US-CERT Current Activity
Google Releases Security Updates for Chrome
https://www.us-cert.gov/ncas/current-activity/2020/04/01/google-releases-security-updates-chrome

概要

Google Chrome には、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Chrome 80.0.3987.162 より前のバージョン

この問題は、Google Chrome を Google が提供する修正済みのバージョンに更
新することで解決します。詳細は、Google が提供する情報を参照してくださ
い。

【2】複数の Mozilla 製品に解放済みメモリ使用 (Use-after-free) の脆弱性

情報源

US-CERT Current Activity
Mozilla Patches Critical Vulnerabilities in Firefox, Firefox ESR
https://www.us-cert.gov/ncas/current-activity/2020/04/03/mozilla-patches-critical-vulnerabilities-firefox-firefox-esr

概要

複数の Mozilla 製品には、解放済みメモリ使用 (Use-after-free) の脆弱性
があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 74.0.1 より前のバージョン
- Mozilla Firefox ESR 68.6.1 より前のバージョン

この問題は、該当する製品を Mozilla が提供する修正済みのバージョンに更
新することで解決します。詳細は、Mozilla が提供する情報を参照してくださ
い。

【3】ヤマハ製の複数のネットワーク機器にサービス運用妨害 (DoS) の脆弱性

情報源

Japan Vulnerability Notes JVN#38732359
ヤマハ製の複数のネットワーク機器におけるサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/jp/JVN38732359/

概要

ヤマハ株式会社が提供する複数のネットワーク機器には、サービス運用妨害
(DoS) の脆弱性があります。

対象となる製品およびバージョンは次のとおりです。

- ヤマハ LTEアクセスVoIPルーター
  - NVR700W ファームウェア Rev.15.00.15 およびそれ以前
- ヤマハ ギガアクセスVoIPルーター
  - NVR510 ファームウェア Rev.15.01.14 およびそれ以前
- ヤマハ ギガアクセスVPNルーター
  - RTX810 ファームウェア Rev.11.01.33 およびそれ以前
  - RTX830 ファームウェア Rev.15.02.09 およびそれ以前
  - RTX1200 ファームウェア Rev.10.01.76 およびそれ以前
  - RTX1210 ファームウェア Rev.14.01.33 およびそれ以前
  - RTX3500 ファームウェア Rev.14.00.26 およびそれ以前
  - RTX5000 ファームウェア Rev.14.00.26 およびそれ以前
- ヤマハ ブロードバンドVoIPルーター
  - NVR500 ファームウェア Rev.11.00.38 およびそれ以前
- ヤマハ ファイアウォール
  - FWX120 ファームウェア Rev.11.03.27 およびそれ以前

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

【4】三菱電機製 MELSEC シリーズの MELSOFT 交信ポートにリソース枯渇の脆弱性

情報源

Japan Vulnerability Notes JVNVU#91553662
三菱電機製 MELSEC シリーズの MELSOFT 交信ポートにおけるリソース枯渇の脆弱性
https://jvn.jp/vu/JVNVU91553662/

概要

三菱電機株式会社が提供する複数の MELSEC シリーズの MELSOFT 交信ポート
(UDP/IP) には、リソース枯渇の脆弱性があります。結果として、遠隔の第三
者がサービス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となる製品は次のとおりです。

- 次の MELSEC シリーズ製品において、Ethernet ポートに MELSOFT 交信ポート (UDP/IP) を持つユニット
  - MELSEC iQ-R シリーズ
  - MELSEC iQ-F シリーズ
  - MELSEC Q シリーズ
  - MELSEC L シリーズ
  - MELSEC F シリーズ

この問題について、脆弱性の影響を軽減するため、開発者は次のような回避策
の実施を推奨しています。詳細は、開発者が提供する情報を参照してください。

  - ファイアウォールを設置し、ネットワーク経由の外部機器からのアクセスを制限する
  - IP フィルタ機能を使用し、接続可能な IP アドレスを制限する

【5】複数の DrayTek 製品に脆弱性

情報源

US-CERT Current Activity
MS-ISAC Releases Advisory on DrayTek Devices
https://www.us-cert.gov/ncas/current-activity/2020/04/01/ms-isac-releases-advisory-draytek-devices

概要

複数の DrayTek 製品には、脆弱性があります。結果として、遠隔の第三者が
任意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Vigor300B ファームウエア 1.5.1 より前のバージョン
- Vigor2960 ファームウエア 1.5.1 より前のバージョン
- Vigor3900 ファームウエア 1.5.1 より前のバージョン

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

【6】Vertiv Avocent UMG-4000 に複数の脆弱性

情報源

CERT/CC Vulnerability Note VU#944837
Vertiv Avocent UMG-4000 vulnerable to command injection and cross-site scripting vulnerabilities
https://kb.cert.org/vuls/id/944837/

概要

Vertiv Avocent Universal Management Gateway UMG-4000 には、複数の脆弱
性があります。結果として、administrator として認証された遠隔の第三者が、
root 権限で任意のコマンドを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- UMG-4000 version 4.2.1.19

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

【7】Versiant LYNX Customer Service Portal にクロスサイトスクリプティングの脆弱性

情報源

CERT/CC Vulnerability Note VU#962085
Versiant LYNX Customer Service Portal is vulnerable to stored cross-site scripting
https://www.kb.cert.org/vuls/id/962085/

概要

Versiant LYNX Customer Service Portal には、クロスサイトスクリプティン
グの脆弱性があります。結果として、第三者が、当該製品にログインしている
ユーザのウェブブラウザ上で、任意のスクリプトを実行する可能性があります。

対象となるバージョンは次のとおりです。

- Versiant LYNX Customer Service Portal バージョン 3.5.2

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

【8】複数の BD 製品に保護メカニズムの不具合の脆弱性

情報源

ICS Medical Advisory (ICSMA-20-091-01)
BD Pyxis MedStation and Pyxis Anesthesia (PAS) ES System
https://www.us-cert.gov/ics/advisories/icsma-20-091-01

概要

複数の BD 製品には、保護メカニズムの不具合の脆弱性があります。結果とし
て、第三者が、機微な情報を閲覧したり、改ざんしたりする可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Pyxis MedStation ES System v1.6.1
- Pyxis Anesthesia (PAS) ES System v1.6.1

この問題について、開発者はセキュリティアップデートのリリースを予定して
いるとのことです。また、開発者は、次のような回避策の実施を推奨していま
す。詳細は、開発者が提供する情報を参照してください。

- 製品への物理的なアクセスを、許可されたユーザのみに制限する
- 信頼できるシステムへのみ、製品を接続する
- 製品の計画外の再起動を監視や調査する

【9】HiOS および HiSecOS にバッファオーバーフローの脆弱性

情報源

ICS Advisory (ICSA-20-091-01)
Hirschmann Automation and Control HiOS and HiSecOS Products
https://www.us-cert.gov/ics/advisories/icsa-20-091-01

概要

産業用ルータ向け OS である HiOS および HiSecOS を搭載した製品の Web サー
バには、バッファオーバーフローの脆弱性があります。結果として、遠隔の第
三者が、細工した HTTP リクエストを送信することで、任意のコードを実行す
る可能性があります。

対象となる製品およびバージョンは次のとおりです。

- HiOS バージョン 07.0.02 およびそれ以前を使用している次の製品
  - RSP, RSPE, RSPS, RSPL, MSP, EES, EES, EESX, GRS, OS, RED
- HiSecOS バージョン 03.2.00 およびそれ以前を使用している次の製品
  - EAGLE20, EAGLE30

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

■今週のひとくちメモ

○Youtube で Japan Security Analyst Conference 2020 講演動画を公開

2020年3月30日、JPCERT/CC は Japan Security Analyst Conference 2020
(JSAC2020) の講演動画を Youtube に公開しました。JSAC2020 の講演レポー
トは JPCERT/CC Eyes ブログで、講演資料は JSAC2020 の公式サイトに公開さ
れています。講演にご参加いただけなかった方も、一部講演の様子を動画で視
聴いただけます。ぜひご確認ください。

参考文献 (日本語)

JPCERT/CC
Japan Security Analyst Conference 2020
https://www.youtube.com/playlist?list=PLgEi6O-lWUIYt_UVpdZ-yNT-aNkC9ORbR

JPCERT/CC
Japan Security Analyst Conference 2020 開催レポートを公開
https://www.jpcert.or.jp/tips/2020/wr200801.html

JPCERT/CC
Japan Security Analyst Conference 2020
https://jsac.jpcert.or.jp/

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2020-04-08号

<<< JPCERT/CC WEEKLY REPORT 2020-04-08 >>>

■03/29(日)〜04/04(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

○Youtube で Japan Security Analyst Conference 2020 講演動画を公開

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次