<<< JPCERT/CC WEEKLY REPORT 2020-03-25 >>>

■03/15(日)〜03/21(土) のセキュリティ関連情報

目　次

【1】複数の Adobe 製品に脆弱性

【2】Google Chrome に複数の脆弱性

【3】複数の VMware 製品に脆弱性

【4】Drupal のサードパーティライブラリ CKEditor にクロスサイトスクリプティングの脆弱性

【5】Cisco SD-WAN Solution に複数の脆弱性

【6】複数のトレンドマイクロ製品に脆弱性

【今週のひとくちメモ】JPCERT/CC Eyes「JPCERT/CCに報告されたフィッシングサイトの傾向」を公開

【1】複数の Adobe 製品に脆弱性

情報源

US-CERT Current Activity
Adobe Releases Security Updates for Multiple Products
https://www.us-cert.gov/ncas/current-activity/2020/03/18/adobe-releases-security-updates-multiple-products

概要

複数の Adobe 製品には、脆弱性があります。結果として、第三者が該当する
製品を実行しているユーザの権限で任意のコードを実行するなどの可能性があ
ります。

対象となる製品は次のとおりです。

- Adobe Genuine Integrity Service
- Adobe Acrobat Reader DC Continuous
- Adobe Acrobat Reader 2017 Classic 2017
- Adobe Acrobat Reader 2015 Classic 2015
- Adobe Acrobat DC Continuous
- Adobe Acrobat 2017 Classic 2017
- Adobe Acrobat 2015 Classic 2015
- Adobe Photoshop CC 2019
- Adobe Photoshop 2020
- Adobe Experience Manager
- Adobe ColdFusion 2016
- Adobe ColdFusion 2018
- Adobe Bridge

この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新
することで解決します。詳細は、Adobe が提供する情報を参照してください。

関連文書 (日本語)

JPCERT/CC 注意喚起
Adobe Acrobat および Reader の脆弱性 (APSB20-13) に関する注意喚起
https://www.jpcert.or.jp/at/2020/at200014.html

JPCERT/CC CyberNewsFlash
複数の Adobe 製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2020031901.html

関連文書 (英語)

Adobe
Security Updates Available for Adobe Genuine Integrity Service | APSB20-12
https://helpx.adobe.com/security/products/integrity_service/apsb20-12.html

Adobe
Security Bulletin for Adobe Acrobat and Reader | APSB20-13
https://helpx.adobe.com/security/products/acrobat/apsb20-13.html

Adobe
Security updates available for Adobe Photoshop | APSB20-14
https://helpx.adobe.com/security/products/photoshop/apsb20-14.html

Adobe
Security updates available for Adobe Experience Manager | APSB20-15
https://helpx.adobe.com/security/products/experience-manager/apsb20-15.html

Adobe
Security updates available for ColdFusion | APSB20-16
https://helpx.adobe.com/security/products/coldfusion/apsb20-16.html

Adobe
Security Updates Available for Adobe Bridge | APSB20-17
https://helpx.adobe.com/security/products/bridge/apsb20-17.html

【2】Google Chrome に複数の脆弱性

情報源

US-CERT Current Activity
Google Releases Security Updates for Chrome
https://www.us-cert.gov/ncas/current-activity/2020/03/19/google-releases-security-updates-chrome

概要

Google Chrome には、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Chrome 80.0.3987.149 より前のバージョン

この問題は、Google Chrome を Google が提供する修正済みのバージョンに更
新することで解決します。詳細は、Google が提供する情報を参照してくださ
い。

関連文書 (英語)

Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2020/03/stable-channel-update-for-desktop_18.html

【3】複数の VMware 製品に脆弱性

情報源

US-CERT Current Activity
VMware Releases Security Updates for Multiple Products
https://www.us-cert.gov/ncas/current-activity/2020/03/16/vmware-releases-security-updates-multiple-products

概要

複数の VMware 製品には、脆弱性があります。結果として、第三者が、任意の
コマンドを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの
可能性があります。

対象となる製品およびバージョンは次のとおりです。

- VMware Workstation Pro / Player 15 系のバージョン (Windows)
- VMware Fusion Pro / Fusion 11 系のバージョン (Mac)
- VMware Remote Console for Mac 11 系のバージョンおよびそれ以前
- VMware Horizon Client for Mac 5 系のバージョンおよびそれ以前
- VMware Horizon Client for Windows 5 系のバージョンおよびそれ以前

この問題は、該当する製品を VMware が提供する修正済みのバージョンに更
新することで解決します。詳細は、VMware が提供する情報を参照してくださ
い。

関連文書 (英語)

VMware Security Advisories
VMSA-2020-0005.2
https://www.vmware.com/security/advisories/VMSA-2020-0005.html

【4】Drupal のサードパーティライブラリ CKEditor にクロスサイトスクリプティングの脆弱性

情報源

US-CERT Current Activity
Drupal Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/03/19/drupal-releases-security-updates

概要

Drupal が使用するサードパーティライブラリ CKEditor には、クロスサイト
スクリプティングの脆弱性があります。結果として、遠隔の第三者がユーザ
のブラウザ上で任意のコードを実行する可能性があります。

対象となるバージョンは次のとおりです。

- Drupal 8.8.4 より前の 8.8 系のバージョン
- Drupal 8.7.12 より前の 8.7 系のバージョン

この問題は、Drupal を Drupal が提供する修正済みのバージョンに更新する
ことで解決します。詳細は、Drupal が提供する情報を参照してください。

関連文書 (英語)

Drupal
Drupal core - Moderately critical - Third-party library - SA-CORE-2020-001
https://www.drupal.org/sa-core-2020-001

CKSource
CKEditor 4.14 with Paste from LibreOffice released
https://ckeditor.com/blog/CKEditor-4.14-with-Paste-from-LibreOffice-released/#security-issues-fixed

【5】Cisco SD-WAN Solution に複数の脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Updates for SD-WAN Solution Software
https://www.us-cert.gov/ncas/current-activity/2020/03/19/cisco-releases-security-updates-sd-wan-solution-software

概要

Cisco SD-WAN Solution には、複数の脆弱性があります。結果として、第三者
が、任意のコマンドを実行したり、情報を摂取したりするなどの可能性があり
ます。

影響度 High の脆弱性情報の対象となる製品およびバージョンは次のとおりです。

Cisco SD-WAN Solution ソフトウエア 19.2.2 より前のバージョンが動作する次の製品

- vBond Orchestrator Software
- vEdge 100 Series Routers
- vEdge 1000 Series Routers
- vEdge 2000 Series Routers
- vEdge 5000 Series Routers
- vEdge Cloud Router Platform
- vManage Network Management System
- vManage Network Management Software
- vSmart Controller Software

※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、
影響度 Medium の複数の脆弱性情報が公開されています。詳細は、Cisco が提
供する情報を参照してください。

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

関連文書 (英語)

Cisco Security Advisory
Cisco SD-WAN Solution Privilege Escalation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwpresc-ySJGvE9

Cisco Security Advisory
Cisco SD-WAN Solution Command Injection Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwclici-cvrQpH9v

Cisco Security Advisory
Cisco SD-WAN Solution Buffer Overflow Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwanbo-QKcABnS2

【6】複数のトレンドマイクロ製品に脆弱性

情報源

Japan Vulnerability Notes JVNVU#91632701
Apex One およびウイルスバスター コーポレートエディションにおける複数の脆弱性
https://jvn.jp/vu/JVNVU91632701/

Japan Vulnerability Notes JVNVU#98100897
ウイルスバスター ビジネスセキュリティにおける複数の脆弱性
https://jvn.jp/vu/JVNVU98100897/

概要

複数のトレンドマイクロ製品には、脆弱性があります。結果として、遠隔の第
三者が任意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Apex One 2019
- ウイルスバスターコーポレートエディション XG SP1 および XG 
- ウイルスバスタービジネスセキュリティ 10.0 SP1、9.5 および 9.0 SP3

この問題は、該当する製品をトレンドマイクロ株式会社が提供するパッチを適
用することで解決します。詳細は、トレンドマイクロ株式会社が提供する情報
を参照してください。

関連文書 (日本語)

トレンドマイクロ株式会社
アラート/アドバイザリ: Apex Oneとウイルスバスターコーポレートエディションで確認された深刻度の高い複数の脆弱性について
https://success.trendmicro.com/jp/solution/000244253

トレンドマイクロ株式会社
アラート/アドバイザリ: ウイルスバスター ビジネスセキュリティで確認された深刻度の高い複数の脆弱性について
https://success.trendmicro.com/jp/solution/000244836

トレンドマイクロ株式会社
【注意喚起】Trend Micro Apex One およびウイルスバスター コーポレートエディションの脆弱性(CVE-2020-8467, CVE-2020-8468)を悪用した攻撃を確認したことによる最新修正プログラム適用のお願い
https://appweb.trendmicro.com/SupportNews/NewsDetail.aspx?id=3722

トレンドマイクロ株式会社
【注意喚起】ウイルスバスター ビジネスセキュリティの脆弱性(CVE-2020-8468)を悪用した攻撃を確認したことによる最新修正プログラム適用のお願い
https://appweb.trendmicro.com/SupportNews/NewsDetail.aspx?id=3729

JPCERT/CC 注意喚起
Apex One およびウイルスバスター コーポレートエディションの脆弱性 (CVE-2020-8467、CVE-2020-8468) に関する注意喚起
https://www.jpcert.or.jp/at/2020/at200012.html

JPCERT/CC 注意喚起
ウイルスバスター ビジネスセキュリティの脆弱性 (CVE-2020-8468) に関する注意喚起
https://www.jpcert.or.jp/at/2020/at200013.html

■今週のひとくちメモ

○JPCERT/CC Eyes「JPCERT/CCに報告されたフィッシングサイトの傾向」を公開

2020年3月19日、JPCERT/CC は、公式ブログ JPCERT/CC Eyes にて「JPCERT/CC
に報告されたフィッシングサイトの傾向」を公開しました。これまで
JPCERT/CC に寄せられたインシデント報告のうち、フィッシングサイトの報告
の傾向についてまとめた内容になっています。近年の攻撃傾向が読み取れる情
報になっていますので、ぜひご一読ください。

参考文献 (日本語)

JPCERT/CC Eyes
JPCERT/CCに報告されたフィッシングサイトの傾向
https://blogs.jpcert.or.jp/ja/2020/03/phishing2019.html

■JPCERT/CC からのお願い