「AWMS Mobile」に
は、サーバ証明書の検証不備の脆弱性があります。結果として、遠隔の第三者
が中間者攻撃によって暗号通信の盗聴を行うなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- iOS アプリ「AWMS Mobile」 2.0.0 から 2.0.8 までのバージョン
- Android アプリ「AWMS Mobile」 2.0.0 から 2.0.5 までのバージョン

この問題は、該当する製品を富士ゼロックス株式会社が提供する修正済みのバー
ジョンに更新することで解決します。詳細は、富士ゼロックス株式会社が提供
する情報を参照してください。

関連文書 (日本語)
富士ゼロックス株式会社
AWMS Mobile における証明書検証不備およびホスト名検証不備の脆弱性について
https://www.fujixerox.co.jp/support/software/aw_manage_suite/contents/awms2_notice01

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○警察庁が「複数のIoT機器等の脆弱性を標的としたアクセスの増加等について」を公開

警察庁は 2020年1月30日、「複数のIoT機器等の脆弱性を標的としたアクセス
の増加等について」と題したレポートを公開しました。2019年11月以降から、
複数の IoT 機器の脆弱性を標的としたアクセスの増加が観測されており、Mirai
亜種の感染を狙った11種類のアクセスなどの観測状況をまとめています。

参考文献 (日本語)
警察庁
複数のIoT機器等の脆弱性を標的としたアクセスの増加等について
https://www.npa.go.jp/cyberpolice/detect/pdf/20200130.pdf

目 次 

【1】複数の Cisco 製品に脆弱性
【2】Samba に複数の脆弱性
【3】PHP に複数の脆弱性
【4】富士ゼロックス製の複数のスマートフォンアプリに SSL サーバ証明書の検証不備の脆弱性
【今週のひとくちメモ】サイバーセキュリティ月間について

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr200401.html
https://www.jpcert.or.jp/wr/2020/wr200401.xml
============================================================================

【1】複数の Cisco 製品に脆弱性

情報源
US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/01/23/cisco-releases-security-updates

US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/01/24/cisco-releases-security-updates

概要
複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコマンドを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする
などの可能性があります。

影響度 Critical および High の脆弱性情報の対象となる製品は次のとおりで
す。

- Cisco Firepower Management Center Software
- Cisco TelePresence Collaboration Endpoint Software
- Cisco TelePresence Codec Software
- Cisco RoomOS Software
- Cisco IOS XE SD-WAN Software
- Cisco SD-WAN Solution vManage Software
- Cisco Smart Software Manager On-Prem
- Cisco IOS XR Software
- Cisco Webex Meetings Suite sites
- Cisco Webex Meetings Online sites

※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、
影響度 Medium の複数の脆弱性情報が公開されています。詳細は、Cisco が提
供する情報を参照してください。

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

関連文書 (英語)
Cisco Security Advisory
Cisco Firepower Management Center Lightweight Directory Access Protocol Authentication Bypass Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200122-fmc-auth

Cisco Security Advisory
Cisco TelePresence Collaboration Endpoint, TelePresence Codec, and RoomOS Software Path Traversal Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-telepresence-path-tr-wdrnYEZZ

Cisco Security Advisory
Cisco IOS XE SD-WAN Software Default Credentials Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sd-wan-cred-EVGSF259

Cisco Security Advisory
Cisco SD-WAN Solution Local Privilege Escalation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200122-sdwan-priv-esc

Cisco Security Advisory
Cisco Smart Software Manager On-Prem Web Interface Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200122-on-prem-dos

Cisco Security Advisory
Cisco IOS XR Software BGP EVPN Operational Routes Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200122-ios-xr-routes

Cisco Security Advisory
Cisco IOS XR Software BGP EVPN Denial of Service Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200122-ios-xr-evpn

Cisco Security Advisory
Cisco IOS XR Software Intermediate System-to-Intermediate System Denial of Service Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200122-ios-xr-dos

Cisco Security Advisory
Cisco Webex Meetings Suite and Cisco Webex Meetings Online Unauthenticated Meeting Join Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200124-webex-unauthjoin

【2】Samba に複数の脆弱性

情報源
US-CERT Current Activity
Samba Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/01/21/samba-releases-security-updates

概要
Samba には、複数の脆弱性があります。結果として、遠隔の第三者がサービス
運用妨害 (DoS) 攻撃を行うなどの可能性があります。

対象となるバージョンは次のとおりです。

- Samba 4.11.5 より前の 4.11 系バージョン
- Samba 4.10.12 より前の 4.10 系バージョン
- Samba 4.9.18 より前の 4.9 系バージョン

なお、既にサポートが終了している Samba 4.9 系より前のバージョンも影響
を受けるとのことです。

この問題は、Samba を The Samba Team が提供する修正済みのバージョンに更
新することで解決します。詳細は、The Samba Team が提供する情報を参照し
てください。

関連文書 (英語)
The Samba Team
Samba Security Releases
https://www.samba.org/samba/history/security.html

The Samba Team
Replication of ACLs set to inherit down a subtree on AD Directory not automatic
https://www.samba.org/samba/security/CVE-2019-14902.html

The Samba Team
Crash after failed character conversion at log level 3 or above
https://www.samba.org/samba/security/CVE-2019-14907.html

The Samba Team
Use after free during DNS zone scavenging in Samba AD DC
https://www.samba.org/samba/security/CVE-2019-19344.html

【3】PHP に複数の脆弱性

情報源
The PHP Group
PHP 7.4.2 Released
https://www.php.net/archive/2020.php#2020-01-23-1

The PHP Group
PHP 7.3.14 Released
https://www.php.net/archive/2020.php#2020-01-23-3

The PHP Group
PHP 7.2.27 Released
https://www.php.net/archive/2020.php#2020-01-23-2

概要
PHP には、複数の脆弱性があります。結果として、第三者が任意のコードを実
行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- PHP 7.4.2 より前のバージョン
- PHP 7.3.14 より前のバージョン
- PHP 7.2.27 より前のバージョン

この問題は、PHP を開発者や配布元が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者や配布元が提供する情報を参照してくだ
さい。

関連文書 (英語)
The PHP Group
PHP 7 ChangeLog Version 7.4.2
https://www.php.net/ChangeLog-7.php#7.4.2

The PHP Group
PHP 7 ChangeLog Version 7.3.14
https://www.php.net/ChangeLog-7.php#7.3.14

The PHP Group
PHP 7 ChangeLog Version 7.2.27
https://www.php.net/ChangeLog-7.php#7.2.27

【4】富士ゼロックス製の複数のスマートフォンアプリに SSL サーバ証明書の検証不備の脆弱性

情報源
Japan Vulnerability Notes JVN#66435380
富士ゼロックス製の複数のスマートフォンアプリにおける SSL サーバ証明書の検証不備の脆弱性
https://jvn.jp/jp/JVN66435380/

概要
富士ゼロックス製の複数のスマートフォンアプリには、SSL サーバ証明書の検
証不備の脆弱性があります。結果として、遠隔の第三者が中間者攻撃によって
暗号通信の盗聴を行うなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- iOS アプリ「netprint」 3.2.3 およびそれ以前のバージョン
- iOS アプリ「かんたんnetprint」 2.0.2 およびそれ以前のバージョン
- Android アプリ「かんたんnetprint」 2.0.3 およびそれ以前のバージョン

この問題は、該当する製品を富士ゼロックス株式会社が提供する修正済みのバー
ジョンに更新することで解決します。詳細は、富士ゼロックス株式会社が提供
する情報を参照してください。

関連文書 (日本語)
富士ゼロックス株式会社
ネットプリントサービスのスマートフォンアプリの不具合(脆弱性)について
https://www.printing.ne.jp/support/information/AppVulnerability.html

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○サイバーセキュリティ月間について

2月1日から 3月18日は、「サイバーセキュリティ月間」です。昨今、不審メー
ルや情報漏えいなど、サイバーセキュリティに関する問題が多数報じられてい
ます。こうした問題に対応していくためにも、日本政府はサイバーセキュリティ
に関する普及啓発活動として、今年も日本全国各地で様々なイベントの開催や
ポスター掲示などの取り組みを行います。興味のある方は、是非参加をご検討
ください。

参考文献 (日本語)
内閣サイバーセキュリティセンター (NISC)
サイバーセキュリティ月間
https://www.nisc.go.jp/security-site/month/

目 次 

【1】複数の Microsoft 製品に脆弱性
【2】複数の Adobe 製品に脆弱性
【3】2020年 1月 Oracle Critical Patch Update について
【4】複数の Intel 製品に脆弱性
【5】Google Chrome に複数の脆弱性
【6】VMware Tools に権限昇格の脆弱性
【7】トレンドマイクロ製パスワードマネージャーに情報漏えいの脆弱性
【今週のひとくちメモ】JIPDEC が社内教育用参考資料「紛失・盗難を防ごう」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr200301.html
https://www.jpcert.or.jp/wr/2020/wr200301.xml
============================================================================

【1】複数の Microsoft 製品に脆弱性

情報源
US-CERT Current Activity
Microsoft Releases January 2020 Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/01/14/microsoft-releases-january-2020-security-updates

US-CERT Current Activity
Microsoft Releases Security Advisory on Internet Explorer Vulnerability
https://www.us-cert.gov/ncas/current-activity/2020/01/17/microsoft-releases-security-advisory-internet-explorer

概要
複数の Microsoft 製品には、脆弱性があります。結果として、遠隔の第三者
が任意のコードを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Microsoft Windows
- Internet Explorer
- Microsoft Office、Microsoft Office Services および Web Apps
- ASP.NET Core
- .NET Core
- .NET Framework
- OneDrive for Android
- Microsoft Dynamics

この問題は、Microsoft Update などを用いて、更新プログラムを適用するこ
とで解決します。なお、2020年1月17日 (米国時間) に公開された Microsoft
Internet Explorer の脆弱性 (CVE-2020-0674) については、2020年1月21日
時点で、解決策は提供されていません。Microsoft が提供する情報を参照し、
回避策の適用や別の Web ブラウザの使用を検討してください。詳細は、
Microsoft が提供する情報を参照してください。

関連文書 (日本語)
マイクロソフト株式会社
2020 年 1 月のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-jp/security-guidance/releasenotedetail/2020-Jan

JPCERT/CC 注意喚起
2020年1月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2020/at200001.html

JPCERT/CC 注意喚起
Microsoft Internet Explorer の未修正の脆弱性 (CVE-2020-0674) に関する注意喚起
https://www.jpcert.or.jp/at/2020/at200004.html

関連文書 (英語)
マイクロソフト株式会社
ADV200001 | Microsoft Guidance on Scripting Engine Memory Corruption Vulnerability
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV200001

CERT/CC Vulnerability Note VU#338824
Microsoft Internet Explorer Scripting Engine memory corruption vulnerability
https://kb.cert.org/vuls/id/338824/

【2】複数の Adobe 製品に脆弱性

情報源
US-CERT Current Activity
Adobe Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/01/14/adobe-releases-security-updates

概要
複数の Adobe 製品には、脆弱性があります。結果として、第三者が情報を窃
取したり、実行ユーザの権限で任意のコードを実行したりする可能性がありま
す。

対象となる製品およびバージョンは次のとおりです。

- Adobe Experience Manager 6.5、6.4、6.3
- Adobe Illustrator CC 2019 24.0 およびそれ以前のバージョン (Windows)

なお、既にコアサポート期間が終了している Adobe Experience Manager 6.2、
6.1、6.0 も本脆弱性の影響を受けるとのことです。該当のバージョンを使用
している場合は、サポート対象のバージョンをご使用ください。

この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新
することで解決します。詳細は、Adobe が提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
複数の Adobe 製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2020011501.html

Adobe
Adobe Experience Manager に関するセキュリティアップデート公開 | APSB20-01
https://helpx.adobe.com/jp/security/products/experience-manager/apsb20-01.html

Adobe
Adobe Illustrator CC に関するセキュリティアップデート公開 | APSB20-03
https://helpx.adobe.com/jp/security/products/illustrator/apsb20-03.html

【3】2020年 1月 Oracle Critical Patch Update について

情報源
US-CERT Current Activity
Oracle Releases January 2020 Security Bulletin
https://www.us-cert.gov/ncas/current-activity/2020/01/14/oracle-releases-january-2020-security-bulletin

概要
Oracle から複数の製品およびコンポーネントに含まれる脆弱性に対応した
Oracle Critical Patch Update Advisory が公開されました。

詳細は、Oracle が提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC 注意喚起
2020年1月 Oracle 製品のクリティカルパッチアップデートに関する注意喚起
https://www.jpcert.or.jp/at/2020/at200002.html

関連文書 (英語)
Oracle
Oracle Critical Patch Update Advisory - January 2020
https://www.oracle.com/security-alerts/cpujan2020.html

【4】複数の Intel 製品に脆弱性

情報源
US-CERT Current Activity
Intel Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/01/14/intel-releases-security-updates

Japan Vulnerability Notes JVNVU#98694410
Intel 製品に複数の脆弱性
https://jvn.jp/vu/JVNVU98694410/

概要
複数の Intel 製品には、脆弱性があります。結果として、第三者が、権限を
昇格したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可能性があ
ります。

影響を受ける製品やバージョンは多岐に渡ります。対象製品の詳細は、Intel
が提供するアドバイザリ情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Intel 製品に関する複数の脆弱性について
https://www.jpcert.or.jp/newsflash/2020011502.html

関連文書 (英語)
Intel
INTEL-SA-00300: Intel SNMP Subagent Stand-Alone Advisory for Windows
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00300.html

Intel
INTEL-SA-00306: Intel Chipset Device Software Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00306.html

Intel
INTEL-SA-00308: Intel RWC 3 for Windows Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00308.html

Intel
INTEL-SA-00314: Intel Processor Graphics Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00314.html

Intel
INTEL-SA-00325: Intel VTune Amplifier for Windows Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00325.html

Intel
INTEL-SA-00332: Intel DAAL Advisory
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00332.html

【5】Google Chrome に複数の脆弱性

情報源
US-CERT Current Activity
Google Releases Security Updates for Chrome
https://www.us-cert.gov/ncas/current-activity/2020/01/17/google-releases-security-updates-chrome

概要
Google Chrome には、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 79.0.3945.130 より前のバージョン

この問題は、Google Chrome を Google が提供する修正済みのバージョンに更
新することで解決します。詳細は、Google が提供する情報を参照してくださ
い。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2020/01/stable-channel-update-for-desktop_16.html

【6】VMware Tools に権限昇格の脆弱性

情報源
US-CERT Current Activity
VMware Releases Security Update
https://www.us-cert.gov/ncas/current-activity/2020/01/14/vmware-releases-security-update

概要
VMware Tools には、権限昇格の脆弱性があります。結果として、ゲスト OS
のユーザが権限を昇格する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- VMware Tools 10 系のバージョン (Windows)

この問題は、VMware Tools を VMware が提供する脆弱性の影響を受けないバー
ジョンに更新することで解決します。詳細は、VMware が提供する情報を参照
してください。

関連文書 (英語)
VMware Security Advisories
VMSA-2020-0002
https://www.vmware.com/security/advisories/VMSA-2020-0002.html

【7】トレンドマイクロ製パスワードマネージャーに情報漏えいの脆弱性

情報源
Japan Vulnerability Notes JVN#37183636
トレンドマイクロ製パスワードマネージャーにおける情報漏えいの脆弱性
https://jvn.jp/jp/JVN37183636/

Japan Vulnerability Notes JVN#49593434
トレンドマイクロ製パスワードマネージャーにおける情報漏えいの脆弱性
https://jvn.jp/jp/JVN49593434/

概要
トレンドマイクロ製パスワードマネージャーには、情報漏えいの脆弱性があり
ます。結果として、第三者が秘密鍵や機微な情報を取得する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- パスワードマネージャー Windows 版 5.0.0.1076 およびそれ以前のバージョン
- パスワードマネージャー Windows 版 3.8.0.1103 およびそれ以前のバージョン
- パスワードマネージャー Mac 版 5.0.1047 およびそれ以前のバージョン
- パスワードマネージャー Mac 版 3.8.0.1052 およびそれ以前のバージョン

この問題は、トレンドマイクロ製パスワードマネージャーをトレンドマイクロ
株式会社が提供する修正済みのバージョンに更新することで解決します。詳細
は、トレンドマイクロ株式会社が提供する情報を参照してください。

関連文書 (日本語)
トレンドマイクロ株式会社
アラート/アドバイザリ：パスワードマネージャーのセキュリティ情報（CVE-2019-19696)
https://esupport.trendmicro.com/support/pwm/solution/ja-jp/1124091.aspx

トレンドマイクロ株式会社
アラート/アドバイザリ：パスワードマネージャーのセキュリティ情報（CVE-2019-15625)
https://esupport.trendmicro.com/support/pwm/solution/ja-jp/1123614.aspx

目 次 

【1】複数の Mozilla 製品に脆弱性
【2】複数の Citrix 製品に脆弱性
【3】Google Chrome に解放済みメモリ使用 (use-after-free) の脆弱性
【4】複数の Cisco 製品に脆弱性
【5】複数の Juniper 製品に脆弱性
【6】F-RevoCRM にクロスサイトスクリプティングの脆弱性
【今週のひとくちメモ】Windows 7 および Windows Server 2008 / 2008 R2 のサポートが終了

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr200201.html
https://www.jpcert.or.jp/wr/2020/wr200201.xml
============================================================================

【1】複数の Mozilla 製品に脆弱性

情報源
US-CERT Current Activity
Mozilla Releases Security Updates for Firefox and Firefox ESR
https://www.us-cert.gov/ncas/current-activity/2020/01/08/mozilla-releases-security-updates-firefox-and-firefox-esr

US-CERT Current Activity
Mozilla Patches Critical Vulnerability
https://www.us-cert.gov/ncas/current-activity/2020/01/08/mozilla-patches-critical-vulnerability

概要
複数の Mozilla 製品には、脆弱性があります。 結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可
能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 72.0.1 より前のバージョン
- Mozilla Firefox ESR 68.4.1 より前のバージョン
- Mozilla Thunderbird 68.4.1 より前のバージョン

この問題は、該当する製品を Mozilla が提供する修正済みのバージョンに更
新することで解決します。詳細は、Mozilla が提供する情報を参照してくださ
い。

関連文書 (英語)
Mozilla
Security Vulnerabilities fixed in Firefox 72
https://www.mozilla.org/en-US/security/advisories/mfsa2020-01

Mozilla
Security Vulnerabilities fixed in Firefox ESR 68.4
https://www.mozilla.org/en-US/security/advisories/mfsa2020-02

Mozilla
Security Vulnerabilities fixed in Firefox 72.0.1 and Firefox ESR 68.4.1
https://www.mozilla.org/en-US/security/advisories/mfsa2020-03

Mozilla
Security Vulnerabilities fixed in Thunderbird 68.4.1
https://www.mozilla.org/en-US/security/advisories/mfsa2020-04

【2】複数の Citrix 製品に脆弱性

情報源
CERT/CC Vulnerability Note VU#619785
Citrix Application Delivery Controller and Citrix Gateway web server vulnerability
https://www.kb.cert.org/vuls/id/619785/

概要
複数の Citrix 製品には、脆弱性があります。結果として、遠隔の第三者が認
証無しで任意のコードを実行する可能性があります。

対象となる製品は次のとおりです。

- Citrix Application Delivery Controller
- Citrix Gateway
- NetScaler Application Delivery Controller
- NetScaler Gateway

2020年1月15日現在、この問題に対する修正済みのバージョンは提供されてい
ません。Citrix が本脆弱性に関する回避策のページを公開しています。また
Citrix によると、2020年1月下旬に修正バージョンを提供予定とのことです。
詳細は、Citrix の情報を参照してください。

関連文書 (日本語)
Japan Vulnerability Notes JVNVU#92281641
Citrix Application Delivery Controller および Citrix Gateway web server における任意のコード実行が可能な脆弱性
https://jvn.jp/vu/JVNVU92281641/

関連文書 (英語)
Citrix Systems, Inc.
CVE-2019-19781 - Vulnerability in Citrix Application Delivery Controller and Citrix Gateway
https://support.citrix.com/article/CTX267027

Citrix Systems, Inc.
Mitigation Steps for CVE-2019-19781
https://support.citrix.com/article/CTX267679

【3】Google Chrome に解放済みメモリ使用 (use-after-free) の脆弱性

情報源
US-CERT Current Activity
Google Releases Security Updates for Chrome
https://www.us-cert.gov/ncas/current-activity/2020/01/08/google-releases-security-updates-chrome

概要
Google Chrome には、解放済みメモリの使用が可能な脆弱性があります。結果
として、遠隔の第三者が任意のコードを実行する可能性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 79.0.3945.117 より前のバージョン (Windows, Mac, Linux)

この問題は、Google Chrome を Google が提供する修正済みのバージョンに更
新することで解決します。詳細は、Google が提供する情報を参照してくださ
い。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2020/01/stable-channel-update-for-desktop.html

【4】複数の Cisco 製品に脆弱性

情報源
US-CERT Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.us-cert.gov/ncas/current-activity/2020/01/09/cisco-releases-security-updates-multiple-products

概要
複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が任
意のコマンドを実行するなどの可能性があります。

影響度 High の脆弱性情報に記載されている製品は次のとおりです。

- Cisco Webex Video Mesh Software
- Cisco IOS Software
- Cisco IOS XE Software

※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、
影響度 Medium の複数の脆弱性情報が公開されています。詳細は、Cisco が
提供する情報を参照してください。

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

関連文書 (英語)
Cisco Security Advisory
Cisco Webex Video Mesh Node Command Injection Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200108-webex-video

Cisco Security Advisory
Cisco IOS and Cisco IOS XE Software Web UI Cross-Site Request Forgery Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200108-ios-csrf

【5】複数の Juniper 製品に脆弱性

情報源
US-CERT Current Activity
Juniper Networks Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/01/09/juniper-networks-releases-security-updates

概要
複数の Juniper 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコマンドを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする
などの可能性があります。

対象となる製品は次のとおりです。

- Junos OS
- SBR Carrier
- Contrail Networking
- Junos Space

この問題は、該当する製品を Juniper が提供する修正済みのバージョンに更
新することで解決します。詳細は、Juniper が提供する情報を参照してくださ
い。

関連文書 (日本語)
Japan Vulnerability Notes JVN#07375820
Junos OS におけるディレクトリトラバーサルの脆弱性
https://jvn.jp/jp/JVN07375820/

Japan Vulnerability Notes JVN#21753370
Junos OS におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN21753370/

関連文書 (英語)
Juniper Networks
Security Advisories
https://kb.juniper.net/InfoCenter/index?page=content&channel=SECURITY_ADVISORIES

Juniper Networks
2020-01 Security Bulletin: Junos OS: A specific SNMP command can trigger a high CPU usage Denial of Service in the RPD daemon. (CVE-2020-1600)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10979

Juniper Networks
2020-01 Security Bulletin: Junos OS: Upon receipt of certain types of malformed PCEP packets the pccd process may crash. (CVE-2020-1601)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10980

Juniper Networks
2020-01 Security Bulletin: Junos OS and Junos OS Evolved: Multiple vulnerabilities in JDHCPD allow for OS command injection and code execution of JDHCPD.
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10981

Juniper Networks

2020-01 Security Bulletin: Junos OS: Improper handling of specific IPv6 packets sent by clients eventually kernel crash (vmcore) the device. (CVE-2020-1603)

https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10982

Juniper Networks
2020-01 Security Bulletin: Junos OS: EX4300/EX4600/QFX3500/QFX5100 Series: Stateless IP firewall filter may fail to evaluate certain packets (CVE-2020-1604)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10983

Juniper Networks
2020-01 Security Bulletin: Junos OS: Path traversal vulnerability in J-Web (CVE-2020-1606)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10985

Juniper Networks
2020-01 Security Bulletin: Junos OS: Cross-Site Scripting (XSS) in J-Web (CVE-2020-1607)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10986

Juniper Networks
2020-01 Security Bulletin: Junos OS: MX Series: In BBE configurations, receipt of a specific MPLS or IPv6 packet causes a Denial of Service (CVE-2020-1608)
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10987

Juniper Networks
2020-01 Security Bulletin: SBR Carrier: Multiple Vulnerabilities in OpenSSL
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10990

Juniper Networks
2020-01 Security Bulletin: SBR Carrier: Multiple Vulnerabilities in Net-SNMP
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10991

Juniper Networks
2020-01 Security Bulletin: Contrail Networking: Multiple Vulnerabilities have been resolved in release R1912
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10992

Juniper Networks
2020-01 Security Bulletin: Junos Space: Multiple vulnerabilities resolved in 19.4R1 release.
https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10993

【6】F-RevoCRM にクロスサイトスクリプティングの脆弱性

情報源
Japan Vulnerability Notes JVN#97325754
F-RevoCRM におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN97325754/

概要
シンキングリード株式会社が提供する F-RevoCRM には、クロスサイトスクリ
プティングの脆弱性があります。結果として、遠隔の第三者が、当該製品を使
用しているユーザのブラウザ上で、任意のスクリプトを実行する可能性があり
ます。

対象となるバージョンは次のとおりです。

- F-RevoCRM 6.0 から F-RevoCRM 6.5 patch6 までの 6 系のバージョン

この問題は、F-RevoCRM にシンキングリード株式会社が提供するパッチを適用
することで解決します。詳細は、シンキングリード株式会社が提供する情報を
参照してください。

関連文書 (日本語)
シンキングリード株式会社
F-RevoCRMバージョン6系の脆弱性と対応について
https://f-revocrm.jp/2019/12/9393

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○Windows 7 および Windows Server 2008 / 2008 R2 のサポートが終了

2020年1月14日をもって、Microsoft が提供する Windows 7 および Windows
Server 2008 / 2008 R2 のサポートが終了しました。以降は、Windows 7 およ
び Windows Server 2008 / 2008 R2 を実行している PC およびサーバに対し、
セキュリティ更新プログラムが提供されません。Windows 10 および Windows
Server 2019 などの最新の OS にアップグレードすることを検討してください。

参考文献 (日本語)
マイクロソフト株式会社
Windows 7 のサポートを本日で終了致します
https://blogs.windows.com/japan/2020/01/14/0114_windows7eos/

マイクロソフト株式会社
2020 年 1 月 14 日に、Windows 7 のサポートが終了します
https://support.microsoft.com/ja-jp/help/4057281/windows-7-support-will-end-on-january-14-2020

マイクロソフト株式会社
Windows Server 2008 および Windows Server 2008 R2 のサポート終了
https://support.microsoft.com/ja-jp/help/4456235/end-of-support-for-windows-server-2008-and-windows-server-2008-r2

JPCERT/CC
Windows 7 および Windows Server 2008 R2 の延長サポート終了について
https://www.jpcert.or.jp/newsflash/2019101801.html

目 次 

【1】Cisco Data Center Network Manager に認証回避の脆弱性
【今週のひとくちメモ】警察庁が「DockerAPI を標的とした探索行為の増加等について」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr200101.html
https://www.jpcert.or.jp/wr/2020/wr200101.xml
============================================================================

【1】Cisco Data Center Network Manager に認証回避の脆弱性

情報源
Cisco Security Advisory
Cisco Data Center Network Manager Authentication Bypass Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200102-dcnm-auth-bypass

概要
Cisco Data Center Network Manager には、認証回避の脆弱性があります。結
果として、遠隔の第三者が任意のコードを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- Cisco Data Center Network Manager ソフトウエア 11.3(1) より前のバージョン (Microsoft Windows, Linux, virtual appliance platforms)

※影響度 Critical 以外にも、影響度 High および Medium の脆弱性情報、ア
　ドバイザリが公開されています。詳細は、Cisco が提供する情報を参照して
　ください。

この問題は、Cisco Data Center Network Manager を Cisco が提供する修正
済みのバージョンに更新することで解決します。詳細は、Cisco が提供する情
報を参照してください。

関連文書 (英語)
Cisco Security Advisory
Cisco Data Center Network Manager SQL Injection Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200102-dcnm-sql-inject

Cisco Security Advisory
Cisco Data Center Network Manager Path Traversal Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200102-dcnm-path-trav

Cisco Security Advisory
Cisco Data Center Network Manager Command Injection Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200102-dcnm-comm-inject

Cisco Security Advisory
Cisco Data Center Network Manager XML External Entity Read Access Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200102-dcnm-xml-ext-entity

Cisco Security Advisory
Cisco Data Center Network Manager JBoss EAP Unauthorized Access Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200102-dcnm-unauth-access

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○警察庁が「DockerAPI を標的とした探索行為の増加等について」を公開

警察庁は 2019年12月25日、「DockerAPI を標的とした探索行為の増加等につ
いて」と題したレポートを公開しました。2019年11月上旬から、Docker API
を標的とした宛先ポート 2375/TCP 2376/TCP 2377/TCP 4243/TCP に対する探
索行為の増加が観測されており、警察庁は同製品の利用者に注意を呼び掛けて
います。

また、リモートデスクトップの脆弱性 (CVE-2019-0708) を標的としたアクセ
スの増加や、宛先ポート 26/TCP に対する Mirai ボットの特徴を有するアク
セスの増加も観測されており、同じく注意が呼びかけられています。リモート
デスクトップ製品や IoT 機器を利用している場合は、警察庁や各ベンダなど
が提供する情報を確認し、バージョンアップやアクセス制御などの対策の実施
を検討してください。

参考文献 (日本語)
警察庁
DockerAPI を標的とした探索行為の増加等について
https://www.npa.go.jp/cyberpolice/important/2019/201912251.html