US-CERT Current Activity
ISC Releases Security Advisory for BIND
https://www.us-cert.gov/ncas/current-activity/2020/05/20/isc-releases-security-advisory-bind

概要

ISC BIND 9 には、複数の脆弱性があります。結果として、遠隔の第三者がサー
ビス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは次のとおりです。

- BIND 9.16 系 9.16.0 から 9.16.2 まで
- BIND 9.14 系 9.14.0 から 9.14.11 まで
- BIND 9.11 系 9.11.0 から 9.11.18 まで
- BIND Supported Preview Edition 9.9.3-S1 から 9.11.18-S1 まで

なお、既にサポートが終了している BIND 9.10 系以前や 9.12 系、9.13 系、
9.15 系および開発版の 9.17 系についても本脆弱性の影響を受けます。

この問題は、ISC BIND を ISC が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、ISC が提供する情報を参照してください。

【2】Windows DNS Server にサービス運用妨害 (DoS) の脆弱性

情報源

US-CERT Current Activity
Microsoft Releases Security Advisory for Windows DNS Servers
https://www.us-cert.gov/ncas/current-activity/2020/05/20/microsoft-releases-security-advisory-windows-dns-servers

概要

Windows DNS Server には、脆弱性があります。結果として、遠隔の第三者が
サービス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは次のとおりです。

- Windows DNS Server すべてのバージョン

この問題について、Microsoft によると、Windows DNS Server で Response
Rate Limiting (RRL) を有効にすることで、脆弱性の影響を軽減することがで
きるとのことです。詳細は、Microsoft が提供する情報を参照してください。

【3】Google Chrome に複数の脆弱性

情報源

US-CERT Current Activity
Google Releases Security Updates for Chrome
https://www.us-cert.gov/ncas/current-activity/2020/05/20/google-releases-security-updates-chrome

概要

Google Chrome には、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 83.0.4103.61 より前のバージョン

この問題は、Google Chrome を Google が提供する修正済みのバージョンに更
新することで解決します。詳細は、Google が提供する情報を参照してくださ
い。

【4】vCloud Director にコードインジェクションの脆弱性

情報源

US-CERT Current Activity
VMware Releases Security Update for Cloud Director
https://www.us-cert.gov/ncas/current-activity/2020/05/20/vmware-releases-security-update-cloud-director

概要

vCloud Director には、コードインジェクションの脆弱性があります。結果と
して、遠隔の第三者が任意のコードを実行する可能性があります。

対象となるバージョンは次のとおりです。

- vCloud Director 10.0 系 (Linux,PhotonOS)
- vCloud Director 9.7 系 (Linux,PhotonOS)
- vCloud Director 9.5 系 (Linux,PhotonOS)
- vCloud Director 9.1 系 (Linux)

この問題は、vCloud Director (10.1.0 以降のバージョンでは VMware Cloud
Director に改称) に VMware が提供するパッチを適用したり、回避策を適用
したりすることで解決します。詳細は、VMware が提供する情報を参照してく
ださい。

【5】複数の Adobe 製品に脆弱性

情報源

US-CERT Current Activity
Adobe Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/05/20/adobe-releases-security-updates

JPCERT/CC CyberNewsFlash
複数の Adobe 製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2020052101.html

概要

複数の Adobe 製品には、脆弱性があります。結果として、遠隔の第三者が任
意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Adobe Character Animator 2020 3.2 およびそれ以前 (Windows)
- Adobe Premiere Pro 14.1 およびそれ以前 (Windows)
- Adobe Audition 13.0.5 およびそれ以前 (Windows)
- Adobe Premiere Rush 1.5.8 およびそれ以前 (Windows)

この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新
することで解決します。詳細は、Adobe が提供する情報を参照してください。

【6】Apache Tomcat に安全でないデシリアライゼーションの問題

情報源

Japan Vulnerability Notes JVNVU#98086086
Apache Tomcat に安全でないデシリアライゼーションの問題
https://jvn.jp/vu/JVNVU98086086/

概要

Apache Software Foundation が提供する Apache Tomcat には、デシリアライズ
対象データの検証が適切に行われていない脆弱性があります。結果として、遠
隔の第三者が、サーバ上に管理可能なファイルを配置することができる場合な
どに、任意のコードを実行する可能性があります。

対象となるバージョンは次のとおりです。

- Apache Tomcat 10.0.0-M1 から 10.0.0-M4
- Apache Tomcat 9.0.0.M1 から 9.0.34
- Apache Tomcat 8.5.0 から 8.5.54
- Apache Tomcat 7.0.0 から 7.0.103

この問題は、Apache Tomcat を Apache Software Foundation が提供する修正
済みのバージョンに更新することで解決します。詳細は Apache Software
Foundation が提供する情報を参照してください。

【7】Apple Xcode における脆弱性に対するアップデート

情報源

US-CERT Current Activity
Apple Releases Security Update for Xcode
https://www.us-cert.gov/ncas/current-activity/2020/05/21/apple-releases-security-update-xcode

Japan Vulnerability Notes JVNVU#94926165
Apple Xcode における脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU94926165/

概要

Apple Xcode には、Xcode に内包された git が使用している credential
helper プログラムの脆弱性に起因する問題があります。結果として、遠隔の
第三者が、特別に細工した URL を指定することで、git の認証情報を窃取す
る可能性があります。

対象となるバージョンは次のとおりです。

- Xcode 11.5 より前のバージョン

この問題は、Xcode を Apple が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、Apple が提供する情報を参照してください。

【8】複数の Cisco 製品に脆弱性

情報源

US-CERT Current Activity
Cisco Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/05/22/cisco-releases-security-updates

概要

複数の Cisco 製品には、脆弱性があります。結果として、認証されていない
第三者が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃したりす
る可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Cisco Unified Contact Center Express 12.0(1)ES03 より前のバージョン
- Cisco Prime Network Registrar 10.1.0.1 より前のバージョン
- Cisco Prime Network Registrar 10.0 系 すべてのバージョン
- Cisco Prime Network Registrar 9.1.3 より前のバージョン
- Cisco Prime Network Registrar 9.0 系 すべてのバージョン
- Cisco Prime Network Registrar 8.3.7.1 より前の 8.3 系バージョン

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

【9】Drupal に複数の脆弱性

情報源

US-CERT Current Activity
Drupal Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/05/21/drupal-releases-security-updates

概要

Drupal には、複数の脆弱性があります。結果として、遠隔の第三者が、ユー
ザのブラウザ上で任意のコードを実行したり、任意の URL にリダイレクトし
たりする可能性があります。

対象となるバージョンは次のとおりです。

- Drupal 8.8.6 より前のバージョン
- Drupal 8.7.14 より前のバージョン
- Drupal 7.70 より前のバージョン

なお、Drupal によると Drupal 8.7 系より前の 8 系のバージョンは、サポー
トが終了しているため、Drupal 8.7.14 に更新することを推奨しています。

この問題は、Drupal を Drupal が提供する修正済みのバージョンに更新する
ことで解決します。詳細は、Drupal が提供する情報を参照してください。

【10】WordPress 用プラグイン Paid Memberships Pro に SQL インジェクションの脆弱性

情報源

Japan Vulnerability Notes JVN#20248858
WordPress 用プラグイン Paid Memberships Pro における SQL インジェクションの脆弱性
https://jvn.jp/jp/JVN20248858

概要

WordPress 用プラグイン Paid Memberships Pro には、SQL インジェクション
の脆弱性があります。結果として、本製品の管理画面にアクセス可能な第三者
が、データベース内の情報を窃取したり、改ざんしたりする可能性があります。

対象となるバージョンは次のとおりです。

- Paid Memberships Pro version 2.3.3 より前のバージョン

この問題は、Paid Memberships Pro を開発者が提供する修正済みのバージョン
に更新することで解決します。詳細は、開発者が提供する情報を参照してださ
い。

■今週のひとくちメモ

○日本シーサート協議会が「シーサートワークショップ〜加盟希望組織向け説明会〜（オンライン）2020 年 4 月開催報告」を公開

2020年5月19日、日本シーサート協議会は、2020年4月22日に開催された「シー
サートワークショップ 〜加盟希望組織向け説明会〜 」の報告を公開しました。
今回は、初めての完全なオンライン開催となり、加盟希望のオブザーバー組織
の方を対象に、日本シーサート協議会や地区活動委員会の活動紹介が行われま
した。今後もオンライン開催を促進していくとのことです。

参考文献 (日本語)

日本シーサート協議会
シーサートワークショップ〜加盟希望組織向け説明会〜（オンライン）2020 年 4 月開催報告
https://www.nca.gr.jp/2020/ws-online/

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2020-05-27号

<<< JPCERT/CC WEEKLY REPORT 2020-05-27 >>>

■05/17(日)〜05/23(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

○日本シーサート協議会が「シーサートワークショップ 〜加盟希望組織向け説明会〜（オンライン）2020 年 4 月開催報告」を公開

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次

○日本シーサート協議会が「シーサートワークショップ〜加盟希望組織向け説明会〜（オンライン）2020 年 4 月開催報告」を公開