ミニ・いんふぉめーしょん

目 次

【1】Google Chromeに複数の脆弱性
【2】Apache HTTP Serverに複数の脆弱性
【3】SHIRASAGIにクロスサイトスクリプティングの脆弱性
【今週のひとくちメモ】フィッシング対策協議会が技術・制度検討 WG 報告会の資料を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr222301.html
https://www.jpcert.or.jp/wr/2022/wr222301.xml
============================================================================

【1】Google Chromeに複数の脆弱性

情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://www.cisa.gov/uscert/ncas/current-activity/2022/06/10/google-releases-security-updates-chrome

概要
Google Chromeには、複数の脆弱性があります。

対象となる製品は次のとおりです。

- Google Chrome 102.0.5005.115より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)
GOOGLE
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/06/stable-channel-update-for-desktop.html

【2】Apache HTTP Serverに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#94306894
Apache HTTP Server 2.4における複数の脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU94306894/

概要
The Apache Software Foundationが提供するApache HTTP Serverには、複数の
脆弱性があります。結果として、遠隔の第三者がサーバのクラッシュや情報の
窃取を行うなどの可能性があります。

対象となるバージョンは次のとおりです。

- Apache HTTP Server 2.4.53およびそれ以前

この問題は、Apache HTTP Serverを開発者が提供する修正済みのバージョンに
更新することで解決します。詳細は、開発者が提供する情報を参照してくださ
い。

関連文書 (英語)
The Apache Software Foundation
Fixed in Apache HTTP Server 2.4.54
https://httpd.apache.org/security/vulnerabilities_24.html#2.4.54

The Apache Software Foundation
Apache HTTP Server 2.4.54 Released
https://downloads.apache.org/httpd/Announcement2.4.html

【3】SHIRASAGIにクロスサイトスクリプティングの脆弱性

情報源
Japan Vulnerability Notes JVN#32962443
SHIRASAGI におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN32962443/

概要
SHIRASAGI Projectが提供するSHIRASAGIには、クロスサイトスクリプティング
の脆弱性が存在します。結果として、第三者が当該製品を使用しているユーザ
のWebブラウザ上で、任意のスクリプトを実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- SHIRASAGI v1.0.0 から v1.14.2
- SHIRASAGI v1.15.0

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)
SHIRASAGI Project
JVN#32962443 SHIRASAGI におけるクロスサイト・スクリプティング脆弱性
https://www.ss-proj.org/support/843.html

SHIRASAGI Project
shirasagi / shirasagi
https://github.com/shirasagi/shirasagi

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○フィッシング対策協議会が技術・制度検討 WG 報告会の資料を公開

フィッシング対策協議会は、今年3月に開催されたフィッシング対策協議会 技
術・制度検討 WG 報告会 (オンライン)の講演資料 を公開しました。本報告会
では、有識者や会員企業などが携わり、毎年改定している 「2022 年度版フィ
ッシング対策ガイドライン」 の改定内容、および最新のフィッシングの状況
や対策技術動向などをレポートする 「2022年度版フィッシングレポート」に
ついて紹介されました。

参考文献 (日本語)
フィッシング対策協議会
フィッシング対策協議会 技術・制度検討 WG 報告会 (オンライン)資料公開のお知らせ
https://www.antiphishing.jp/news/info/techwg_openday2021_online.html

――――――――――――――――――――――――――――――――――――――

目 次 

【1】Confluence ServerおよびData Centerに任意のコード実行の脆弱性
【2】マイクロソフトサポート診断ツールに任意のコード実行の脆弱性
【3】複数のMozilla製品に脆弱性
【4】トレンドマイクロ製Apex OneおよびApex One SaaSに複数の脆弱性
【5】T&D Data Server および THERMO RECORDER DATA SERVERにディレクトリトラバーサルの脆弱性
【6】WordPress用プラグインModern Events Calendar Liteにクロスサイトスクリプティングの脆弱性
【今週のひとくちメモ】「Internet Week ショーケース 徳島・オンライン」開催のお知らせ

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr222201.html
https://www.jpcert.or.jp/wr/2022/wr222201.xml
============================================================================

【1】Confluence ServerおよびData Centerに任意のコード実行の脆弱性

情報源
CISA Current Activity
Atlassian Releases New Versions of Confluence Server and Data Center to Address CVE-2022-26134
https://www.cisa.gov/uscert/ncas/current-activity/2022/06/03/atlassian-releases-new-versions-confluence-server-and-data-center

概要
Confluence ServerおよびData Centerには、任意のコード実行の脆弱性があり
ます。

対象となる製品およびバージョンは次のとおりです。

- Confluence ServerおよびConfluence Data Centerの次のバージョン
- 7.4.17より前の7.4.x系
- 7.13.7より前の7.13.x系
- 7.14.3より前の7.14.x系
- 7.15.2より前の7.15.x系
- 7.16.4より前の7.16.x系
- 7.17.4より前の7.17.x系
- 7.18.1より前の7.18.x系

この問題は、該当する製品をAtlassianが提供する修正済みのバージョンに更
新することで解決します。詳細は、Atlassianが提供するアドバイザリ情報を
参照してください。

関連文書 (日本語)
Atlassian
Confluence Server および Data Center - CVE-2022-26134 -未認証のリモート コード実行についての重大な深刻度の脆弱性
https://ja.confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html

JPCERT/CC 注意喚起
Confluence ServerおよびData Centerの脆弱性（CVE-2022-26134）に関する注意喚起
https://www.jpcert.or.jp/at/2022/at220015.html

【2】マイクロソフトサポート診断ツールに任意のコード実行の脆弱性

情報源
CISA Current Activity
Microsoft Releases Workaround Guidance for MSDT "Follina" Vulnerability
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/31/microsoft-releases-workaround-guidance-msdt-follina-vulnerability

概要
マイクロソフトサポート診断ツールには、第三者が細工したファイルをユー
ザーに実行または読み込ませることで、任意のコードを実行できる脆弱性が
あります。

対象となる製品およびバージョンは次のとおりです。

- Windows OS
- Windows 11
- Windows 10
- Windows 8.1
- Windows RT 8.1
- Windows 7
- Windows Server 2022
- Windows Server 2019
- Windows Server 2016
- Windows Server 2012/2012 R2
- Windows Server 2008/2008 R2
- Windows Server, version 20H2 (Server Core Installation)

2022年6月8日時点で、マイクロソフト株式会社から本脆弱性の対策となる更新
プログラムは提供されていません。マイクロソフト株式会社の情報を確認し、
更新プログラムが公開された場合は速やかに適用することを推奨します。

関連文書 (日本語)
マイクロソフト株式会社
CVE-2022-30190 マイクロソフト サポート診断ツールの脆弱性に関するガイダンス
https://msrc-blog.microsoft.com/2022/05/30/guidance-for-cve-2022-30190-microsoft-support-diagnostic-tool-vulnerability-jp/

マイクロソフト株式会社
Microsoft Windows Support Diagnostic Tool (MSDT) Remote Code Execution Vulnerability
https://msrc.microsoft.com/update-guide/ja-JP/vulnerability/CVE-2022-30190

【3】複数のMozilla製品に脆弱性

情報源
CISA Current Activity
Mozilla Releases Security Updates for Firefox, Firefox ESR, and Thunderbird
https://www.cisa.gov/uscert/ncas/current-activity/2022/06/01/mozilla-releases-security-updates-firefox-firefox-esr-and

概要
複数のMozilla製品には、複数の脆弱性があります。結果として、第三者が任
意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 101より前のバージョン
- Mozilla Firefox ESR 91.10より前のバージョン
- Mozilla Thunderbird 91.10より前のバージョン
- Mozilla Firefox for iOS 101より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)
Mozilla
Mozilla Foundation Security Advisory 2022-20
https://www.mozilla.org/en-US/security/advisories/mfsa2022-20/

Mozilla
Mozilla Foundation Security Advisory 2022-21
https://www.mozilla.org/en-US/security/advisories/mfsa2022-21/

Mozilla
Mozilla Foundation Security Advisory 2022-22
https://www.mozilla.org/en-US/security/advisories/mfsa2022-22/

Mozilla
Mozilla Foundation Security Advisory 2022-23
https://www.mozilla.org/en-US/security/advisories/mfsa2022-23/

【4】トレンドマイクロ製Apex OneおよびApex One SaaSに複数の脆弱性

情報源
Japan Vulnerability Notes JVN#90675050
トレンドマイクロ製Apex OneおよびApex One SaaSにおける複数の脆弱性
https://jvn.jp/vu/JVNVU90675050/

概要
Apex OneおよびApex One SaaSには、複数の脆弱性があります。結果として、
脆弱な端末にアクセスできる第三者が、昇格された権限で任意のDLLを読み込
むなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Apex One 2019
- Apex One SaaS

この問題は、該当する製品にトレンドマイクロ株式会社が提供する最新版を適
用することで解決します。なお、Apex One SaaSについては2022年3月のメンテ
ナンスで修正済みとのことです。詳細はトレンドマイクロ株式会社が提供する
情報を参照してください。

関連文書 (日本語)
トレンドマイクロ株式会社
アラート/アドバイザリ：Trend Micro Apex One で確認された複数の脆弱性について (2022年5月)
https://success.trendmicro.com/jp/solution/000291015

【5】T&D Data Server および THERMO RECORDER DATA SERVERにディレクトリトラバーサルの脆弱性

情報源
Japan Vulnerability Notes JVN#28659051
T&D Data Server および THERMO RECORDER DATA SERVER におけるディレクトリトラバーサルの脆弱性
https://jvn.jp/jp/JVN28659051/

概要
T&D Data ServerおよびTHERMO RECORDER DATA SERVERには、ディレクトリ
トラバーサルの脆弱性があります。結果として、遠隔の第三者がサーバー上の
任意のファイルを閲覧する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- T&D Data Server 日本版 Ver.2.22 およびそれ以前のバージョン
- T&D Data Server 英語版 Ver.2.30 およびそれ以前のバージョン
- THERMO RECORDER DATA SERVER 日本版 Ver.2.13 およびそれ以前のバージョン
- THERMO RECORDER DATA SERVER 英語版 Ver.2.13 およびそれ以前のバージョン

この問題は、該当する製品を株式会社ティアンドデイが提供する修正済みの
バージョンに更新することで解決します。詳細は、株式会社ティアンドデイが
提供する情報を参照してください。

関連文書 (日本語)
株式会社ティアンドデイ
「T&D Data Server」「THERMO RECORDER DATA SERVER」の脆弱性発見について
https://www.tandd.co.jp/news/detail.html?id=522

【6】WordPress用プラグインModern Events Calendar Liteにクロスサイトスクリプティングの脆弱性

情報源
Japan Vulnerability Notes JVN#04155116
WordPress 用プラグイン Modern Events Calendar Lite におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN04155116/

概要
WordPress用プラグインModern Events Calendar Liteには、クロスサイトスク
リプティングの脆弱性があります。結果として、攻撃者が当該プラグインを使
用しているサイトにアクセスしているユーザーのウェブブラウザー上で、任意
のスクリプトを実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Modern Events Calendar Lite 6.3.0より前のバージョン

この問題は、該当する製品をWebnusが提供する修正済みのバージョ
ンに更新することで解決します。詳細は、Webnusが提供する情報を
参照してください。

関連文書 (英語)
Webnus
Modern Events Calendar Lite
https://webnus.net/modern-events-calendar/lite/

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○「Internet Week ショーケース 徳島・オンライン」開催のお知らせ

2022年6月23日より、一般社団法人日本ネットワークインフォメーションセン
ター(JPNIC)は「Internet Week ショーケース 徳島・オンライン」を、現地会
場とオンライン配信のハイブリッドで開催します。インターネットの技術者お
よびインターネット技術と社会動向に興味のある方を対象に、インターネット
基盤技術の普及や、議論の場・交流の場の提供を目的とするイベントです。
JPCERT/CCは本イベントを後援、6月23日(木)ハンズオンDayでは「インシデント
対応ハンズオン」を、6月24日(金)カンファレンスDayでは、「サイバー攻撃
2021+」を講演します。公式Webサイトにて、プログラム内容を公開しており、
参加登録の受付も開始しています。

参考文献 (日本語)
Internet Week ショーケース 徳島・オンライン
開催概要ページ
https://www.nic.ad.jp/sc-tokushima/

Internet Week ショーケース 徳島・オンライン
参加申込ページ
https://www.nic.ad.jp/sc-tokushima/apply/

目 次

【1】Google Chromeに複数の脆弱性
【2】複数のMozilla製品に脆弱性
【3】複数のCitrix製品に脆弱性
【4】Spring Securityに認証回避の脆弱性
【5】Drupalのサードパーティライブラリに脆弱性
【6】複数のRevoWorks製品に脆弱性
【7】コンテック製SolarView CompactにOSコマンドインジェクションの脆弱性
【8】WordPress用プラグインWP Statisticsにクロスサイトスクリプティングの脆弱性
【9】トレンドマイクロ製パスワードマネージャーに権限昇格の脆弱性
【10】富士電機製V-SFT、V-ServerおよびV-Server Liteに複数の脆弱性
【11】モバオク-オークション&フリマアプリにサーバー証明書の検証不備の脆弱性
【今週のひとくちメモ】JPCERT/CCが「Locked Shields 2022 参加記」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr222101.html
https://www.jpcert.or.jp/wr/2022/wr222101.xml
============================================================================

【1】Google Chromeに複数の脆弱性

情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/25/google-releases-security-updates-chrome

概要
Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 102.0.5005.61より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/05/stable-channel-update-for-desktop_24.html

【2】複数のMozilla製品に脆弱性

情報源
CISA Current Activity
Mozilla Releases Security Products for Multiple Firefox Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/23/mozilla-releases-security-products-multiple-firefox-products

概要
複数のMozilla製品には、脆弱性があります。結果として、第三者が任意のスク
リプトを実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 100.0.2より前のバージョン
- Mozilla Firefox ESR 91.9.1より前のバージョン
- Mozilla Firefox for Android 100.3.0より前のバージョン
- Mozilla Thunderbird 91.9.1より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)
Mozilla
Mozilla Foundation Security Advisory 2022-19
https://www.mozilla.org/en-US/security/advisories/mfsa2022-19/

【3】複数のCitrix製品に脆弱性

情報源
CISA Current Activity
Citrix Releases Security Updates for ADC and Gateway
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/26/citrix-releases-security-updates-adc-and-gateway

概要
複数のCitrix製品には、脆弱性があります。結果として、遠隔の第三者がサー
ビス運用妨害（DoS）攻撃を行う可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Citrix ADCおよびCitrix Gateway 13.1-21.50より前の13.1系のバージョン
- Citrix ADCおよびCitrix Gateway 13.0-85.19より前の13.0系のバージョン
- Citrix ADCおよびCitrix Gateway 12.1-64.17より前の12.1系のバージョン
- Citrix ADC 12.1-FIPS 12.1-55.278より前のバージョン
- Citrix ADC 12.1-NDcPP 12.1-55.278より前のバージョン

この問題は、該当する製品をCitrixが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Citrixが提供する情報を参照してください。

関連文書 (英語)
Citrix
Citrix ADC and Citrix Gateway Security Bulletin for CVE-2022-27507 and CVE-2022-27508
https://support.citrix.com/article/CTX457048

【4】Spring Securityに認証回避の脆弱性

情報源
Japan Vulnerability Notes JVNVU#96405576
Spring SecurityのRegexRequestMatcherにおける認証回避の脆弱性
https://jvn.jp/vu/JVNVU96405576/

概要
VMwareが提供するSpring Securityには、認証回避の脆弱性があります。結果
として、遠隔の第三者がWebページの認証を回避し、情報を閲覧するなどの可
能性があります。

対象となるバージョンは次のとおりです。

- Spring Security 5.5.7より前の5.5系のバージョン
- Spring Security 5.6.4より前の5.6系のバージョン

開発者によると、サポートが終了した上記バージョンより前のバージョンも影
響を受けるとのことです。

この問題は、該当する製品をVMwareが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、VMwareが提供する情報を参照してください。

関連文書 (英語)
VMware
CVE-2022-22978: Authorization Bypass in RegexRequestMatcher
https://tanzu.vmware.com/security/cve-2022-22978

【5】Drupalのサードパーティライブラリに脆弱性

情報源
CISA Current Activity
Drupal Releases Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/26/drupal-releases-security-updates

概要
Drupalが使用するサードパーティライブラリGuzzleには、脆弱性があります。
結果として、遠隔の第三者が機微な情報を窃取するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Drupal 9.3.14より前の9.3系バージョン
- Drupal 9.2.20より前の9.2系バージョン

なお、Drupal 9.2系より前の9系のバージョンはサポートが終了しており、今
回のセキュリティに関する情報は提供されていません。また、Drupal 7系は本
脆弱性の影響を受けないとのことです。

この問題は、Drupalを開発者が提供する修正済みのバージョンに更新すること
で解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (英語)
Drupal
Drupal core - Moderately critical - Third-party libraries - SA-CORE-2022-010
https://www.drupal.org/sa-core-2022-010

【6】複数のRevoWorks製品に脆弱性

情報源
Japan Vulnerability Notes JVN#27256219
RevoWorks 製品における不十分な無害化処理の脆弱性
https://jvn.jp/jp/JVN27256219/

概要
ジェイズ・コミュニケーション株式会社が提供するRevoWorks SCVX、RevoWorks
BrowserおよびRevoWorks Desktopには、不十分な無害化処理の脆弱性がありま
す。結果として、ローカル環境に持ち込んだファイルを開くことで、悪意のあ
るマクロが実行されるなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- RevoWorks SCVX ファイル無害化ライブラリ 1.043およびそれ以前のバージョン
- RevoWorks Browser 2.2.67およびそれ以前のバージョン（ファイル無害化オプションを利用している場合）
- RevoWorks Desktop 2.1.84およびそれ以前のバージョン（ファイル無害化オプションを利用している場合）

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)
ジェイズ・コミュニケーション株式会社
【重要】RevoWorks製品におけるファイル無害化処理の脆弱性について
https://jscom.jp/news-20220527/

【7】コンテック製SolarView CompactにOSコマンドインジェクションの脆弱性

情報源
Japan Vulnerability Notes JVNVU#92327282
コンテック製SolarView CompactにおけるOSコマンドインジェクションの脆弱性
https://jvn.jp/vu/JVNVU92327282/

概要
株式会社コンテックが提供するSolarView Compactには、OSコマンドインジェ
クションの脆弱性があります。結果として、設定画面にアクセス可能なユーザー
が任意のOSコマンドを実行する可能性があります。

対象となるバージョンは次のとおりです。

- SolarView Compact
- SV-CPT-MC310 Ver.7.21より前のバージョン
- SV-CPT-MC310F Ver.7.21より前のバージョン

この問題は、該当する製品を株式会社コンテックが提供する修正済みのバージョン
に更新することで解決します。詳細は、株式会社コンテックが提供する情報を
参照してください。

関連文書 (日本語)
株式会社コンテック
SolarView Compact(SV-CPT-MC310)の脆弱性について
https://www.contec.com/jp/-/media/contec/jp/support/security-info/contec_security_solarview_220526.pdf/

【8】WordPress用プラグインWP Statisticsにクロスサイトスクリプティングの脆弱性

情報源
Japan Vulnerability Notes JVN#15241647
WordPress 用プラグイン WP Statistics におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN15241647/

概要
WordPress用プラグインWP Statisticsには、クロスサイトスクリプティングの
脆弱性があります。結果として、当該製品を使用しているサイトにログインし
ているユーザーのWebブラウザー上で、任意のスクリプトを実行される可能性
があります。

対象となるバージョンは次のとおりです。

- WP Statistics 13.2.0より前のバージョン

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (英語)
WP Statistics
Changelog
https://wordpress.org/plugins/wp-statistics/#developers

【9】トレンドマイクロ製パスワードマネージャーに権限昇格の脆弱性

情報源
Japan Vulnerability Notes JVNVU#92641706
トレンドマイクロ製パスワードマネージャーにおける権限昇格の脆弱性
https://jvn.jp/vu/JVNVU92641706/

概要
トレンドマイクロ製パスワードマネージャーには、権限昇格の脆弱性がありま
す。結果として、当該製品がインストールされたシステムにログイン可能なユー
ザーが、管理者権限を取得し、任意のコードを実行する可能性があります。

対象となるバージョンは次のとおりです。

- パスワードマネージャー（Windows版）5.0.0.1266およびそれ以前のバージョン

この問題は、該当する製品をトレンドマイクロ株式会社が提供する修正済みの
バージョンに更新することで解決します。詳細は、トレンドマイクロ株式会社
が提供する情報を参照してください。

関連文書 (日本語)
トレンドマイクロ株式会社
アラート/アドバイザリ：パスワードマネージャーの脆弱性について (CVE-2022-30523)
https://helpcenter.trendmicro.com/ja-jp/article/TMKA-11008

【10】富士電機製V-SFT、V-ServerおよびV-Server Liteに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#93134398
富士電機製V-SFT、V-ServerおよびV-Server Liteにおける複数の脆弱性
https://jvn.jp/vu/JVNVU93134398/

Japan Vulnerability Notes JVNVU#99188133
富士電機製V-SFTにおける複数の脆弱性
https://jvn.jp/vu/JVNVU99188133/

概要
富士電機株式会社が提供するV-SFT、V-ServerおよびV-Server Liteには、複数
の脆弱性があります。結果として、細工された画面データファイルを開くこと
で、情報が漏えいしたり、任意のコードが実行されたりする可能性があります。

対象となる製品およびバージョンは次のとおりです。

- V-SFT v6.1.6.0より前のバージョン
- V-Server v4.0.11.0およびそれ以前のバージョン
- V-Server Lite v4.0.13.0およびそれ以前のバージョン

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)
富士電機株式会社／発紘電機株式会社
作画ソフトV-SFT 改善情報 2240H36
https://hakko-elec.co.jp/site/download/09vsft6_inf/Search.php

富士電機株式会社／発紘電機株式会社
遠隔監視ソフトウェアTELLUS and V-Server 改善情報 2250S01
https://hakko-elec.co.jp/site/download/03tellus_inf/index.php

【11】モバオク-オークション&フリマアプリにサーバー証明書の検証不備の脆弱性

情報源
Japan Vulnerability Notes JVN#13878856
iOS アプリ「モバオク-オークション&フリマアプリ」におけるサーバ証明書の検証不備の脆弱性
https://jvn.jp/jp/JVN13878856/

概要
株式会社ディー・エヌ・エーが提供するiOSアプリ「モバオク-オークション&フ
リマアプリ」には、サーバー証明書の検証不備の脆弱性があります。結果とし
て、遠隔の第三者が、中間者攻撃により暗号通信を盗聴するなどの可能性があ
ります。

対象となるバージョンは次のとおりです。

- iOSアプリ「モバオク-オークション&フリマアプリ」 5.5.16より前のバージョン

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)
株式会社ディー・エヌ・エー
株式会社ディー・エヌ・エーからの情報
https://jvn.jp/jp/JVN13878856/995314/

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○JPCERT/CCが「Locked Shields 2022 参加記」を公開

2022年5月24日、JPCERT/CCは「Locked Shields 2022 参加記」を公開しました。
2022年4月下旬、JPCERT/CCは、NATO Cooperative Cyber Defence Centre（NATO
CCDCOE）が主催したサイバー演習である「Locked Shields」に参加しました。
本ブログでは、Locked Shieldsの概要、JPCERT/CCの貢献、サイバー演習の重
要性、および国際的な協力によるサイバーセキュリティ確保の重要性について
記載しています。

参考文献 (日本語)
JPCERT/CC
Locked Shields 2022 参加記
https://blogs.jpcert.or.jp/ja/2022/05/locked-shields-2022.html

目 次

【1】 Apache TomcatにWebSocket接続の実装に関する問題
【2】複数のApple製品に脆弱性
【3】ISC BIND 9にサービス運用妨害 (DoS) の脆弱性
【4】サイボウズGaroonに複数の脆弱性
【5】Rakuten Casaに複数の脆弱性
【6】Spring Security OAuth(spring-security-oauth2)にサービス運用妨害 (DoS) の脆弱性
【今週のひとくちメモ】個人情報保護委員会が「個人情報を考える週間」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr222001.html
https://www.jpcert.or.jp/wr/2022/wr222001.xml
============================================================================

【1】 Apache TomcatにWebSocket接続の実装に関する問題

情報源
CISA Current Activity
Apache Releases Security Advisory for Tomcat
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/16/apache-releases-security-advisory-tomcat

Japan Vulnerability Notes JVNVU#94243578
Apache TomcatにおけるWebSocket接続の実装に関する問題
https://jvn.jp/vu/JVNVU94243578/

概要
Apache Tomcatには、WebSocket接続の実装に関する問題があります。結果とし
て、遠隔の第三者が予期せぬエラーを発生させる可能性があります。

対象となるバージョンは次のとおりです。

- Apache Tomcat 9.0.0.M1から9.0.20までのバージョン
- Apache Tomcat 8.5.0から8.5.75までのバージョン

この問題は、Apache TomcatをThe Apache Software Foundationが提供する修
正済みのバージョンに更新することで解決します。詳細は、
The Apache Software Foundationが提供する情報を参照してください。

関連文書 (英語)
The Apache Software Foundation
CVE-2022-25762 Apache Tomcat - Request Mix-up
https://lists.apache.org/thread/qzkqh2819x6zsmj7vwdf14ng2fdgckw7

The Apache Software Foundation
Fixed in Apache Tomcat 9.0.21
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.21

The Apache Software Foundation
Fixed in Apache Tomcat 8.5.76
https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.76

【2】複数のApple製品に脆弱性

情報源
CISA Current Activity
Apple Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/17/apple-releases-security-updates-multiple-products

概要
複数のApple製品には、複数の脆弱性があります。結果として、第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Safari 15.5より前のバージョン
- tvOS 15.5より前のバージョン
- Xcode 13.4より前のバージョン
- macOS Catalina（Security Update 2022-004 未適用）
- macOS Monterey 12.4より前のバージョン
- macOS Big Sur 11.6.6より前のバージョン
- iOS 15.5より前のバージョン
- iPadOS 15.5より前のバージョン
- watchOS 8.6より前のバージョン

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)
Apple
Safari 15.5 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213260

Apple
tvOS 15.5 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213254

Apple
Xcode 13.4 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213261

Apple
セキュリティアップデート 2022-004 Catalina のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213255

Apple
macOS Big Sur 11.6.6 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213256

Apple
macOS Monterey 12.4 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213257

Apple
iOS 15.5 および iPadOS 15.5 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213258

Apple
watchOS 8.6 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213253

JPCERT/CC CyberNewsFlash
Apple製品のアップデートについて（2022年5月）
https://www.jpcert.or.jp/newsflash/2022051801.html

【3】ISC BIND 9にサービス運用妨害 (DoS) の脆弱性

情報源
CISA Current Activity
ISC Releases Security Advisory for BIND
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/19/isc-releases-security-advisory-bind

Japan Vulnerability Notes JVNVU#94035450
ISC BINDにおけるサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/vu/JVNVU94035450/

概要
ISC BIND 9には、脆弱性があります。結果として、遠隔の第三者がサービス運
用妨害（DoS）攻撃を行うなどの可能性があります。

対象となるバージョンは次のとおりです。

- BIND 9.18.0から9.18.2まで
- BIND 9.19.0（BIND 9.19開発用ブランチ）

この問題は、該当する製品をISCが提供する修正済みのバージョンに更新する
ことで解決します。詳細は、ISCが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
ISC BIND 9における脆弱性について（2022年5月）
https://www.jpcert.or.jp/newsflash/2022051901.html

日本レジストリサービス (JPRS)
（緊急）BIND 9.18.xの脆弱性（DNSサービスの停止）について（CVE-2022-1183） - BIND 9.18系列のみが対象、バージョンアップを強く推奨 -
https://jprs.jp/tech/security/2022-05-19-bind9-vuln-dnsoverhttps.html

関連文書 (英語)
Internet Systems Consortium, Inc. (ISC)
CVE-2022-1183: Destroying a TLS session early causes assertion failure
https://kb.isc.org/docs/cve-2022-1183

【4】サイボウズGaroonに複数の脆弱性

情報源
Japan Vulnerability Notes JVN#73897863
サイボウズ Garoon に複数の脆弱性
https://jvn.jp/jp/JVN73897863/

概要
サイボウズGaroonには、複数の脆弱性があります。結果として、ログインして
いるユーザーのブラウザー上で任意のスクリプトが実行されるなどの可能性が
あります。

対象となるバージョンは脆弱性によって異なります。詳細はサイボウズ株式会
社が提供する情報を参照してください。

この問題は、該当する製品をサイボウズ株式会社が提供する修正済みのバージョン
に更新することで解決します。詳細は、サイボウズ株式会社が提供する情報を
参照してください。

関連文書 (日本語)
サイボウズ株式会社
パッケージ版 Garoon 脆弱性に関するお知らせ
https://cs.cybozu.co.jp/2022/007429.html

【5】Rakuten Casaに複数の脆弱性

情報源
Japan Vulnerability Notes JVN#46892984
Rakuten Casa における複数の脆弱性
https://jvn.jp/jp/JVN46892984/

概要
楽天モバイル株式会社が提供するRakuten Casaには、複数の脆弱性があります。
結果として、root権限でログインされ任意の操作を実行されたり、製品内部の
情報を取得されるなどの可能性があります。

対象となるバージョンは次のとおりです。

- Rakuten Casa バージョンAP_F_V1_4_1またはAP_F_V2_0_0

この問題は、設置規約に則って適切に設置した場合、自動的にアップデートが
適用され、修正されるとのことです。

関連文書 (日本語)
楽天モバイル株式会社
【重要】Rakuten Casaのソフトウェアアップデート情報
https://network.mobile.rakuten.co.jp/information/news/product/1033/

【6】Spring Security OAuth(spring-security-oauth2)にサービス運用妨害 (DoS) の脆弱性

情報源
Japan Vulnerability Notes JVN#15317878
Spring Security OAuth (spring-security-oauth2) におけるサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/jp/JVN15317878/

概要
VMwareが提供する Spring Security OAuth(spring-security-oauth2)には、リ
ソースの枯渇の脆弱性があります。結果として、本製品を利用してOAuthクラ
イアント機能を提供しているウェブサイトがサービス運用妨害 (DoS)の被害を
受ける可能性があります。

対象となるバージョンは次のとおりです。

- Spring Security OAuth(spring-security-oauth2) 2.5.1およびそれ以前

この問題は、該当する製品をVMwareが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、VMwareが提供する情報を参照してください。

関連文書 (英語)
VMware
CVE-2022-22969: Denial-of-Service (DoS) in spring-security-oauth2
https://tanzu.vmware.com/security/cve-2022-22969

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○個人情報保護委員会が「個人情報を考える週間」を公開

個人情報保護委員会は、個人情報の重要性に関する情報発信を強化する目的で、
2022年5月30日から6月5日を「個人情報を考える週間」として取り組みを発表
しました。これは2018年度から広報啓発活動を継続して実施しているもので、
本年のテーマを「信頼の礎、プライバシー」（Privacy the foundation of trust）
として、特設のページでは、「個人のみなさま」「事業者のみなさま」「学校
関係者、保護者のみなさま（お子さま向け資料）」で項目をわけ、それぞれに
個人情報の取り扱いについて、ポイントをまとめています。

参考文献 (日本語)
個人情報保護委員会
個人情報を考える週間
https://www.ppc.go.jp/news/privacy_awareness_week/

目 次 

【1】複数のマイクロソフト製品に脆弱性
【2】複数のアドビ製品に脆弱性
【3】複数のIntel製品に脆弱性
【4】Google Chromeに複数の脆弱性
【5】FUJITSU Network IPCOMの運用管理インタフェースに複数の脆弱性
【6】トレンドマイクロ製スマートホームスキャナーWindows版に脆弱性
【7】QNAP製ネットワークビデオレコーダー製品にコマンドインジェクションの脆弱性
【8】GENEREX SYSTEMS製RCCMDにディレクトリトラバーサルの脆弱性
【9】Qt製Windowsアプリケーションに権限昇格の脆弱性
【10】光洋電子工業製Screen Creator Advance2に認証回避の脆弱性
【11】複数の明京電機製品に脆弱性
【12】EC-CUBE用プラグイン「簡単ブログ for EC-CUBE4」にクロスサイトリクエストフォージェリの脆弱性
【13】「TRANSITS Workshop 2022 Summer開催」開催のお知らせ
【今週のひとくちメモ】経済産業省が「OSSの利活用及びそのセキュリティ確保に向けた管理手法に関する事例集」を拡充

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr221901.html
https://www.jpcert.or.jp/wr/2022/wr221901.xml
============================================================================

【1】複数のマイクロソフト製品に脆弱性

情報源
CISA Current Activity
Microsoft Releases May 2022 Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/11/microsoft-releases-may-2022-security-updates

CISA Current Activity
Microsoft Releases Security Advisory for Azure Data Factory and Azure Synapse Pipelines
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/10/microsoft-releases-security-advisory-azure-data-factory-and-azure

概要
複数のマイクロソフト製品には、脆弱性があります。結果として、遠隔の第三
者が任意のコードを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はマイクロソフト株式会社が提供
するアドバイザリ情報を参照してください。

この問題は、Microsoft Updateなどを用いて、更新プログラムを適用すること
で解決します。詳細は、マイクロソフト株式会社が提供する情報を参照してく
ださい。

関連文書 (日本語)
マイクロソフト株式会社
2022 年 5 月のセキュリティ更新プログラム
https://msrc.microsoft.com/update-guide/ja-JP/releaseNote/2022-May

JPCERT/CC 注意喚起
2022年5月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2022/at220014.html

【2】複数のアドビ製品に脆弱性

情報源
CISA Current Activity
Adobe Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/12/adobe-releases-security-updates-multiple-products

概要
複数のアドビ製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Adobe Character Animator
- Adobe ColdFusion
- Adobe InDesign
- Adobe Framemaker
- Adobe InCopy

この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
複数のアドビ製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2022051102.html

関連文書 (英語)
アドビ
Security Updates Available for Adobe Character Animator | APSB22-21
https://helpx.adobe.com/security/products/character_animator/apsb22-21.html

アドビ
Security updates available for Adobe ColdFusion | APSB22-22
https://helpx.adobe.com/security/products/coldfusion/apsb22-22.html

アドビ
Security Update available for Adobe InDesign | APSB22-23
https://helpx.adobe.com/security/products/indesign/apsb22-23.html

アドビ
Security Updates Available for Adobe Framemaker | APSB22-27
https://helpx.adobe.com/security/products/framemaker/apsb22-27.html

アドビ
Security Update Available for Adobe InCopy | APSB22-28
https://helpx.adobe.com/security/products/incopy/apsb22-28.html

【3】複数のIntel製品に脆弱性

情報源
Japan Vulnerability Notes JVNVU#93344744
Intel製品に複数の脆弱性（2022年5月）
https://jvn.jp/vu/JVNVU93344744/

概要
Intelから複数の製品に含まれる脆弱性に対応したIntel Product Security Center
Advisoriesが公開されました。

詳細は、Intelが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Intel製品に関する複数の脆弱性について
https://www.jpcert.or.jp/newsflash/2022051101.html

関連文書 (英語)
Intel
Intel Product Security Center Advisories
https://www.intel.com/content/www/us/en/security-center/default.html

【4】Google Chromeに複数の脆弱性

情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/11/google-releases-security-updates-chrome

概要
Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 101.0.4951.64より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/05/stable-channel-update-for-desktop_10.html

【5】FUJITSU Network IPCOMの運用管理インタフェースに複数の脆弱性

情報源
Japan Vulnerability Notes JVN#96561229
FUJITSU Network IPCOM の運用管理インタフェースにおける複数の脆弱性
https://jvn.jp/jp/JVN96561229/

概要
富士通株式会社が提供するFUJITSU Network IPCOMの運用管理インタフェース
には、複数の脆弱性があります。結果として、遠隔の第三者が任意のOSコマン
ドを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- IPCOM EX2シリーズ
- IPCOM EXシリーズ
- IPCOM VE2シリーズ
- IPCOM VA2/VE1シリーズ

この問題は、該当する製品を富士通株式会社が提供する修正済みのバージョン
に更新するか、回避策を適用することで解決します。詳細は、富士通株式会社
が提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC 注意喚起
FUJITSU Network IPCOMの運用管理インタフェースの脆弱性に関する注意喚起
https://www.jpcert.or.jp/at/2022/at220013.html

富士通株式会社
IPCOM シリーズのコマンド操作端末／Webブラウザ端末とIPCOM間通信における脆弱性について
https://www.fujitsu.com/jp/products/network/support/2022/ipcom-01/

【6】トレンドマイクロ製スマートホームスキャナーWindows版に脆弱性

情報源
Japan Vulnerability Notes JVNVU#93434935
トレンドマイクロ製スマートホームスキャナー（Windows版）のインストーラにおけるDLL読み込みに関する脆弱性
https://jvn.jp/vu/JVNVU93434935/

概要
トレンドマイクロ株式会社が提供するスマートホームスキャナーWindows版に
は脆弱性があります。結果として、第三者が不正なDLLを作成することで管理
者権限を取得する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- スマートホームスキャナーWindows版5.3.1220およびそれ以前のバージョン

この問題は、トレンドマイクロ株式会社が提供する最新のインストーラーを使
用することで解決します。詳細は、トレンドマイクロ株式会社が提供する情報
を参照してください。

関連文書 (日本語)
トレンドマイクロ株式会社
アラート/アドバイザリ：スマートホームスキャナー(Windows版)の脆弱性について (CVE-2022-28339)
https://helpcenter.trendmicro.com/ja-jp/article/TMKA-10986

【7】QNAP製ネットワークビデオレコーダー製品にコマンドインジェクションの脆弱性

情報源
Japan Vulnerability Notes JVNVU#95992089
QNAP製ネットワークビデオレコーダー製品にコマンドインジェクションの脆弱性
https://jvn.jp/vu/JVNVU95992089/

概要
QNAP Systems製ネットワークビデオレコーダーであるVioStarシリーズには、
コマンドインジェクションの脆弱性があります。結果として、遠隔の第三者が
任意のコマンドを実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- QNAP NVR VioStarシリーズ 5.1.6 build 20220401より前のバージョン

この問題は、該当する製品をQNAP Systemsが提供する修正済みのバージョンに
更新することで解決します。詳細は、QNAP Systemsが提供する情報を参照して
ください。

関連文書 (英語)
QNAP Systems
Vulnerability in QVR
https://www.qnap.com/en/security-advisory/qsa-22-07

【8】GENEREX SYSTEMS製RCCMDにディレクトリトラバーサルの脆弱性

情報源
Japan Vulnerability Notes JVN#60801132
GENEREX SYSTEMS 製 RCCMD におけるディレクトリトラバーサルの脆弱性
https://jvn.jp/jp/JVN60801132/

概要
GENEREX SYSTEMS製RCCMDには、ディレクトリトラバーサルの脆弱性があります。
結果として、第三者がサーバー上の任意のファイルを閲覧するなどの可能性が
あります。

対象となる製品およびバージョンは次のとおりです。

- RCCMD 4.26およびそれ以前のバージョン

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (英語)
GENEREX SYSTEMS
Download Center
https://www.generex.de/support/downloads/software/rccmd/update

【9】Qt製Windowsアプリケーションに権限昇格の脆弱性

情報源
Japan Vulnerability Notes JVNVU#92669710
Qt製Windowsアプリケーションにおける権限昇格の脆弱性
https://jvn.jp/vu/JVNVU92669710/

概要
The Qt Companyが提供するQtを使って作成されたWindowsアプリケーションに
は、qt_prfxpath値のハードコーディングに起因する権限昇格の脆弱性があり
ます。Windowsシステムの一般ユーザーがqt_prfxpathが指しているディレクト
リにファイルを用意しておくことで、当該Qtアプリの権限で任意のコードを実
行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

Qt開発環境およびデプロイツールwindeployqtを使用して作成されたアプリケーション
- Qt 5.14より前のバージョン
- windeployqt、commit:c2952ff8df1e18fe0120d8b29901b0b794afccc7以降を取り込んでいないバージョン

この問題は、該当する製品をThe Qt Companyが提供する修正済みのバージョン
に更新するか、回避策を適用することで解決します。詳細は、The Qt Company
が提供する情報を参照してください。

関連文書 (英語)
The Qt Company
Qt hard-codes paths in libraries/binaries
https://bugreports.qt.io/browse/QTBUG-15234

The Qt Company
Qt for Windows - Deployment
https://doc.qt.io/qt-5/windows-deployment.html

The Qt Company
windeployqt: Patch qt_prfxpath when deploying Qt5Core
https://codereview.qt-project.org/gitweb?p=qt%2Fqttools.git&a=commit&h=c2952ff8df1e18fe0120d8b29901b0b794afccc7

【10】光洋電子工業製Screen Creator Advance2に認証回避の脆弱性

情報源
Japan Vulnerability Notes JVN#50337155
光洋電子工業製 Screen Creator Advance2 における認証回避の脆弱性
https://jvn.jp/jp/JVN50337155/

概要
光洋電子工業株式会社が提供するScreen Creator Advance2には、認証回避の
脆弱性があります。結果として、第三者が保存されたデータを閲覧したり、削
除したりするなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Screen Creator Advance2 Ver.0.1.1.3 Build01より前のバージョン

この問題は、該当する製品を光洋電子工業株式会社が提供する修正済みのバー
ジョンに更新することで解決します。詳細は、光洋電子工業株式会社が提供す
る情報を参照してください。

関連文書 (日本語)
光洋電子工業株式会社
GC-A2シリーズバージョンアップのお知らせ - 認証回避の脆弱性について
https://www.koyoele.co.jp/jp/topics/2022050911785/

【11】複数の明京電機製品に脆弱性

情報源
Japan Vulnerability Notes JVN#58266015
複数の明京電機製品における複数の脆弱性
https://jvn.jp/jp/JVN58266015/

概要
複数の明京電機製品には、脆弱性があります。結果として、第三者がユーザー
のウェブブラウザー上で、任意のスクリプトを実行するなどの可能性がありま
す。

対象となる製品およびバージョンは次のとおりです。

- リブーター
- WATCH BOOT nino RPC-M2C [販売終了製品] すべてのファームウェアバージョン
- WATCH BOOT light RPC-M5C [販売終了製品] すべてのファームウェアバージョン
- WATCH BOOT L-zero RPC-M4L [販売終了製品] すべてのファームウェアバージョン
- WATCH BOOT mini RPC-M4H [販売終了製品] すべてのファームウェアバージョン
- WATCH BOOT nino RPC-M2CS ファームウェアバージョン 1.00Aから1.00Dまで
- WATCH BOOT light RPC-M5CS ファームウェアバージョン 1.00Aから1.00Dまで
- WATCH BOOT L-zero RPC-M4LS ファームウェアバージョン 1.00Aから1.20Aまで
- サイネージリブーター RPC-M4HSi ファームウェアバージョン 1.00A
- PoE リブーター
- PoE BOOT nino PoE8M2 ファームウェアバージョン 1.00Aから1.20Aまで
- スケジューラー
- TIME BOOT mini RSC-MT4H [販売終了製品] すべてのファームウェアバージョン
- TIME BOOT RSC-MT8F [販売終了製品] すべてのファームウェアバージョン
- TIME BOOT RSC-MT8FP [販売終了製品] すべてのファームウェアバージョン
- TIME BOOT mini RSC-MT4HS ファームウェアバージョン 1.00Aから1.10Aまで
- TIME BOOT RSC-MT8FS ファームウェアバージョン 1.00Aから1.00Eまで
- 接点コンバーター
- POSE SE10-8A7B1 ファームウェアバージョン 1.00Aから1.20Aまで

この問題は、該当する製品のファームウェアを明京電機株式会社が提供する修
正済みのバージョンに更新すること、および回避策を適用することで解決しま
す。詳細は、明京電機株式会社が提供する情報を参照してください。

関連文書 (日本語)
明京電機株式会社
WEB GUIを有する弊社製品におけるXSSの脆弱性対策ファームウェア，CSRFの脆弱性回避策について
https://www.meikyo.co.jp/news/?p=1#1651790656-481464

【12】EC-CUBE用プラグイン「簡単ブログ for EC-CUBE4」にクロスサイトリクエストフォージェリの脆弱性

情報源
Japan Vulnerability Notes JVN#46241173
EC-CUBE 用プラグイン「簡単ブログ for EC-CUBE4」におけるクロスサイトリクエストフォージェリの脆弱性
https://jvn.jp/jp/JVN46241173/

概要
EC-CUBE用プラグイン「簡単ブログ for EC-CUBE4」には、クロスサイトリクエ
ストフォージェリの脆弱性があります。結果として、当該プラグインがインス
トールされたEC-CUBEにログインした管理者権限を持つユーザーが、細工された
ページにアクセスした場合、当該プラグインのブログ記事やカテゴリが削除さ
れる可能性があります。

対象となる製品およびバージョンは次のとおりです。

- EC-CUBE用プラグイン「簡単ブログ for EC-CUBE4」Ver.1.0.1およびそれ以前のバージョン

この問題は、該当する製品を株式会社コアモバイルが提供する修正済みのバー
ジョンに更新することで解決します。詳細は、株式会社コアモバイルが提供す
る情報を参照してください。

関連文書 (日本語)
株式会社コアモバイル
簡単ブログ for EC-CUBE4
https://www.ec-cube.net/products/detail.php?product_id=2217

【13】「TRANSITS Workshop 2022 Summer開催」開催のお知らせ

情報源
日本シーサート協議会
TRANSITS Workshop 2022 Summer開催
https://www.nca.gr.jp/2022/transits-summer/index.html

概要
2022年7月13日（水）、7月15日（金）の3日間にわたり、「TRANSITS Workshop
2022 Summer開催」が開催されます。日本シーサート協議会が主催する本イベ
ントは、CSIRTの設立の促進、既存のCSIRTの対応能力向上を目的としたプロジェ
クト「TRANSITS」によるトレーニングを行い、CSIRT業務に必要な知識を身に
つけることを目的としています。JPCERT/CCは本イベントでの講演、および運
営に協力しています。

参加には事前申し込みが必要です。参加登録は申込先着順で、定員になり次第
締め切りとなります。詳しくはWebを参照してください。

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○経済産業省が「OSSの利活用及びそのセキュリティ確保に向けた管理手法に関する事例集」を拡充

2022年5月10日、経済産業省は昨年4月に公開した「OSSの利活用及びそのセキュ
リティ確保に向けた管理手法に関する事例集」を拡充し、資料を公開しました。
多くの企業がOSSを含むソフトウェアの管理手法、脆弱性対応等に課題を抱え
ている現状に対し、産業界での知見の共有を推進することを目当てとして、OSS
の管理手法等に関して参考になる取組を実施している企業へのヒアリング等の
結果を取りまとめ、OSS利活用するに当たって留意すべきポイントを整理した
資料です。今回は、2021年度もOSS利活用の取組をヒアリングした結果をまと
め、OSSの脆弱性対応など管理手法の実践が盛り込まれています。

参考文献 (日本語)
経済産業省
オープンソースソフトウェアの利活用及びそのセキュリティ確保に向けた管理手法に関する事例集を拡充しました
https://www.meti.go.jp/press/2022/05/20220510001/20220510001.html

目 次

【1】複数のF5 Networks製品に脆弱性
【2】複数のCisco製品に脆弱性
【3】複数のMozilla製品に脆弱性
【4】Google Chromeに脆弱性
【5】OpenSSLに複数の脆弱性
【今週のひとくちメモ】2021年に報告されたフィッシングサイトの傾向と利用されたドメインについて

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr221801.html
https://www.jpcert.or.jp/wr/2022/wr221801.xml
============================================================================

【1】複数のF5 Networks製品に脆弱性

情報源
CISA Current Activity
F5 Releases Security Advisories Addressing Multiple Vulnerabilities
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/04/f5-releases-security-advisories-addressing-multiple

概要
複数のF5 Networks製品には、影響度Criticalを含む複数の脆弱性があります。
結果として、BIG-IP製品の管理ポートにアクセス可能な遠隔の第三者が任意の
コマンドを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はF5 Networksが提供するアドバ
イザリ情報を参照してください。

この問題は、該当する製品をF5 Networksが提供する修正済みのバージョンに
更新するか、回避策を適用することで解決します。詳細は、F5 Networksが提
供する情報を参照してください。

関連文書 (英語)
F5 Networks
K23605346: BIG-IP iControl REST vulnerability CVE-2022-1388
https://support.f5.com/csp/article/K23605346

F5 Networks
K55879220: Overview of F5 vulnerabilities (May 2022)
https://support.f5.com/csp/article/K55879220

【2】複数のCisco製品に脆弱性

情報源
CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/28/cisco-releases-security-updates-multiple-products

CISA Current Activity
Cisco Releases Security Updates for Enterprise NFV Infrastructure Software
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/05/cisco-releases-security-updates-enterprise-nfv-infrastructure

概要
複数のCisco製品には、影響度Criticalを含む複数の脆弱性があります。結果
として、遠隔の第三者が権限を昇格したり、任意のコマンドを実行したりする
などの可能性があります。

対象となる製品は、多岐にわたります。詳細や最新の情報については、Cisco
が提供するアドバイザリ情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供するアドバイザリ情報を参照して
ください。

関連文書 (英語)
Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

【3】複数のMozilla製品に脆弱性

情報源
CISA Current Activity
Mozilla Releases Security Updates for Firefox, Firefox ESR, and Thunderbird
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/04/mozilla-releases-security-updates-firefox-firefox-esr-and

概要
複数のMozilla製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 100より前のバージョン
- Mozilla Firefox ESR 91.9より前のバージョン
- Mozilla Thunderbird 91.9より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)
Mozilla
Security Vulnerabilities fixed in Firefox 100
https://www.mozilla.org/en-US/security/advisories/mfsa2022-16/

Mozilla
Security Vulnerabilities fixed in Firefox ESR 91.9
https://www.mozilla.org/en-US/security/advisories/mfsa2022-17/

Mozilla
Security Vulnerabilities fixed in Thunderbird 91.9
https://www.mozilla.org/en-US/security/advisories/mfsa2022-18/

【4】Google Chromeに脆弱性

情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/28/google-releases-security-updates-chrome

概要
Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 101.0.4951.41より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/04/stable-channel-update-for-desktop_26.html

【5】OpenSSLに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#93032579
OpenSSLに複数の脆弱性
https://jvn.jp/vu/JVNVU93032579/

概要
OpenSSLには、複数の脆弱性があります。結果として、第三者がサービス運用
妨害（DoS）攻撃を行うなどの可能性があります。

対象となるバージョンは次のとおりです。

- OpenSSL 1.0.2zeより前のバージョン
- OpenSSL 1.1.1oより前のバージョン
- OpenSSL 3.0.3より前のバージョン

なお、OpenSSL 1.1.0はサポートが終了しているため、本脆弱性の評価を実施
していないとのことです。

この問題は、OpenSSLをOpenSSL Projectが提供する修正済みのバージョンに更
新することで解決します。詳細は、OpenSSL Projectが提供する情報を参照し
てください。

関連文書 (英語)
OpenSSL
OpenSSL Security Advisory [03 May 2022]
https://www.openssl.org/news/secadv/20220503.txt

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○2021年に報告されたフィッシングサイトの傾向と利用されたドメインについて

2022年4月25日、JPCERT/CCは「2021年に報告されたフィッシングサイトの傾向
と利用されたドメイン」に関するブログを公開しました。JPCERT/CCでは、
2021年に44,242件のインシデント報告が寄せられ、そのうちフィッシングサイ
トに関するインシデント件数は、23,104件でした。本ブログでは、JPCERT/CC
に報告されたフィッシングサイトの情報をもとに、報告件数の推移やかたられ
たブランドの業種別割合、フィッシングサイトに利用されたドメインの傾向に
ついて解説します。

参考文献 (日本語)
JPCERT/CC
2021年に報告されたフィッシングサイトの傾向と利用されたドメインについて
https://blogs.jpcert.or.jp/ja/2022/04/phishing2021.html

目 次

【1】2022年4月Oracle Critical Patch Updateについて
【2】複数のCisco製品に脆弱性
【3】Drupalに複数の脆弱性
【4】JiraおよびJira Service Managementに認証回避の脆弱性
【今週のひとくちメモ】JPCERT/CCがサイバー攻撃被害に係る情報の共有・公表ガイダンス検討会に事務局として参加

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr221701.html
https://www.jpcert.or.jp/wr/2022/wr221701.xml
============================================================================

【1】2022年4月Oracle Critical Patch Updateについて

情報源
CISA Current Activity
Oracle Releases April 2022 Critical Patch Update
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/19/oracle-releases-april-2022-critical-patch-update

概要
Oracleから複数の製品およびコンポーネントに含まれる脆弱性に対応した
Oracle Critical Patch Update Advisoryが公開されました。

詳細は、Oracleが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC 注意喚起
2022年4月Oracle製品のクリティカルパッチアップデートに関する注意喚起
https://www.jpcert.or.jp/at/2022/at220012.html

関連文書 (英語)
Oracle
Oracle Critical Patch Update Advisory - April 2022
https://www.oracle.com/security-alerts/cpuapr2022.html

【2】複数のCisco製品に脆弱性

情報源
CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/21/cisco-releases-security-updates-multiple-products-0

概要
複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者がサー
ビス運用妨害（DoS）攻撃を行うなどの可能性があります。

影響度Highの脆弱性情報に記載されている製品は次のとおりです。

- Cisco Virtualized Infrastructure Manager
- Cisco Umbrella Virtual Appliance for both VMWare ESXi and Hyper-V
- Cisco RoomOS Software in Cloud-Aware On-Premises operation
- Cisco TelePresence CE Software

上記製品以外にも、影響度Mediumの複数の脆弱性情報が公開されています。詳
細はCiscoが提供する情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供するアドバイザリ情報を参照して
ください。

関連文書 (英語)
Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

【3】Drupalに複数の脆弱性

情報源
CISA Current Activity
Drupal Releases Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/21/drupal-releases-security-updates

概要
Drupalには複数の脆弱性があります。結果として、第三者が許可されていない
値を注入したり、データを上書きするなどの可能性があります。

対象となるバージョンは次のとおりです。

- Drupal 9.3.12より前の9.3系バージョン
- Drupal 9.2.18より前の9.2系バージョン

この問題は、Drupalが提供する修正済みのバージョンに更新することで解決し
ます。詳細は、Drupalが提供する情報を参照してください。

関連文書 (英語)
Drupal
Drupal core - Moderately critical - Improper input validation - SA-CORE-2022-008
https://www.drupal.org/sa-core-2022-008

Drupal
Drupal core - Moderately critical - Access bypass - SA-CORE-2022-009
https://www.drupal.org/sa-core-2022-009

【4】JiraおよびJira Service Managementに認証回避の脆弱性

情報源
Atlassian
Jira Security Advisory 2022-04-20
https://confluence.atlassian.com/jira/jira-security-advisory-2022-04-20-1115127899.html

概要
JiraおよびJira Service Managementには、認証回避の脆弱性があります。結
果として、遠隔の第三者が認証を回避するなどの可能性があります。

対象となるバージョンは次のとおりです。

- Jira Core Server、Jira Software ServerおよびJira Software Data Centerの次のバージョン
- 8.13.18より前のバージョン
- 8.14.系
- 8.15.系
- 8.16.系
- 8.17.系
- 8.18.系
- 8.19.系
- 8.20.6より前の8.20.x系
- 8.21.系

- Jira Service Management ServerおよびJira Service Management Data Centerの次のバージョン
- 4.13.18より前のバージョン
- 4.14.系
- 4.15.系
- 4.16.系
- 4.17.系
- 4.18.系
- 4.19.系
- 4.20.6より前の4.20.x系
- 4.21.系

この問題は、該当する製品をAtlassianが提供する修正済みのバージョンに更
新することで解決します。詳細は、Atlassianが提供するアドバイザリ情報を
参照してください。

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○JPCERT/CCがサイバー攻撃被害に係る情報の共有・公表ガイダンス検討会に事務局として参加

2022年4月20日、総務省、経済産業省、警察庁、内閣サイバーセキュリティ
センターから、「サイバー攻撃被害に係る情報の共有・公表ガイダンス検討会
の開催について」と題する報道発表がなされました。当検討会の発足の運びは、
2020年度総務省調査研究事業としてJPCERT/CCが「サイバー攻撃被害情報の共
有と公表のあり方について」と題する調査・検討を行い、報告書にてサイバー
攻撃被害情報の共有と公表に係る目安となるガイダンスの必要性について提言
したもので、このたびJPCERT/CCが検討会の事務局を担うことになりました。
この提言を行うまでの過程などは、JPCERT/CCブログ「サイバー攻撃被害情報
の共有と公表のあり方について」として公開しています。

参考文献 (日本語)
JPCERT/CC
JPCERT/CCがサイバー攻撃被害に係る情報の共有・公表ガイダンス検討会に事務局として参加
https://www.jpcert.or.jp/press/2022/20220421-sharing_and_disclosure.html

JPCERT/CC
サイバー攻撃被害情報の共有と公表のあり方について
https://blogs.jpcert.or.jp/ja/2022/04/sharing_and_disclosure.html

目 次

【1】複数のマイクロソフト製品に脆弱性
【2】複数のアドビ製品に脆弱性
【3】Google Chromeに複数の脆弱性
【4】複数のCisco製品に脆弱性
【5】複数のJuniper Networks製品に脆弱性
【6】複数のCitrix製品に脆弱性
【7】Apache Struts 2に任意のコードが実行可能な脆弱性
【8】VMware Cloud Directorに任意のコードが実行可能な脆弱性
【今週のひとくちメモ】2022年1月～2022年3月分の「活動四半期レポート」「インシデント報告対応レポート」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr221601.html
https://www.jpcert.or.jp/wr/2022/wr221601.xml
============================================================================

【1】複数のマイクロソフト製品に脆弱性

情報源
CISA Current Activity
Microsoft Releases April 2022 Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/12/microsoft-releases-april-2022-security-updates

CISA Current Activity
Microsoft Releases Advisory to Address Critical Remote Code Execution Vulnerability (CVE-2022-26809)
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/13/microsoft-releases-advisory-address-critical-remote-code-execution

概要
複数のマイクロソフト製品には、脆弱性があります。結果として、遠隔の第三
者が任意のコードを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はマイクロソフト株式会社が提供
するアドバイザリ情報を参照してください。

この問題は、Microsoft Updateなどを用いて、更新プログラムを適用すること
で解決します。詳細は、マイクロソフト株式会社が提供する情報を参照してく
ださい。

関連文書 (日本語)
マイクロソフト株式会社
2022 年 4 月のセキュリティ更新プログラム
https://msrc.microsoft.com/update-guide/ja-JP/releaseNote/2022-Apr

JPCERT/CC 注意喚起
2022年4月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2022/at220010.html

【2】複数のアドビ製品に脆弱性

情報源
アドビ
Security update available for Adobe Commerce | APSB22-13
https://helpx.adobe.com/security/products/magento/apsb22-13.html

アドビ
Security update available for Adobe Acrobat and Reader | APSB22-16
https://helpx.adobe.com/security/products/acrobat/apsb22-16.html

アドビ
Security Updates Available for Adobe After Effects | APSB22-19
https://helpx.adobe.com/security/products/after_effects/apsb22-19.html

アドビ
Security update available for Adobe Photoshop | APSB22-20
https://helpx.adobe.com/security/products/photoshop/apsb22-20.html

概要
複数のアドビ製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Adobe Acrobat
- Adobe Acrobat Reader
- Adobe Commerce
- Adobe After Effects
- Adobe Photoshop

この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC 注意喚起
Adobe AcrobatおよびReaderの脆弱性（APSB22-16）に関する注意喚起
https://www.jpcert.or.jp/at/2022/at220009.html

JPCERT/CC CyberNewsFlash
複数のアドビ製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2022041301.html

【3】Google Chromeに複数の脆弱性

情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/15/google-releases-security-updates-chrome

概要
Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 100.0.4896.127より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/04/stable-channel-update-for-desktop_14.html

【4】複数のCisco製品に脆弱性

情報源
CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/14/cisco-releases-security-updates-multiple-products

概要
複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者が認証
を回避するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細や最新の情報については、Cisco
が提供するアドバイザリ情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供するアドバイザリ情報を参照して
ください。

関連文書 (英語)
Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

【5】複数のJuniper Networks製品に脆弱性

情報源
CISA Current Activity
Juniper Networks Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/14/juniper-networks-releases-security-updates-multiple-products

概要
複数のJuniper Networks製品には、脆弱性があります。結果として、遠隔の第
三者がサービス運用妨害（DoS）攻撃を行うなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はJuniper Networksが提供するア
ドバイザリ情報を参照してください。

この問題は、該当する製品をJuniper Networksが提供する修正済みのバージョ
ンに更新することで解決します。詳細は、Juniper Networksが提供する情報を
参照してください。

関連文書 (英語)
Juniper Networks
Juniper Support Portal Search Results - Security Advisories
https://kb.juniper.net/InfoCenter/index?page=content&channel=SECURITY_ADVISORIES

【6】複数のCitrix製品に脆弱性

情報源
CISA Current Activity
Citrix Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/12/citrix-releases-security-updates-multiple-products

概要
複数のCitrix製品には、脆弱性があります。結果として、当該製品にアクセス
したユーザーのウェブブラウザー上で、任意のスクリプトを実行されるなどの
可能性があります。

対象となる製品は、多岐にわたります。詳細はCitrixが提供する情報を参照し
てください。

この問題は、該当する製品をCitrixが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Citrixが提供する情報を参照してください。

関連文書 (英語)
Citrix
Citrix SD-WAN Security Bulletin for CVE-2022-27505 and CVE-2022-27506
https://support.citrix.com/article/CTX370550

Citrix
Citrix StoreFront Security Bulletin for CVE-2022-27503
https://support.citrix.com/article/CTX377814

Citrix
Citrix Endpoint Management (XenMobile Server) Security Bulletin for CVE-2021-44519, CVE-2021-44520, and CVE-2022-26151
https://support.citrix.com/article/CTX370551

Citrix
Citrix Gateway Plug-in for Windows Security Bulletin for CVE-2022-21827
https://support.citrix.com/article/CTX341455

【7】Apache Struts 2に任意のコードが実行可能な脆弱性

情報源
CISA Current Activity
Apache Releases Security Advisory for Struts 2
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/12/apache-releases-security-advisory-struts-2

概要
The Apache Software Foundationが提供するApache Struts 2には、不適切な
入力確認に起因する任意のコードが実行可能な脆弱性があります。結果として、
遠隔の第三者が、任意のコードを実行する可能性があります。

対象となるバージョンは次のとおりです。

- Apache Struts 2.0.0から2.5.29までのバージョン

この問題は、Apache Struts 2をThe Apache Software Foundationが提供する
修正済みのバージョンに更新することで解決します。詳細はThe Apache Software
Foundationが提供する情報を参照してください。

関連文書 (日本語)
Japan Vulnerability Notes JVNVU#96910606
Apache Struts 2において任意のコードを実行される脆弱性（S2-062）
https://jvn.jp/vu/JVNVU96910606/

JPCERT/CC 注意喚起
Apache Struts 2の脆弱性（S2-062）に関する注意喚起
https://www.jpcert.or.jp/at/2022/at220011.html

関連文書 (英語)
The Apache Software Foundation
S2-062
https://cwiki.apache.org/confluence/display/WW/S2-062

【8】VMware Cloud Directorに任意のコードが実行可能な脆弱性

情報源
CISA Current Activity
VMware Releases Security Updates for Cloud Director
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/15/vmware-releases-security-updates-cloud-director

概要
VMware Cloud Directorには、任意のコードが実行可能な脆弱性があります。
結果として、遠隔の第三者が該当するサーバーにアクセスする可能性がありま
す。

対象となるバージョンは次のとおりです。

- VMware Cloud Director バージョン10.3系
- VMware Cloud Director バージョン10.2系
- VMware Cloud Director バージョン10.1系

この問題は、該当する製品をVMwareが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、VMwareが提供する情報を参照してください。

関連文書 (英語)
VMware
VMSA-2022-0013
https://www.vmware.com/security/advisories/VMSA-2022-0013.html

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○2022年1月～2022年3月分の「活動四半期レポート」「インシデント報告対応レポート」を公開

2022年4月14日、JPCERT/CCは2022年1月～2022年3月分の「活動四半期レポート」
「インシデント報告対応レポート」を公開しました。本四半期中のJPCERT/CC
の国内外の活動に加え、JPCERT/CCが報告を受け付けたインシデントの統計や
事例などについてまとめています。参考資料としてご活用ください。

参考文献 (日本語)
JPCERT/CC
JPCERT/CC 活動四半期レポート [2022年1月1日～2022年3月31日]
https://www.jpcert.or.jp/pr/2022/PR_Report2021Q4.pdf

JPCERT/CC
JPCERT/CC インシデント報告対応レポート [2022年1月1日～2022年3月31日]
https://www.jpcert.or.jp/pr/2022/IR_Report2021Q4.pdf

目 次

【1】複数のMozilla製品に脆弱性
【2】Google Chromeに脆弱性
【3】複数のCitrix製品に脆弱性
【4】複数のVMware製品に脆弱性
【5】トレンドマイクロ製ウイルスバスター for Macに権限昇格の脆弱性
【今週のひとくちメモ】IPAが「組織における内部不正防止ガイドライン」第5版を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr221501.html
https://www.jpcert.or.jp/wr/2022/wr221501.xml
============================================================================

【1】複数のMozilla製品に脆弱性

情報源
CISA Current Activity
Mozilla Releases Security Updates for Firefox, Firefox ESR, and Thunderbird
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/06/mozilla-releases-security-updates-firefox-firefox-esr-and

概要
複数のMozilla製品には、脆弱性があります。結果として、第三者が製品をク
ラッシュさせるなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 99より前のバージョン
- Mozilla Firefox ESR 91.8より前のバージョン
- Mozilla Thunderbird 91.8より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)
Mozilla
Security Vulnerabilities fixed in Firefox 99
https://www.mozilla.org/en-US/security/advisories/mfsa2022-13/

Mozilla
Security Vulnerabilities fixed in Firefox ESR 91.8
https://www.mozilla.org/en-US/security/advisories/mfsa2022-14/

Mozilla
Security Vulnerabilities fixed in Thunderbird 91.8
https://www.mozilla.org/en-US/security/advisories/mfsa2022-15/

【2】Google Chromeに脆弱性

情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/06/google-releases-security-updates-chrome

概要
Google Chromeには、型の取り違えの脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 100.0.4896.75より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/04/stable-channel-update-for-desktop.html

【3】複数のCitrix製品に脆弱性

情報源
CISA Current Activity
Citrix Releases Security Updates for Hypervisor
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/06/citrix-releases-security-updates-hypervisor

概要
複数のCitrix製品には、脆弱性があります。結果として、ハイパーバイザーの
ホストがクラッシュするなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Citrix Hypervisor 8.2 CU1 LTSRより前のバージョン
- Citrix Hypervisor 8.2より前のバージョン
- Citrix XenServer 7.1 CU2 LTSRより前のバージョン

この問題は、該当する製品をCitrixが提供する修正済みのパッチを適用するこ
とで解決します。詳細は、Citrixが提供する情報を参照してください。

関連文書 (英語)
Citrix
Citrix Hypervisor Security Update
https://support.citrix.com/article/CTX390511

【4】複数のVMware製品に脆弱性

情報源
CISA Current Activity
VMware Releases Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/07/vmware-releases-security-updates

概要
複数のVMware製品には、脆弱性があります。結果として、遠隔の第三者がコー
ドを実行するなどの可能性があります。

対象となる製品は次のとおりです。対象となるバージョンは多岐にわたります。
詳細はVMwareが提供するアドバイザリ情報を参照してください。

- VMware Workspace ONE Access (Access)
- VMware Identity Manager (vIDM)
- VMware vRealize Automation (vRA)
- VMware Cloud Foundation
- vRealize Suite Lifecycle Manager
- VMware Horizon Client for Linux

この問題は、該当する製品をVMwareが提供する修正済みのバージョンに更新す
るか、回避策を適用することで解決します。詳細は、VMwareが提供する情報を
参照してください。

関連文書 (英語)
VMware
VMSA-2022-0011
https://www.vmware.com/security/advisories/VMSA-2022-0011.html

VMware
VMSA-2022-0012
https://www.vmware.com/security/advisories/VMSA-2022-0012.html

【5】トレンドマイクロ製ウイルスバスター for Macに権限昇格の脆弱性

情報源
Japan Vulnerability Notes JVNVU#97833256
トレンドマイクロ製ウイルスバスター for Macにおける権限昇格の脆弱性
https://jvn.jp/vu/JVNVU97833256/

概要
トレンドマイクロ株式会社が提供するウイルスバスター for Macには、権限昇
格の脆弱性があります。結果として、ローカルのユーザーが任意のコードを実
行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- ウイルスバスター for Mac バージョン11.5
- ウイルスバスター for Mac バージョン11.0

この問題は、該当する製品にトレンドマイクロ株式会社が提供する修正済みの
バージョンに更新することで解決します。詳細は、トレンドマイクロ株式会社
が提供する情報を参照してください。

関連文書 (日本語)
トレンドマイクロ株式会社
アラート/アドバイザリ：ウイルスバスター for Mac の脆弱性について(CVE-2022-27883)
https://helpcenter.trendmicro.com/ja-jp/article/TMKA-10976

――――――――――――――――――――――――――――――――――――――
■今週のひとくちメモ
――――――――――――――――――――――――――――――――――――――

○IPAが「組織における内部不正防止ガイドライン」第5版を公開

2022年4月6日、IPAが「組織における内部不正防止ガイドライン」第5版を公開。
5年ぶりの改訂となる本版では、個人情報保護法や不正競争防止法等の法改正
に伴い、事業環境の変化や技術の進歩を踏まえた対策などを追加しています。

参考文献 (日本語)
情報処理推進機構（IPA）
「組織における内部不正防止ガイドライン」第5版を公開
https://www.ipa.go.jp/about/press/20220406.html

目 次

【1】Google Chromeに複数の脆弱性
【2】複数のApple製品に脆弱性
【3】Spring Frameworkに任意のコード実行の脆弱性
【4】Trend Micro Apex CentralおよびTrend Micro Apex Central as a Serviceにファイルコンテンツの検証不備の脆弱性
【5】オムロン製CX-Positionに複数の脆弱性
【6】複数の三菱電機製FA製品に脆弱性
【7】アタッシェケースにDLL読み込み不備の脆弱性
【8】WordPress用プラグインAdvanced Custom Fieldsに認証欠如の脆弱性
【9】ぜろちゃんねるプラスにクロスサイトスクリプティングの脆弱性
【今週のひとくちメモ】IPAが「クラウドサービスのサプライチェーンリスクマネジメント調査」の結果を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※HTML 版および XML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2022/wr221401.html
https://www.jpcert.or.jp/wr/2022/wr221401.xml
============================================================================

【1】Google Chromeに複数の脆弱性

情報源
CISA Current Activity
Google Releases Security Updates for Chrome
https://www.cisa.gov/uscert/ncas/current-activity/2022/03/30/google-releases-security-updates-chrome

概要
Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 100.0.4896.60より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)
Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/03/stable-channel-update-for-desktop_29.html

【2】複数のApple製品に脆弱性

情報源
CISA Current Activity
Apple Releases Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/01/apple-releases-security-updates-0

概要
複数のApple製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- iOS 15.4.1より前のバージョン
- iPadOS 15.4.1より前のバージョン
- macOS Monterey 12.3.1より前のバージョン

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Apple製品のアップデートについて（2022年4月）
https://www.jpcert.or.jp/newsflash/2022040102.html

Apple
iOS 15.4.1 および iPadOS 15.4.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213219

Apple
macOS Monterey 12.3.1 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213220

【3】Spring Frameworkに任意のコード実行の脆弱性

情報源
Japan Vulnerability Notes JVNVU#94675398
Spring Frameworkにおける不適切なデータバインディング処理による任意コード実行の脆弱性
https://jvn.jp/vu/JVNVU94675398/

概要
Spring Frameworkには、データバインディングで使用するPropertyDescriptor
オブジェクトを安全に処理しない脆弱性があります。結果として、遠隔の第三
者がアプリケーションの権限で任意のコードを実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Spring Framework バージョン5.3.0から5.3.17
- Spring Framework バージョン5.2.0から5.2.19

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)
JPCERT/CC CyberNewsFlash
Spring Frameworkの任意のコード実行の脆弱性（CVE-2022-22965）について
https://www.jpcert.or.jp/newsflash/2022040101.html

関連文書 (英語)
VMWare
CVE-2022-22965: Spring Framework RCE via Data Binding on JDK 9+
https://tanzu.vmware.com/security/cve-2022-22965

VMWare
Spring Framework RCE, Early Announcement
https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement

【4】Trend Micro Apex CentralおよびTrend Micro Apex Central as a Serviceにファイルコンテンツの検証不備の脆弱性

情報源
Japan Vulnerability Notes JVNVU#99107357
Trend Micro Apex CentralおよびTrend Micro Apex Central as a Serviceにおけるファイルコンテンツの検証不備の脆弱性
https://jvn.jp/vu/JVNVU99107357/

概要
トレンドマイクロ株式会社が提供するTrend Micro Apex CentralおよびTrend
Micro Apex Central as a Service（Apex One SaaSのApex Central機能部分）
には、ファイルコンテンツの検証不備の脆弱性があります。結果として、遠隔
の第三者が任意のファイルをアップロードし、任意のコードを実行する可能性
があります。

対象となる製品およびバージョンは次のとおりです。

- Trend Micro Apex Central 2019 Build 6016より前のバージョン
- Trend Micro Apex Central as a Service（Apex One SaaSのApex Central機能部分）Build 202203より前のバージョン

この問題は、該当する製品にトレンドマイクロ株式会社が提供する修正パッチ
を適用することで解決します。詳細は、トレンドマイクロ株式会社が提供する
情報を参照してください。

関連文書 (日本語)
JPCERT/CC 注意喚起
Trend Micro Apex Central製品の脆弱性（CVE-2022-26871）に関する注意喚起
https://www.jpcert.or.jp/at/2022/at220008.html

トレンドマイクロ株式会社
アラート/アドバイザリ：CVE-2022-26871 Apex CentralおよびApex Central (SaaS)で任意のファイルがアップロードされる脆弱性について(2022年3月)
https://success.trendmicro.com/jp/solution/000290660

トレンドマイクロ株式会社
【注意喚起】Trend Micro Apex Centralの脆弱性を悪用した攻撃を確認したことによる修正プログラム適用のお願い（CVE-2022-26871)
https://appweb.trendmicro.com/supportNews/NewsDetail.aspx?id=4435

【5】オムロン製CX-Positionに複数の脆弱性

情報源
Japan Vulnerability Notes JVNVU#96756124
オムロン製CX-Positionにおける複数の脆弱性
https://jvn.jp/vu/JVNVU96756124/

概要
オムロン株式会社が提供するCX-Positionには、複数の脆弱性があります。結
果として、第三者が任意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- CX-Position 2.5.3およびそれ以前のバージョン

この問題は、該当する製品をオムロン株式会社が提供する修正済みのバージョ
ンに更新することで解決します。詳細は、オムロン株式会社が提供する情報を
参照してください。

関連文書 (日本語)
オムロン株式会社
CX-One バージョンアップ プログラム ダウンロード
https://www.fa.omron.co.jp/product/tool/26/cxone/one1.html

【6】複数の三菱電機製FA製品に脆弱性

情報源
Japan Vulnerability Notes JVNVU#96577897
三菱電機製FA製品における複数の脆弱性
https://jvn.jp/vu/JVNVU96577897/

概要
三菱電機株式会社が提供する複数のFA製品には、脆弱性があります。結果と
して、遠隔の第三者が当該製品へ不正ログインするなどの可能性があります。

対象となる製品は次のとおりです。

- iQ-Fシリーズ FX5U(C) CPUユニット 全機種 全バージョン
- iQ-Fシリーズ FX5UJ CPUユニット 全機種 全バージョン

この問題について、三菱電機株式会社より脆弱性の影響を軽減するための回避
策に関する情報が提供されています。詳細は、三菱電機株式会社が提供する情
報を参照してください。

関連文書 (日本語)
三菱電機株式会社
複数の FA 製品における認証回避、情報漏えい及び情報改ざんの脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-031.pdf

【7】アタッシェケースにDLL読み込み不備の脆弱性

情報源
Japan Vulnerability Notes JVN#10140834
アタッシェケースにおける DLL 読み込みに関する脆弱性
https://jvn.jp/jp/JVN10140834/

概要
HiBARA Softwareが提供するアタッシェケースには、DLL読み込みに関する脆弱
性があります。結果として、第三者がアタッシュケースの実行ファイルを実行
している権限で、任意のコードを実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- アタッシェケース ver.4.0.2.7およびそれ以前のバージョン
- アタッシェケース ver.3.6.1.0およびそれ以前のバージョン

この問題は、該当する製品をHiBARA Softwareが提供する修正済みのバージョ
ンに更新することで解決します。詳細は、HiBARA Softwareが提供する情報を
参照してください。

関連文書 (日本語)
HiBARA Software
アタッシェケース４（ 正式版 ）
https://hibara.org/software/attachecase/

【8】WordPress用プラグインAdvanced Custom Fieldsに認証欠如の脆弱性

情報源
Japan Vulnerability Notes JVN#42543427
WordPress 用プラグイン Advanced Custom Fields における認証欠如の脆弱性
https://jvn.jp/jp/JVN42543427/

概要
WordPress用プラグインAdvanced Custom Fieldsには、認証欠如の脆弱性があ
ります。結果として、遠隔の第三者がデータベース上のアクセス権限のないデー
タを閲覧する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Advanced Custom Fields 5.12.1より前のバージョン
- Advanced Custom Fields Pro 5.12.1より前のバージョン

この問題は、該当する製品をDelicious Brainsが提供する修正済みのバージョ
ンに更新することで解決します。詳細は、Delicious Brainsが提供する情報を
参照してください。

関連文書 (日本語)
Delicious Brains
Advanced Custom Fields
https://ja.wordpress.org/plugins/advanced-custom-fields/

関連文書 (英語)
Delicious Brains
Edit smarter with Advanced Custom Fields for WordPress Developers.
https://www.advancedcustomfields.com/

【9】ぜろちゃんねるプラスにクロスサイトスクリプティングの脆弱性

情報源
Japan Vulnerability Notes JVN#59576930
ぜろちゃんねるプラスにおけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN59576930/

概要
ぜろちゃんねるプラスには、クロスサイトスクリプティングの脆弱性がありま
す。結果として、当該製品の管理画面にアクセスしたユーザーのウェブブラウ
ザー上で、任意のスクリプトを実行され、管理アカウントを作成されるなどの
可能性があります。

対象となる製品およびバージョンは次のとおりです。

- ぜろちゃんねるプラス 0.7.4およびそれ以前のバージョン

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)
ぜろちゃんねるプラス開発チーム
zerochplus 0.7.5
https://osdn.net/projects/zerochplus/releases/77053