<<< JPCERT/CC WEEKLY REPORT 2020-08-26 >>>

■08/16(日)〜08/22(土) のセキュリティ関連情報

目　次

【1】ISC BIND 9 に複数の脆弱性

【2】複数の Cisco 製品に脆弱性

【3】Google Chrome にバッファオーバーフローの脆弱性

【4】GitLab にアクセス制御の脆弱性

【5】Exment にクロスサイトスクリプティングの脆弱性

【今週のひとくちメモ】IPA が「【注意喚起】事業継続を脅かす新たなランサムウェア攻撃について」を公開

【1】ISC BIND 9 に複数の脆弱性

情報源

CISA Current Activity
ISC Releases Security Advisories for BIND
https://us-cert.cisa.gov/ncas/current-activity/2020/08/21/isc-releases-security-advisories-bind

概要

ISC BIND 9 には、複数の脆弱性があります。結果として、遠隔の第三者がサー
ビス運用妨害 (DoS) 攻撃を行う可能性があります。

対象となるバージョンは次のとおりです。

- BIND 9.16系 9.16.0 から 9.16.5 まで
- BIND 9.14系 9.14.0 から 9.14.12 まで
- BIND 9.11系 9.11.3 から  9.11.21 まで
- BIND 9 Supported Preview Edition 9.9.3-S1 から 9.11.21-S1 まで

※なお既にサポートが終了している BIND 9.10系以前や 9.12系、9.13系、
9.15系および開発版の 9.17系についても本脆弱性の影響を受けます。

この問題は、ISC BIND を ISC が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、ISC が提供する情報を参照してください。

関連文書 (日本語)

JPCERT/CC
ISC BIND 9 に対する複数の脆弱性に関する注意喚起
https://www.jpcert.or.jp/at/2020/at200035.html

Japan Vulnerability Notes JVNVU#98069467
ISC BIND 9 に複数の脆弱性
https://jvn.jp/vu/JVNVU98069467/

関連文書 (英語)

ISC Knowledge Base
CVE-2020-8620: A specially crafted large TCP payload can trigger an assertion failure in tcpdns.c
https://kb.isc.org/docs/cve-2020-8620

ISC Knowledge Base
CVE-2020-8621: Attempting QNAME minimization after forwarding can lead to an assertion failure in resolver.c
https://kb.isc.org/docs/cve-2020-8621

ISC Knowledge Base
CVE-2020-8622: A truncated TSIG response can lead to an assertion failure
https://kb.isc.org/docs/cve-2020-8622

ISC Knowledge Base
CVE-2020-8623: A flaw in native PKCS#11 code can lead to a remotely triggerable assertion failure in pk11.c
https://kb.isc.org/docs/cve-2020-8623

ISC Knowledge Base
CVE-2020-8624: update-policy rules of type "subdomain" are enforced incorrectly
https://kb.isc.org/docs/cve-2020-8624

【2】複数の Cisco 製品に脆弱性

情報源

CISA Current Activity
Cisco Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2020/08/20/cisco-releases-security-updates

概要

複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が任
意のコードを実行するなどの可能性があります。

影響度 Critical および High の脆弱性情報に記載されている製品は次のとお
りです。

- Cisco ENCS 5400-W Series
- Cisco CSP 5000-W Series
- Cisco Video Surveillance 8000 Series IP Cameras
- Cisco Smart Software Manager On-Prem
- Cisco Smart Software Manager satellite

※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、
  影響度 Medium の複数の脆弱性情報が公開されています。詳細は、Cisco が
  提供する情報を参照してください。

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

関連文書 (英語)

Cisco Security Advisory
Cisco vWAAS for Cisco ENCS 5400-W Series and CSP 5000-W Series Default Credentials Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-waas-encsw-cspw-cred-hZzL29A7

Cisco Security Advisory
Cisco Video Surveillance 8000 Series IP Cameras Cisco Discovery Protocol Remote Code Execution and Denial of Service Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ipcameras-rce-dos-uPyJYxN3

Cisco Security Advisory
Cisco Smart Software Manager On-Prem Privilege Escalation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-smart-priv-esca-nqwxXWBu

【3】Google Chrome にバッファオーバーフローの脆弱性

情報源

CISA Current Activity
Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2020/08/19/google-releases-security-updates-chrome

概要

Google Chrome には、バッファオーバーフローの脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 84.0.4147.135 より前のバージョン

この問題は、Google が提供する修正済みのバージョンに更新することで解決
します。詳細は、Google が提供する情報を参照してください。

関連文書 (英語)

Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2020/08/stable-channel-update-for-desktop_18.html

【4】GitLab にアクセス制御の脆弱性

情報源

GitLab
GitLab Critical Security Release: 13.2.6, 13.1.8, 13.0.14
https://about.gitlab.com/releases/2020/08/18/critical-security-release-gitlab-13-2-6-released/

概要

GitLab には、アクセス制御の脆弱性があります。結果として、許可されてい
ない第三者がリポジトリへアクセスする可能性があります。

対象となるバージョンは次のとおりです。

- GitLab EE 10.7 以降のバージョン

この問題は、該当する製品を GitLab が提供する修正済みのバージョンに更新
することで解決します。詳細は、GitLab が提供する情報を参照してください。

【5】Exment にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#88315581
Exment における複数のクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN88315581/

概要

株式会社カジトリが提供する Exment には、クロスサイトスクリプティングの
脆弱性が存在します。結果として、遠隔の第三者がユーザのウェブブラウザ上
で、任意のスクリプトを実行する可能性があります。

対象となるバージョンは次のとおりです。

- Exment v3.6.0 より前のバージョン

この問題は、該当する製品を株式会社カジトリが提供する修正済みのバージョン
に更新することで解決します。詳細は、株式会社カジトリが提供する情報を参
照してください。

関連文書 (日本語)

株式会社カジトリ
脆弱性対応 クロスサイトスクリプティング、ならびに画面入力でのスクリプト実行の方針について
https://exment.net/docs/#/ja/weakness/20200819

■今週のひとくちメモ

○IPA が「【注意喚起】事業継続を脅かす新たなランサムウェア攻撃について」を公開

2020年8月20日、情報処理推進機構 (IPA) は、「事業継続を脅かす新たなラン
サムウェア攻撃について」と題して注意喚起およびレポートを公開しました。
企業や組織の事業継続に関わる近年における深刻な脅威として、「人手による
ランサムウェア攻撃」と「二重の脅迫」を挙げ、被害の事例や攻撃手口、推奨
される対策などについて解説しています。

参考文献 (日本語)

情報処理推進機構 (IPA)
【注意喚起】事業継続を脅かす新たなランサムウェア攻撃について
https://www.ipa.go.jp/security/announce/2020-ransom.html

■JPCERT/CC からのお願い