US-CERT Current Activity
Microsoft Releases April 2020 Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/04/14/microsoft-releases-april-2020-security-updates

概要

複数の Microsoft 製品には脆弱性があります。結果として、遠隔の第三者が
任意のコードを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- Microsoft Windows
- Microsoft Edge (EdgeHTML ベース)
- Microsoft Edge (Chromium ベース)
- ChakraCore
- Internet Explorer
- Microsoft Office、Microsoft Office Services および Web Apps
- Windows Defender
- Visual Studio
- Microsoft Dynamics
- Android 向け Microsoft アプリ
- Mac 向け Microsoft アプリ

この問題は、Microsoft Update 等を用いて、更新プログラムを適用すること
で解決します。詳細は、Microsoft が提供する情報を参照してください。

【2】2020年 4月 Oracle Critical Patch Update について

情報源

US-CERT Current Activity
Oracle Releases April 2020 Security Bulletin
https://www.us-cert.gov/ncas/current-activity/2020/04/15/oracle-releases-april-2020-security-bulletin

概要

Oracle から複数の製品およびコンポーネントに含まれる脆弱性に対応した
Oracle Critical Patch Update Advisory が公開されました。

詳細は、Oracle が提供する情報を参照してください。

【3】複数の Intel 製品に脆弱性

情報源

US-CERT Current Activity
Intel Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/04/14/intel-releases-security-updates

Japan Vulnerability Notes JVNVU#97303667
Intel 製品に複数の脆弱性
https://jvn.jp/vu/JVNVU97303667/

概要

複数の Intel 製品には、脆弱性があります。結果として、第三者が、権限を
昇格したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があります。

影響を受ける製品やバージョンは多岐に渡ります。対象製品の詳細は、Intel
が提供するアドバイザリ情報を参照してください。

【4】複数の Cisco 製品に脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.us-cert.gov/ncas/current-activity/2020/04/16/cisco-releases-security-updates-multiple-products

概要

複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするな
どの可能性があります。

影響度 Critical および High の脆弱性情報に記載されている製品は次のとお
りです。

- IP Phone 7811, 7821, 7841, 7861
- IP Phone 8811, 8841, 8845, 8851, 8861, 8865
- Unified IP Conference Phone 8831
- Wireless IP Phone 8821 and 8821-EX
- UCS Director
- UCS Director Express for Big Data
- Wireless LAN Controller
- Webex Network Recording Player for Microsoft Windows
- Webex Player for Microsoft Windows
- Mobility Express Software が稼働する次の製品
    - Aironet 1540 Series Access Points
    - Aironet 1560 Series Access Points
    - Aironet 1800 Series Access Points
    - Aironet 2800 Series Access Points
    - Aironet 3800 Series Access Points
    - Aironet 4800 Series Access Points
    - Catalyst IW6300 Access Points
    - 6300 Embedded Services Access Points
- IoT Field Network Director
- Unified Communications Manager
- Unified Communications Manager Session Management Edition
- Cisco Aironet Series Access Points Software が稼働する次の製品
    - Aironet 1540 Series Access Points
    - Aironet 1800 Series Access Points

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

【5】複数の Adobe 製品に脆弱性

情報源

US-CERT Current Activity
Adobe Releases Security Updates for Multiple Products
https://www.us-cert.gov/ncas/current-activity/2020/04/14/adobe-releases-security-updates-multiple-products

概要

複数の Adobe 製品には、脆弱性があります。結果として、第三者が、権限を
昇格したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可能性があ
ります。

対象となる製品およびバージョンは次のとおりです。

- Adobe ColdFusion 2016 Update 14 およびそれ以前
- Adobe ColdFusion 2018 Update 8 およびそれ以前
- Adobe After Effects 17.0.1 およびそれ以前 (Windows)
- Adobe Digital Editions 4.5.11.187212 およびそれ以前 (Windows)

この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新
することで解決します。詳細は、Adobe が提供する情報を参照してください。

【6】Google Chrome に解放済みメモリ使用 (use-after-free) の脆弱性

情報源

US-CERT Current Activity
Google Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/04/16/google-releases-security-updates

概要

Google Chrome には、解放済みメモリ使用 (use-after-free) に関する脆弱性
があります。

対象となるバージョンは次のとおりです。

- Google Chrome 81.0.4044.113 より前のバージョン

この問題は、Google Chrome を Google が提供する修正済みのバージョンに更
新することで解決します。詳細は、Google が提供する情報を参照してくださ
い。

【7】VMware vRealize Log Insight に複数の脆弱性

情報源

US-CERT Current Activity
VMware Releases Security Updates for vRealize Log Insight
https://www.us-cert.gov/ncas/current-activity/2020/04/14/vmware-releases-security-updates-vrealize-log-insight

概要

VMware vRealize Log Insight には、複数の脆弱性があります。結果として、
遠隔の第三者が、ユーザのブラウザ上で任意のスクリプトを実行するなどの可
能性があります。

対象となるバージョンは次のとおりです。

- VMware vRealize Log Insight 8.0.0
- VMware vRealize Log Insight 4.x.y 系のバージョン

この問題は、 VMware vRealize Log Insight を VMware が提供する修正済み
のバージョンに更新することで解決します。詳細は、VMware が提供する情報
を参照してください。

【8】PHP に領域外のメモリに対する読み込みが可能な脆弱性

情報源

The PHP Group
PHP 7.2.30 Release Announcement
https://www.php.net/archive/2020.php#2020-04-17-1

The PHP Group
PHP 7.3.17 Released
https://www.php.net/archive/2020.php#2020-04-16-1

The PHP Group
PHP 7.4.5 Released
https://www.php.net/archive/2020.php#2020-04-16-2

概要

PHP には、領域外のメモリに対する読み込みが可能な脆弱性があります。結果
として、第三者が情報を窃取する可能性があります。

対象となるバージョンは次のとおりです。

- PHP 7.2.30 より前のバージョン
- PHP 7.3.17 より前のバージョン
- PHP 7.4.5 より前のバージョン

この問題は、PHP を開発者や配布元が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者や配布元が提供する情報を参照してくだ
さい。

【9】Apple Xcode に不適切な入力確認に起因する情報漏えいの脆弱性

情報源

US-CERT Current Activity
Apple Releases Security Update for Xcode
https://www.us-cert.gov/ncas/current-activity/2020/04/17/apple-releases-security-update-xcode

Japan Vulnerability Notes JVNVU#95670817
Apple Xcode における脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU95670817/

概要

Apple の Xcode には、Xcode に内包された git が使用している credential
helper プログラムの脆弱性に起因する問題があります。結果として、第三者
が改行文字を含む特別に細工した URL を処理することで、git の認証情報を
窃取する可能性があります。

対象となるバージョンは次のとおりです。

- Xcode 11.4.1 より前のバージョン

この問題は、Xcode を Apple が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、Apple が提供する情報を参照してください。

【10】ICS-CERTが公開した制御システムの脆弱性

情報源

Industrial Control Systems
ICS-CERT Alerts
https://www.us-cert.gov/ics/alerts

概要

ICS-CERT は、制御システムの脆弱性情報を公開しました。

対象となる製品は次のとおりです。

- Eaton
    - HMiSoft VU3
- Triangle MicroWorks 
    - DNP3 Outstation Libraries
    - SCADA Data Gateway
- Siemens
    - Climatix
    - IE/PB-Link
    - RUGGEDCOM
    - SCALANCE
    - SIMATIC
    - SINEMA
    - SIMOTICS
    - Desigo
    - APOGEE
    - TALON
    - KTK
    - SIDOOR
    - SINAMICS
    - TIM 3V-IE
    - TIM 4R-IE

影響を受ける製品のバージョンや脆弱性の詳細は、ICS-CERT が提供するアド
バイザリ情報や開発者の情報を参照してください。

【11】Pulse Connect Secure の脆弱性への対策や侵害有無などの確認を

情報源

US-CERT Alert (AA20-107A)
Continued Threat Actor Exploitation Post Pulse Secure VPN Patching
https://www.us-cert.gov/ncas/alerts/aa20-107a

概要

2020年4月16日 (米国時間)、US-CERT (CISA) は Pulse Connect Secure の脆
弱性 (CVE-2019-11510) を悪用した攻撃について、脆弱性の悪用方法や対策方
法をまとめた注意喚起 (AA20-107A) を発行しました。本注意喚起では、同脆
弱性を悪用してシステムからユーザや管理者アカウントのパスワード情報を窃
取する事例などを紹介しています。また、CISA が観測している事案における、
侵害後の悪用内容や IoC が公開されており、利用者に対し、アップデートや
侵害有無の確認などを行うことが呼びかけられています。

新型コロナウイルス感染症 (COVID-19) の感染拡大防止のため、テレワークの
必要性が増す一方、脆弱な状態のままテレワーク環境を運用していると、情報
セキュリティ上のリスクも増加します。今一度対策状況をご確認ください。

■今週のひとくちメモ

○長期休暇に備えて 2020/04

2020年4月14日、JPCERT/CC は「長期休暇に備えて 2020/04」を公開しました。
この呼びかけでは、JPCERT/CC が報告を受けた複数のインシデントを例に挙げ、
インシデント発生の予防および緊急時の対応に関して、対策などの要点をまと
めて記載しています。休暇期間中のインシデント発生に備え、自組織のセキュ
リティ対策や対応を今一度ご確認ください。

参考文献 (日本語)

JPCERT/CC CyberNewsFlash
長期休暇に備えて 2020/04
https://www.jpcert.or.jp/newsflash/2020041401.html

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2020-04-22号

<<< JPCERT/CC WEEKLY REPORT 2020-04-22 >>>

■04/12(日)〜04/18(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

○長期休暇に備えて 2020/04

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次