ミニ・いんふぉめーしょん

目　次
【1】Apache HTTP Server 2.4に複数の脆弱性
【2】Google Chromeのセキュリティアップデート
【3】2023年10月Oracle Critical Patch Updateについて
【4】IPAが「オンラインストレージの脆弱性対策について」を公開
【5】JNSAとISOG-Jが「セキュリティ対応組織（SOC/CSIRT） の教科書」の第3.1版を公開
【6】Citrix ADCおよびCitrix Gatewayの脆弱性（CVE-2023-4966）に関する注意喚起
【7】Cisco IOS XEのWeb UIにおける権限昇格の脆弱性（CVE-2023-20198）に関する注意喚起
【8】JPCERT/CCが2023年7月-2023年9月分の「活動四半期レポート」などを公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】Apache HTTP Server 2.4に複数の脆弱性
情報源
https://jvn.jp/vu/JVNVU93413100/

概要
Apache HTTP Server 2.4系には、mod_macroにおけるバッファ外読み取りの脆弱性（CVE-2023-31122）など複数の脆弱性があります。これらの問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://httpd.apache.org/security/vulnerabilities_24.html#2.4.58

【2】Google Chromeのセキュリティアップデート
情報源
https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_17.html

概要
Googleより、Google Chromeに関するセキュリティの修正を含む、アップデートが公開されました。詳細は開発者が提供する情報を参照してください。

【3】2023年10月Oracle Critical Patch Updateについて
情報源
https://www.oracle.com/security-alerts/cpuoct2023.html

概要
Oracleから複数の製品およびコンポーネントに含まれる脆弱性に対応したOracle Critical Patch Update Advisoryが公開されました。詳細は、Oracleが提供する情報を参照してください。
関連文書
https://www.cisa.gov/news-events/alerts/2023/10/19/oracle-releases-october-2023-critical-patch-update-advisory

https://www.jpcert.or.jp/at/2023/at230024.html

【4】IPAが「オンラインストレージの脆弱性対策について」を公開
情報源
https://www.ipa.go.jp/security/security-alert/2023/alert20231019.html

概要
2023年10月19日、独立行政法人情報処理推進機構（IPA）は「オンラインストレージの脆弱性対策について」を公開しました。オンラインストレージの脆弱性を悪用した攻撃に関して、最近の動向や対策などを紹介しています。

【5】JNSAとISOG-Jが「セキュリティ対応組織（SOC/CSIRT） の教科書」の第3.1版を公開
情報源
https://isog-j.org/output/2023/Textbook_soc-csirt_v3.1.pdf

概要
2023年10月17日、NPO 日本ネットワークセキュリティ協会（JNSA）と日本セキュリティオペレーション事業者協議会（ISOG-J）は「セキュリティ対応組織（SOC/CSIRT） の教科書」の第3.1版を公開しました。マネジメントプロセスとサービスとの関連の補足説明や、セキュリティ対応組織サービスポートフォリオシートなどが追加されています。

【6】Citrix ADCおよびCitrix Gatewayの脆弱性（CVE-2023-4966）に関する注意喚起
情報源
https://www.jpcert.or.jp/at/2023/at230026.html

概要
2023年10月20日、JPCERT/CCはCitrix ADCおよびCitrix Gatewayの脆弱性（CVE-2023-4966）に関する注意喚起を公開しました。Citrixは脆弱性を悪用する攻撃を確認しているとのことですので、影響を受ける製品を利用している場合、速やかに対策の適用などをご検討ください。

【7】Cisco IOS XEのWeb UIにおける権限昇格の脆弱性（CVE-2023-20198）に関する注意喚起
情報源
https://www.jpcert.or.jp/at/2023/at230025.html

概要
2023年10月18日、JPCERT/CCはCisco IOS XEのWeb UIにおける権限昇格の脆弱性（CVE-2023-20198）に関する注意喚起を公開しました。JPCERT/CCでは、本脆弱性を悪用した攻撃による被害を確認しています。Ciscoが提供する最新の情報を確認の上、推奨事項の適用および侵害痕跡の調査の実施を推奨します。

【8】JPCERT/CCが2023年7月-2023年9月分の「活動四半期レポート」などを公開
情報源
https://www.jpcert.or.jp/pr/2023/PR_Report2023Q2.pdf

概要
2023年10月17日、JPCERT/CCは2023年7月-9月分の「活動四半期レポート」「インシデント報告対応レポート」を公開しました。本四半期中のJPCERT/CCの国内外の活動に加え、JPCERT/CCが報告を受け付けたインシデントの統計や事例などについてまとめています。参考資料としてご活用ください。
関連文書
https://www.jpcert.or.jp/pr/2023/IR_Report2023Q2.pdf

目　次
【1】三菱電機製MELSEC-Fシリーズ基本ユニットに不適切な認証の脆弱性
【2】複数のJuniper製品に脆弱性
【3】複数のFortinet製品に脆弱性
【4】Apache Tomcatに複数の脆弱性
【5】Google Chromeに複数の脆弱性
【6】複数のCitrix製品に脆弱性
【7】複数のマイクロソフト製品に脆弱性
【8】ProselfのXML外部実体参照（XXE）に関する脆弱性を悪用する攻撃の注意喚起
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】三菱電機製MELSEC-Fシリーズ基本ユニットに不適切な認証の脆弱性
情報源
https://jvn.jp/vu/JVNVU90509290/

概要
三菱電機製MELSEC-Fシリーズ基本ユニットには不適切な認証の脆弱性があります。開発者によると、Ethernet通信用特殊アダプターFX3U-ENET-ADPまたはEthernetインタフェースブロックFX3U-ENET(-L)を使用する場合に、本脆弱性の影響を受けるとのことです。開発者が提供する軽減策の適用方法など、詳細は開発者が提供する情報を参照してください。
関連文書
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2023-012.pdf

https://www.cisa.gov/news-events/ics-advisories/icsa-23-285-13

【2】複数のJuniper製品に脆弱性
情報源
https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-An-unauthenticated-attacker-with-local-access-to-the-device-can-create-a-backdoor-with-root-privileges-CVE-2023-44194

概要
Juniperは同社製品における脆弱性に関するアドバイザリを計31件（High 9件、Medium 22件）公開しました。対象製品および影響は多岐にわたり、対策は製品により異なります。詳細は開発者が提供する情報を参照してください。
関連文書
https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-MX-Series-In-a-PTP-scenario-a-prolonged-routing-protocol-churn-can-trigger-an-FPC-reboot-CVE-2023-44199

https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-and-Junos-OS-Evolved-An-rpd-crash-may-occur-when-BGP-is-processing-newly-learned-routes-CVE-2023-44197

https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-QFX5000-Series-DMA-memory-leak-is-observed-when-specific-DHCP-packets-are-transmitted-over-pseudo-VTEP-CVE-2023-44192

https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-QFX5000-Series-and-EX4000-Series-Denial-of-Service-DoS-on-a-large-scale-VLAN-due-to-PFE-hogging-CVE-2023-44191

https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-and-Junos-OS-Evolved-RPD-crash-when-attempting-to-send-a-very-long-AS-PATH-to-a-non-4-byte-AS-capable-BGP-neighbor-CVE-2023-44186

https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-and-Junos-OS-Evolved-In-a-BGP-scenario-RPD-crashes-upon-receiving-and-processing-a-specific-malformed-ISO-VPN--BGP-UPDATE-packet-CVE-2023-44185

https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-and-Junos-OS-Evolved-An-Unchecked-Return-Value-in-multiple-users-interfaces-affects-confidentiality-and-integrity-of-device-operations-CVE-2023-44182

https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-QFX5k-l2-loop-in-the-overlay-impacts-the-stability-in-a-EVPN-VXLAN-environment-CVE-2023-44181

【3】複数のFortinet製品に脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/10/11/fortinet-releases-security-updates-multiple-products

概要
Fortinetは同社製品における脆弱性に関するアドバイザリを計30件（Critical 3件、High 11件、Medium 11件、Low 5件）公開しました。対象製品および影響は多岐にわたり、対策は製品により異なります。詳細は開発者が提供する情報を参照してください。
関連文書
https://www.fortiguard.com/psirt/FG-IR-23-189

https://www.fortiguard.com/psirt/FG-IR-23-062

https://www.fortiguard.com/psirt/FG-IR-23-167

https://www.fortiguard.com/psirt/FG-IR-22-352

https://www.fortiguard.com/psirt/FG-IR-23-318

https://fortiguard.fortinet.com/psirt/FG-IR-23-085

【4】Apache Tomcatに複数の脆弱性
情報源
https://jvn.jp/vu/JVNVU93620838/

概要
Apache Tomcatには、HTTP/2プロトコルに関するサービス運用妨害（DoS）の脆弱性（CVE-2023-44487）など、複数の脆弱性があります。これらの問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.75

https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.0-M12

https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.14

https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.94

【5】Google Chromeに複数の脆弱性
情報源
https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_10.html

概要
Google Chromeには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

【6】複数のCitrix製品に脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/10/10/citrix-releases-security-updates-multiple-products

概要
CitrixはCitrix NetScaler ADC（Citrix ADC）、NetScaler Gateway（Citrix Gateway）およびCitrix Hypervisorにおける複数の脆弱性に関する情報を公開しました。影響を受ける製品を利用している場合、Citrixが提供する最新の情報や関連情報をご確認の上、速やかに対策の適用などをご検討ください。
関連文書
https://support.citrix.com/article/CTX579459/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967

https://support.citrix.com/article/CTX575089/citrix-hypervisor-multiple-security-updates

【7】複数のマイクロソフト製品に脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/10/10/microsoft-releases-october-2023-security-updates

概要
複数のマイクロソフト製品に関する脆弱性が公開されています。この問題は、Microsoft Updateなどを用いて、更新プログラムを適用することで解決します。対象となる製品およびバージョンは多岐にわたります。マイクロソフトは今回修正された脆弱性を悪用する攻撃をすでに確認しているとのことです。詳細は開発者が提供する情報を参照してください。
関連文書
https://www.jpcert.or.jp/at/2023/at230023.html

https://msrc.microsoft.com/blog/2023/10/202310-security-update/

【8】ProselfのXML外部実体参照（XXE）に関する脆弱性を悪用する攻撃の注意喚起
情報源
https://www.jpcert.or.jp/at/2023/at230022.html

概要
2023年10月10日、JPCERT/CCはオンラインストレージ構築パッケージ製品「Proself」のXML外部実体参照（XXE）に関する脆弱性を悪用する攻撃の注意喚起を公開しました。JPCERT/CCがこれまでに確認している、同脆弱性を悪用する攻撃に関するインディケータ情報も記載しております。ご参照のうえ、侵害有無の調査実施を検討ください。

目　次
【1】e-Gov電子申請アプリケーションにアクセス制限不備の脆弱性
【2】Atlassian製Confluence Data CenterおよびConfluence Serverにアクセス制御不備の脆弱性
【3】複数のCisco製品に脆弱性
【4】Citadel WebCitのインスタントメッセージング機能にクロスサイトスクリプティングの脆弱性
【5】フルノシステムズ製無線LANアクセスポイント（STモード利用時）に複数の脆弱性
【6】医薬品医療機器等法対応医薬品等電子申請ソフトにXML外部実体参照（XXE）の脆弱性
【7】Apple iOSおよびiPadOSに脆弱性
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】e-Gov電子申請アプリケーションにアクセス制限不備の脆弱性
情報源
https://jvn.jp/jp/JVN15808274/

概要
デジタル庁が提供するe-Gov電子申請アプリケーションには、Custom URL Schemeの処理にアクセス制限不備の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://shinsei.e-gov.go.jp/contents/news/2023-03-12t1022040900_1318.html

【2】Atlassian製Confluence Data CenterおよびConfluence Serverにアクセス制御不備の脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/10/05/atlassian-releases-security-advisory-confluence-data-center-and-server

概要
Atlassian社が提供するConfluence Data CenterおよびConfluence Serverには、アクセス制御不備の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。開発者は今回修正された脆弱性を悪用する攻撃をすでに確認しているとのことです。詳細は開発者が提供する情報を参照してください。
関連文書
https://confluence.atlassian.com/security/cve-2023-22515-privilege-escalation-vulnerability-in-confluence-data-center-and-server-1295682276.html

【3】複数のCisco製品に脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/10/05/cisco-releases-security-advisories-multiple-products

概要
Ciscoは同社製品における脆弱性に関するアドバイザリを計3件（Critical 1件、High 1件、Medium 1件）公開しました。対象は多岐にわたります。影響を受ける製品、バージョンなどの詳細は、開発者が提供する情報を参照してください。
関連文書
https://sec.cloudapps.cisco.com/security/center/publicationListing.x

【4】Citadel WebCitのインスタントメッセージング機能にクロスサイトスクリプティングの脆弱性
情報源
https://jvn.jp/jp/JVN08237727/

概要
Citadel WebCitには、クロスサイトスクリプティングの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://www.citadel.org/download.html

https://code.citadel.org/citadel/citadel

https://code.citadel.org/citadel/citadel/-/commit/f0dac5ff074ad686fa71ea663c8ead107bd3041e

【5】フルノシステムズ製無線LANアクセスポイント（STモード利用時）に複数の脆弱性
情報源
https://jvn.jp/vu/JVNVU94497038/

概要
株式会社フルノシステムズが提供する無線LANアクセスポイント製品（STモード利用時）には、複数の脆弱性があります。この問題は、当該製品を修正済みのファームウェアにアップデートすることで解決します。なお、開発者によると、本件の影響を受ける製品群の一部は、すでにサポートが終了しているとのことであり、サポートを終了した製品については、製品の使用停止が推奨されています。詳細は開発者が提供する情報を参照してください。
関連文書
https://www.furunosystems.co.jp/news/info/vulner20231002.html

【6】医薬品医療機器等法対応医薬品等電子申請ソフトにXML外部実体参照（XXE）の脆弱性
情報源
https://jvn.jp/jp/JVN39596244/

概要
厚生労働省が提供する医薬品医療機器等法対応医薬品等電子申請ソフトには、XML外部実体参照（XXE）の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://web.fd-shinsei.mhlw.go.jp/download/software/index.html

【7】Apple iOSおよびiPadOSに脆弱性
情報源
https://www.jpcert.or.jp/newsflash/2023100501.html

概要
Appleが提供するiOSおよびiPadOSには、複数の脆弱性があります。この問題は、当該製品を開発者が提供する修正済みのバージョンに更新することで解決します。Appleは今回修正された脆弱性の内、Kernelの権限昇格の脆弱性（CVE-2023-42824）を悪用する攻撃をすでに確認しているとのことです。詳細は開発者が提供する情報を参照してください。
関連文書
https://support.apple.com/ja-jp/HT213961

目　次
【1】複数のCisco製品に脆弱性
【2】複数のApple製品に脆弱性
【3】複数のMozilla製品に脆弱性
【4】Panasonic製KW Watcherに複数の脆弱性
【5】Trend Micro Mobile Securityにクロスサイトスクリプティングの脆弱性
【6】NISCが「サイバーセキュリティ関係法令Q&AハンドブックVer2.0」を公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】複数のCisco製品に脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/09/28/cisco-releases-security-advisories-multiple-products

概要
Ciscoは同社製品における脆弱性に関するアドバイザリを計15件（Critical 1件、High 7件、Medium 6件、Informational 1件）公開しました。対象は多岐にわたります。影響を受ける製品、バージョンなどの詳細は、開発者が提供する情報を参照してください。
関連文書
https://sec.cloudapps.cisco.com/security/center/publicationListing.x

【2】複数のApple製品に脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/09/28/apple-releases-security-updates-multiple-products

概要
AppleからmacOS Sonoma 14およびSafari 17に関するセキュリティアップデートが公開されました。Appleは今回修正された脆弱性の一部を悪用する攻撃をすでに確認しているとのことです。詳細は開発者が提供する情報を参照してください。
関連文書
https://support.apple.com/ja-jp/HT201222

https://www.jpcert.or.jp/newsflash/2023092201.html

【3】複数のMozilla製品に脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/09/27/mozilla-releases-security-advisories-thunderbird-and-firefox

概要
複数のMozilla製品には、脆弱性があります。Firefox、Firefox ESR、Firefox for Android、Firefox Focus for Android、Thunderbirdが影響を受けます。この問題は、当該製品を開発者が提供する修正済みのバージョンに更新することで解決します。Mozillaは今回修正された脆弱性の一部を悪用する攻撃をすでに確認しているとのことです。詳細は開発者が提供する情報を参考にしてください。
関連文書
https://www.mozilla.org/en-US/security/advisories/mfsa2023-41/

https://www.mozilla.org/en-US/security/advisories/mfsa2023-42/

https://www.mozilla.org/en-US/security/advisories/mfsa2023-43/

https://www.mozilla.org/en-US/security/advisories/mfsa2023-44/

【4】Panasonic製KW Watcherに複数の脆弱性
情報源
https://jvn.jp/vu/JVNVU95549489/

概要
Panasonicが提供するKW Watcherには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://www3.panasonic.biz/ac/j/fasys/software_info/eco/tol_kwwatcher.jsp

https://www3.panasonic.biz/ac/j/fasys/software_info/eco/kwwatcher_versioninfo.jsp

【5】Trend Micro Mobile Securityにクロスサイトスクリプティングの脆弱性
情報源
https://jvn.jp/vu/JVNVU95732401/

概要
トレンドマイクロ株式会社から、Trend Micro Mobile Security向けのアップデートが公開されました。この問題は、当該製品にパッチを適用することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://success.trendmicro.com/jp/solution/000294710

【6】NISCが「サイバーセキュリティ関係法令Q&AハンドブックVer2.0」を公開
情報源
https://security-portal.nisc.go.jp/guidance/law_handbook.html

概要
2023年9月25日、内閣官房内閣サイバーセキュリティセンター（NISC）は、サイバーセキュリティ対策において参照すべき関係法令をQ&A形式で解説する「サイバーセキュリティ関係法令Q&Aハンドブック」のVer2.0を公開しました。サイバーセキュリティを取り巻く環境変化、関係法令・ガイドラインなどの成立・改正を踏まえ、項目立て・内容の充実、更新を行い改訂されたものです。
関連文書
https://security-portal.nisc.go.jp/guidance/pdf/law_handbook/law_handbook_2.pdf

目　次
【1】Drupal coreにキャッシュポイズニングの脆弱性
【2】ISC BINDに複数の脆弱性
【3】JenkinsおよびBuild Failure Analyzer Pluginに複数の脆弱性
【4】複数のAtlassian製品に脆弱性
【5】複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品に任意コード実行の脆弱性
【6】GitLabに不適切なアクセス制御の脆弱性
【7】警察庁が「令和５年上半期におけるサイバー空間をめぐる脅威の情勢等について」を公開
【8】複数のApple製品に脆弱性
【9】JPCERT/CCが「国際カンファレンス参加レポート Black Hat USA, DEF CON」を公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】Drupal coreにキャッシュポイズニングの脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/09/21/drupal-releases-security-advisory-address-vulnerability-drupal-core

概要
Drupal coreには、キャッシュポイズニングの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、Drupalが提供する情報を参照してください。
関連文書
https://www.drupal.org/sa-core-2023-006

【2】ISC BINDに複数の脆弱性
情報源
https://jvn.jp/vu/JVNVU94469233/

概要
ISC BINDには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://www.jpcert.or.jp/newsflash/2023092101.html

https://kb.isc.org/docs/cve-2023-3341

https://kb.isc.org/docs/cve-2023-4236

【3】JenkinsおよびBuild Failure Analyzer Pluginに複数の脆弱性
情報源
https://www.jenkins.io/security/advisory/2023-09-20/

概要
JenkinsおよびBuild Failure Analyzer Pluginには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

【4】複数のAtlassian製品に脆弱性
情報源
https://confluence.atlassian.com/security/security-bulletin-september-19-2023-1283691616.html

概要
複数のAtlassian製品には、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

【5】複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品に任意コード実行の脆弱性
情報源
https://jvn.jp/vu/JVNVU90967486/

概要
複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品には、任意コード実行の脆弱性があります。Apex One 2019、Apex One SaaS、ウイルスバスタービジネスセキュリティ 10.0 SP1、ウイルスバスタービジネスセキュリティサービスが影響を受けます。Apex One 2019、ウイルスバスタービジネスセキュリティ 10.0 SP1の問題は、当該製品にパッチを適用することで解決します。また、Apex One SaaSは2023年7月のメンテナンス、ウイルスバスタービジネスセキュリティサービスは2023年7月31日のアップデートで修正済みです。トレンドマイクロは今回修正された脆弱性を悪用する攻撃をすでに確認しているとのことです。詳細は開発者が提供する情報を参照してください。
関連文書
https://appweb.trendmicro.com/SupportNews/NewsDetail.aspx?id=4886

https://www.jpcert.or.jp/at/2023/at230021.html

https://success.trendmicro.com/jp/solution/000294706

【6】GitLabに不適切なアクセス制御の脆弱性
情報源
https://about.gitlab.com/releases/2023/09/18/security-release-gitlab-16-3-4-released/

概要
GitLabには、不適切なアクセス制御の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。本修正はCVE-2023-3932の修正不備に対応したものです。詳細は開発者が提供する情報を参照してください。

【7】警察庁が「令和５年上半期におけるサイバー空間をめぐる脅威の情勢等について」を公開
情報源
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R05_kami_cyber_jousei.pdf

概要
2023年9月21日、警察庁は「令和５年上半期におけるサイバー空間をめぐる脅威の情勢等について」を公開しました。この文書では、令和5年上半期におけるサイバー攻撃やサイバー犯罪の情勢および今後の取組についてまとめられており、今期の脅威情勢として、DDoS攻撃によるWebサイトの閲覧障害の事例、クレジットカードの不正利用被害額の増加、データを暗号化せずに窃取し対価を要求する攻撃の被害などを挙げています。

また同日、警察庁は「令和５年上半期におけるインターネット・ホットラインセンターの運用状況について」を公開しています。
関連文書
https://www.npa.go.jp/bureau/cyber/pdf/R5fh_ihc_unyou.pdf

【8】複数のApple製品に脆弱性
情報源
https://www.jpcert.or.jp/newsflash/2023092201.html

概要
複数のApple製品には、脆弱性があります。この問題は、当該製品を開発者が提供する修正済みのバージョンに更新することで解決します。Appleは今回修正された脆弱性を悪用する攻撃をすでに確認しているとのことです。詳細は開発者が提供する情報を参照してください。
関連文書
https://support.apple.com/en-us/HT201222

【9】JPCERT/CCが「国際カンファレンス参加レポート Black Hat USA, DEF CON」を公開
情報源
https://blogs.jpcert.or.jp/ja/2023/09/black-hat-usa-def-con.html

概要
2023年9月19日、JPCERT/CCはブログ「国際カンファレンス参加レポート Black Hat USA, DEF CON」を公開しました。JPCERT/CCの職員が世界最大のセキュリティカンファレンスの1つであるBlack Hat USA、そしてハッカーの祭典とも言われるコンベンションDEF CONに参加した際の様子を紹介しています。

目　次
【1】複数のFortinet製品に脆弱性
【2】Apache Struts 2にサービス運用妨害（DoS）の脆弱性
【3】Apache Tomcat Connectors（mod_jk）に情報漏えいの脆弱性
【4】複数のMozilla製品に脆弱性
【5】不適切なフォーマットのBGP UPDATEメッセージの処理に関するBGP実装の脆弱性
【6】複数のマイクロソフト製品に脆弱性
【7】複数のアドビ製品に脆弱性
【8】Google Chromeに複数の脆弱性
【9】Pyramidにディレクトリトラバーサルの脆弱性
【10】HPE Aruba Networking 9200・9000シリーズのArubaOSに複数の脆弱性
【11】IPAが「建設業とサイバーセキュリティ」を公開
【12】IPAが「攻撃者視点の獲得を目的としたボードゲーム：Cyber Attacker Placement」を公開
【13】Array Networks Array AGシリーズの脆弱性を悪用する複数の標的型サイバー攻撃活動に関する注意喚起
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】複数のFortinet製品に脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/09/15/fortinet-releases-security-updates-multiple-products

概要
Fortinetは同社製品における脆弱性に関するアドバイザリを12件（High 3件を含む）公開しました。対象製品および影響は多岐にわたり、対策は製品により異なります。SeverityがHighのアドバイザリ（FG-IR-23-106）では、FortiOSおよびFortiProxyのクロスサイトスクリプティングの脆弱性（CVE-2023-29183）が修正されています。詳細は開発者が提供する情報を参照してください。
関連文書
https://www.fortiguard.com/psirt/FG-IR-23-068

https://www.fortiguard.com/psirt/FG-IR-22-310

https://www.fortiguard.com/psirt/FG-IR-23-106

【2】Apache Struts 2にサービス運用妨害（DoS）の脆弱性
情報源
https://jvn.jp/vu/JVNVU93658064/

概要
Apache Struts 2には、サービス運用妨害（DoS）の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://cwiki.apache.org/confluence/display/WW/S2-065

【3】Apache Tomcat Connectors（mod_jk）に情報漏えいの脆弱性
情報源
https://jvn.jp/vu/JVNVU96802408/

概要
Apache Tomcat Connectors（mod_jk）には、情報漏えいの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。なお、ISAPIリダイレクターは本脆弱性の影響を受けません。詳細は開発者が提供する情報を参照してください。
関連文書
https://tomcat.apache.org/security-jk.html#Fixed_in_Apache_Tomcat_JK_Connector_1.2.49

【4】複数のMozilla製品に脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/09/13/mozilla-releases-security-updates-multiple-products

概要
複数のMozilla製品には、脆弱性があります。Firefox、Firefox ESR、Thunderbirdが影響を受けます。この問題は、当該製品を開発者が提供する修正済みのバージョンに更新することで解決します。Mozillaは今回修正された脆弱性を悪用する攻撃をすでに確認しているとのことです。詳細は開発者が提供する情報を参考にしてください。
関連文書
https://www.mozilla.org/en-US/security/advisories/mfsa2023-40/

【5】不適切なフォーマットのBGP UPDATEメッセージの処理に関するBGP実装の脆弱性
情報源
https://kb.cert.org/vuls/id/347067

概要
複数のBGP（Border Gateway Protocol）実装において、特別に細工されたBGP UPDATEメッセージの処理に脆弱性が確認されており、本脆弱性の影響を受けるルーターがサービス運用妨害（DoS）状態になる可能性があります。幾つかの製品ベンダーは、この問題への緩和策や修正に関する情報を提供しています。CERT/CCは、この問題に関して製品ベンダーの対応状況を横断的に示していますので、ご確認のうえ対処をご検討ください。
関連文書
https://supportportal.juniper.net/s/article/2023-08-29-Out-of-Cycle-Security-Bulletin-Junos-OS-and-Junos-OS-Evolved-A-crafted-BGP-UPDATE-message-allows-a-remote-attacker-to-de-peer-reset-BGP-sessions-CVE-2023-4481

https://security.paloaltonetworks.com/CVE-2023-38802

【6】複数のマイクロソフト製品に脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/09/12/microsoft-releases-september-2023-updates

概要
複数のマイクロソフト製品に関する脆弱性が公開されています。この問題は、Microsoft Updateなどを用いて、更新プログラムを適用することで解決します。対象となる製品およびバージョンは多岐にわたります。マイクロソフトは今回修正された脆弱性を悪用する攻撃をすでに確認しているとのことです。詳細は開発者が提供する情報を参照してください。
関連文書
https://www.jpcert.or.jp/at/2023/at230019.html

https://msrc.microsoft.com/blog/2023/09/202309-security-update/

【7】複数のアドビ製品に脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/09/12/adobe-releases-security-updates-multiple-products

概要
複数のアドビ製品には、脆弱性があります。Adobe AcrobatおよびReader、Adobe Connect、Adobe Experience Managerが影響を受けます。この問題は、当該製品を開発者が提供する修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://www.jpcert.or.jp/at/2023/at230018.html

https://www.jpcert.or.jp/newsflash/2023091301.html

https://helpx.adobe.com/security/products/acrobat/apsb23-34.html

https://helpx.adobe.com/security/products/connect/apsb23-33.html

https://helpx.adobe.com/security/products/experience-manager/apsb23-43.html

【8】Google Chromeに複数の脆弱性
情報源
https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html

概要
Google Chromeには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。Googleは今回修正された脆弱性を悪用する攻撃をすでに確認しているとのことです。詳細は開発者が提供する情報を参照してください。
関連文書
https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_12.html

【9】Pyramidにディレクトリトラバーサルの脆弱性
情報源
https://jvn.jp/jp/JVN41113329/

概要
Pylons Projectが提供するPython用のWebフレームワークPyramidには、ディレクトリトラバーサルの脆弱性があります。この問題は、Pyramidを修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://github.com/advisories/GHSA-j8g2-6fc7-q8f8

https://pypi.org/project/pyramid/2.0.2/

【10】HPE Aruba Networking 9200・9000シリーズのArubaOSに複数の脆弱性
情報源
https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2023-014.txt

概要
HPE Aruba Networking製9200シリーズおよび9000シリーズのArubaOSには、複数の脆弱性があります。この問題は、当該製品をアップグレードすることで解決します。なお、開発者によると、すでにサポートを終了したバージョンの製品も影響を受けるものがありますが、パッチは提供されないとのことで、サポートポリシーを確認し対処することを勧めています。詳細は開発者が提供する情報を参照してください。

【11】IPAが「建設業とサイバーセキュリティ」を公開
情報源
https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2023/construction-industry-cybersecurity.html

概要
2023年9月13日、独立行政法人情報処理推進機構（IPA）は「建設業とサイバーセキュリティ」を公開しました。建設業におけるサイバーセキュリティの意識向上を目的として、建設業とサイバーセキュリティ教育、ビル設備におけるサイバーセキュリティ、と2つのテーマに取り組んだとのことです。また公開成果物として、建設業向けサイバーセキュリティ教育動画および作成手法とビル設備におけるサイバーセキュリティチェックリストおよび設問項目ガイドを作成したとのことです。

【12】IPAが「攻撃者視点の獲得を目的としたボードゲーム：Cyber Attacker Placement」を公開
情報源
https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2023/cyber-attacker-placement.html

概要
2023年9月13日、独立行政法人情報処理推進機構（IPA）は「攻撃者視点の獲得を目的としたボードゲーム：Cyber Attacker Placement」を公開しました。セキュリティを題材にしたボードゲームは各団体などで作成されている中で、攻撃を題材にしたボードゲームを作成したとのことです。

【13】Array Networks Array AGシリーズの脆弱性を悪用する複数の標的型サイバー攻撃活動に関する注意喚起
情報源
https://www.jpcert.or.jp/at/2023/at230020.html

概要
2023年9月14日、JPCERT/CCはArray Networks Array AGシリーズの脆弱性を悪用する複数の標的型サイバー攻撃活動に関する注意喚起を公開しました。2022年5月以降、サイバーセキュリティ協議会の活動などを通じて、Array Networks Array AGシリーズの脆弱性を悪用したと思われる複数の標的型サイバー攻撃を断続的に確認しています。複数の攻撃グループ／攻撃活動が本製品の脆弱性を悪用していると考えられ、また、国内のみならず海外拠点も標的となっているため、自組織の海外拠点における対策や侵害有無の調査も推奨します。

目　次
【1】複数のCisco製品に脆弱性
【2】「direct」デスクトップ版アプリ Mac版にアクセス制限不備の脆弱性
【3】F-RevoCRMに複数の脆弱性
【4】PMailServerおよびPMailServer2付属CGIに複数の脆弱性
【5】SHIRASAGIに複数の脆弱性
【6】JAIPA Cloud Conference 2023開催のお知らせ
【7】複数のApple製品に脆弱性
【8】Barracuda Email Security Gateway（ESG）の脆弱性（CVE-2023-2868）を悪用する継続的な攻撃活動に関する注意喚起
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】複数のCisco製品に脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/09/07/cisco-releases-security-advisories-multiple-products

概要
Ciscoは同社製品における脆弱性に関するアドバイザリを計6件（Critical 1件、High 1件、Medium 4件）公開しました。対象は多岐にわたります。影響を受ける製品、バージョンなどの詳細は、開発者が提供する情報を参照してください。その内、Cisco ASAおよびFTDソフトウェアのブルートフォース攻撃に対する脆弱性（CVE-2023-20269）について、Ciscoは同脆弱性を悪用する攻撃をすでに確認しているとのことです。
関連文書
https://sec.cloudapps.cisco.com/security/center/publicationListing.x

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-ravpn-auth-8LyfCkeC

【2】「direct」デスクトップ版アプリ Mac版にアクセス制限不備の脆弱性
情報源
https://jvn.jp/jp/JVN42691027/

概要
株式会社L is Bが提供する「direct」デスクトップ版アプリ Mac版には、アクセス制限不備の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://status.direct4b.com/2023/08/31/2023083101/

【3】F-RevoCRMに複数の脆弱性
情報源
https://jvn.jp/jp/JVN78113802/

概要
シンキングリード株式会社が提供するF-RevoCRMには、複数の脆弱性があります。この問題は、当該製品にパッチを適用することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://f-revocrm.jp/2023/08/9394/

【4】PMailServerおよびPMailServer2付属CGIに複数の脆弱性
情報源
https://jvn.jp/jp/JVN92720882/

概要
A.K.I Softwareが提供するPMailServerおよびPMailServer2付属のCGIには、複数の脆弱性があります。この問題は、当該製品に更新ファイルを適用することで解決します。開発者によると、PMailServerはすでに開発を終了しているため、更新ファイルは提供されず、該当製品でのCGI使用停止、または後継製品PMailServer2への移行が推奨されています。詳細は開発者が提供する情報を参照してください。
関連文書
https://akisoftware.com/Vulnerability202301.html

【5】SHIRASAGIに複数の脆弱性
情報源
https://jvn.jp/jp/JVN82758000/

概要
SHIRASAGIには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://www.ss-proj.org/support/954.html

【6】JAIPA Cloud Conference 2023開催のお知らせ
情報源
https://cloudconference.jaipa.or.jp/

概要
2023年9月21日、一般社団法人 日本インターネットプロバイダー協会 クラウド部会は「JAIPA Cloud Conference 2023」を開催します。クラウドサービスプロバイダー（IaaS/PaaS/SaaS）、システムインテグレーター、ソリューションベンダーなどが参加し、クラウド業界の未来について知見を深めるイベントです。JPCERT/CCはJAIPA Cloud Conference 2023を後援しています。参加費は無料で、参加には事前の申し込みが必要です。

【7】複数のApple製品に脆弱性
情報源
https://www.jpcert.or.jp/newsflash/2023090801.html

概要
複数のApple製品には、脆弱性があります。対象は多岐にわたります。この問題は、当該製品を開発者が提供する修正済みのバージョンに更新することで解決します。Appleは今回修正された脆弱性を悪用する攻撃をすでに確認しているとのことです。詳細は開発者が提供する情報を参照してください。
関連文書
https://support.apple.com/ja-jp/HT201222

【8】Barracuda Email Security Gateway（ESG）の脆弱性（CVE-2023-2868）を悪用する継続的な攻撃活動に関する注意喚起
情報源
https://www.jpcert.or.jp/at/2023/at230017.html

概要
2023年9月5日、JPCERT/CCはBarracuda Email Security Gateway（ESG）の脆弱性（CVE-2023-2868）を悪用する継続的な攻撃活動に関する注意喚起を公開しました。同脆弱性を悪用する攻撃活動については、2023年5月以降、Barracuda NetworksおよびMandiantから複数の情報が公表されており、本脆弱性の影響を受けて侵害されている可能性のあるユーザー組織には通知が行われていることがすでに公表されていますが、一連の修正対応後も特定のユーザー組織では新たなバックドアが設置されたり、ネットワーク上で横展開したりするなど、攻撃者が永続性を確保しようとする継続的な攻撃活動が確認されているとのことです。影響を受ける製品を利用しており、特に、5月以降に一連の通知を受け取っている組織においては、Barracuda Networksなどが提供する最新の情報や関連情報をご確認の上、速やかに追加の侵害調査などをご検討ください。
関連文書
https://www.barracuda.com/company/legal/esg-vulnerability

目　次
【1】複数のJuniper Networks製品に脆弱性
【2】複数のMozilla製品に脆弱性
【3】複数のVMware製品に脆弱性
【4】Google Chromeに解放済みメモリ使用の脆弱性
【5】Apache Tomcatにオープンリダイレクトの脆弱性
【6】フィッシング対策セミナー 2023（オンライン）開催のご案内
【7】JPCERT/CCがブログ「「能動的サイバー防御」は効果があるのか？ 注目が集まるoffensiveなオペレーションの考察 」を公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】複数のJuniper Networks製品に脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/08/30/juniper-networks-releases-security-advisory-junos-os-and-junos-os-evolved

概要
Junos OSおよびJunos OS Evolvedには脆弱性があり、サービス運用妨害（DoS）攻撃を受ける可能性があります。この問題は、当該製品を開発者が提供する修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://supportportal.juniper.net/s/article/2023-08-29-Out-of-Cycle-Security-Bulletin-Junos-OS-and-Junos-OS-Evolved-A-crafted-BGP-UPDATE-message-allows-a-remote-attacker-to-de-peer-reset-BGP-sessions-CVE-2023-4481

【2】複数のMozilla製品に脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/08/30/mozilla-releases-security-updates-firefox-and-firefox-esr

概要
複数のMozilla製品には、脆弱性があります。Firefox、Firefox ESR、Thunderbirdが影響を受けます。この問題は、当該製品を開発者が提供する修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参考にしてください。
関連文書
https://www.mozilla.org/en-US/security/advisories/mfsa2023-34/

https://www.mozilla.org/en-US/security/advisories/mfsa2023-35/

https://www.mozilla.org/en-US/security/advisories/mfsa2023-36/

https://www.mozilla.org/en-US/security/advisories/mfsa2023-38/

【3】複数のVMware製品に脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/08/30/vmware-releases-security-updates-aria-operations-networks

概要
VMware Aria Operations for NetworksおよびVMware Toolsには、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://www.vmware.com/security/advisories/VMSA-2023-0018.html

https://www.vmware.com/security/advisories/VMSA-2023-0019.html

【4】Google Chromeに解放済みメモリ使用の脆弱性
情報源
https://chromereleases.googleblog.com/2023/08/stable-channel-update-for-desktop_29.html

概要
Google Chromeには、解放済みメモリ使用の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

【5】Apache Tomcatにオープンリダイレクトの脆弱性
情報源
https://jvn.jp/vu/JVNVU93446549/

概要
Apache Tomcatには、オープンリダイレクトの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.0-M11

https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.13

https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.80

https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.93

【6】フィッシング対策セミナー 2023（オンライン）開催のご案内
情報源
https://www.antiphishing.jp/news/event/antiphishing_seminar2023.html

概要
2023年11月10日、フィッシング対策協議会は「フィッシング対策セミナー 2023（オンライン）」を開催します。フィッシング詐欺に関わる法執行機関、金融機関、EC関連事業者からの有識者を招き、最新のフィッシング詐欺の傾向や対策についてご紹介いたします。また、協議会の会員組織によるフィッシング対策サービスや各種の解決策も紹介予定です。

【7】JPCERT/CCがブログ「「能動的サイバー防御」は効果があるのか？ 注目が集まるoffensiveなオペレーションの考察 」を公開
情報源
https://blogs.jpcert.or.jp/ja/2023/08/effectiveness-of-active-cyber-defense.html

概要
2023年8月29日、JPCERT/CCはブログ「「能動的サイバー防御」は効果があるのか？ 注目が集まるoffensiveなオペレーションの考察 」を公開しました。JPCERT/CCが昨年9月に「『積極的サイバー防御』（アクティブ・サイバー・ディフェンス）とは何か ?より具体的な議論に向けて必要な観点について?」で公開したものの中でoffensiveなオペレーションについて、その手段や効果について考察しています。

目　次
【1】メールフォームプロCGIに正規表現を用いたサービス運用妨害 (ReDoS) の脆弱性
【2】すかいらーくアプリにアクセス制限不備の脆弱性
【3】Google Chromeに複数の脆弱性
【4】Rakuten WiFi Pocketに認証不備の脆弱性
【5】WordPress用プラグインAdvanced Custom Fieldsにクロスサイトスクリプティングの脆弱性
【6】JPCERT/CCがブログ「MalDoc in PDF - 検知回避を狙って悪性なWordファイルをPDFファイルへ埋め込む手法 -」を公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】メールフォームプロCGIに正規表現を用いたサービス運用妨害 (ReDoS) の脆弱性
情報源
https://jvn.jp/jp/JVN86484824/

概要
シンクグラフィカが提供するメールフォームプロCGIには、正規表現を用いたサービス運用妨害（ReDoS）の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://www.synck.com/blogs/news/newsroom/detail_1691668841.html

【2】すかいらーくアプリにアクセス制限不備の脆弱性
情報源
https://jvn.jp/jp/JVN03447226/

概要
スマートフォンアプリ「すかいらーくアプリ」には、アクセス制限不備の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://play.google.com/store/apps/details?id=jp.co.skylark.app.gusto

https://apps.apple.com/jp/app/%E3%81%99%E3%81%8B%E3%81%84%E3%82%89%E3%83%BC%E3%81%8F%E3%82%A2%E3%83%97%E3%83%AA/id906930478

【3】Google Chromeに複数の脆弱性
情報源
https://chromereleases.googleblog.com/2023/08/chrome-desktop-stable-update.html

概要
Google Chromeには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

【4】Rakuten WiFi Pocketに認証不備の脆弱性
情報源
https://jvn.jp/jp/JVN55217369/

概要
楽天モバイル株式会社が提供するRakuten WiFi Pocketの管理画面には、認証不備の脆弱性があります。当該製品のサポートは終了しており、修正アップデートが提供される予定はありません。開発者は代替製品への移行を推奨しています。詳細は、開発者が提供する情報を確認してください。
関連文書
https://network.mobile.rakuten.co.jp/product/internet/rakuten-wifi-pocket/support/

【5】WordPress用プラグインAdvanced Custom Fieldsにクロスサイトスクリプティングの脆弱性
情報源
https://jvn.jp/jp/JVN98946408/

概要
WordPress用プラグインAdvanced Custom Fieldsには、クロスサイトスクリプティングの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://www.advancedcustomfields.com/blog/acf-6-1-8/

【6】JPCERT/CCがブログ「MalDoc in PDF - 検知回避を狙って悪性なWordファイルをPDFファイルへ埋め込む手法 -」を公開
情報源
https://blogs.jpcert.or.jp/ja/2023/08/maldocinpdf.html

概要
2023年8月22日、JPCERT/CCはブログ「MalDoc in PDF - 検知回避を狙って悪性なWordファイルをPDFファイルへ埋め込む手法 -」を公開しました。JPCERT/CCが7月に発生した攻撃で確認した、検知回避を狙って悪性なWordファイルをPDFファイルへ埋め込む新しいテクニックについて、詳細とその対策を解説しています。

目　次
【1】Junos OSに複数の脆弱性
【2】Proselfに複数の脆弱性
【3】Confluence ServerおよびConfluence Data Centerにサードパーティ製品依存の脆弱性
【4】複数のCisco製品に脆弱性
【5】EC-CUBE 2系にクロスサイトスクリプティングの脆弱性
【6】Google Chromeに複数の脆弱性
【7】Pythonのurllib.parseに空白文字で始まるURLの解析が失敗する問題
【8】JPCERT/CCが「TSUBAMEレポート Overflow（2023年4-6月）」を公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】Junos OSに複数の脆弱性
情報源
https://supportportal.juniper.net/s/article/2023-08-Out-of-Cycle-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Multiple-vulnerabilities-in-J-Web-can-be-combined-to-allow-a-preAuth-Remote-Code-Execution?language=en_US

概要
SRXシリーズおよびEXシリーズに搭載されたJunos OSには、複数の脆弱性があります。この問題は、当該製品を開発者が提供する修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

【2】Proselfに複数の脆弱性
情報源
https://jvn.jp/jp/JVN19661362/

概要
株式会社ノースグリッドが提供するProselfには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://www.proself.jp/information/149/

https://www.proself.jp/information/150/

https://www.jpcert.or.jp/at/2023/at230014.html

【3】Confluence ServerおよびConfluence Data Centerにサードパーティ製品依存の脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/08/17/atlassian-releases-security-update-confluence-server-and-data-center

概要
AtlassianはConfluence ServerおよびConfluence Data Centerにおける脆弱性に関するアドバイザリを公開しました。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://confluence.atlassian.com/security/security-bulletin-august-15-2023-1276870882.html

【4】複数のCisco製品に脆弱性
情報源
https://www.cisa.gov/news-events/alerts/2023/08/17/cisco-releases-security-advisories-multiple-products

概要
Ciscoは同社製品における脆弱性に関するアドバイザリを計17件（High 5件、Medium 12件）公開しました。影響を受ける製品、バージョンなど詳細は、開発者が提供する情報を参照してください。
関連文書
https://sec.cloudapps.cisco.com/security/center/publicationListing.x

【5】EC-CUBE 2系にクロスサイトスクリプティングの脆弱性
情報源
https://jvn.jp/jp/JVN46993816/

概要
株式会社イーシーキューブが提供するEC-CUBE 2系には、クロスサイトスクリプティングの脆弱性があります。この問題は、当該製品に修正ファイルを適用することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://www.ec-cube.net/info/weakness/20230727/

【6】Google Chromeに複数の脆弱性
情報源
https://chromereleases.googleblog.com/2023/08/stable-channel-update-for-desktop_15.html

概要
Google Chromeには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

【7】Pythonのurllib.parseに空白文字で始まるURLの解析が失敗する問題
情報源
https://kb.cert.org/vuls/id/127587

概要
Pythonのurllib.parseコンポーネントには、空白文字で始まるURLの解析に問題があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細はPython Software Foundationが提供する情報を参照してください。
関連文書
https://github.com/python/cpython/issues/102153

【8】JPCERT/CCが「TSUBAMEレポート Overflow（2023年4-6月）」を公開
情報源
https://blogs.jpcert.or.jp/ja/2023/08/tsubame_overflow_2023-04-06.html

概要
2023年8月16日、JPCERT/CCは「TSUBAMEレポート Overflow（2023年4-6月）」に関するブログを公開しました。2023年4-6月の観測結果として、海外に設置しているセンサーの観測動向の比較や、その他の活動などについて紹介しています。
関連文書
https://www.jpcert.or.jp/tsubame/report/report202304-06.html