JPCERT-WR-2020-3701

JPCERT/CC

2020-09-25

<<< JPCERT/CC WEEKLY REPORT 2020-09-25 >>>

■09/13(日)〜09/19(土) のセキュリティ関連情報

目　次

【1】Microsoft Windows Netlogon Remote Protocol (MS-NRPC) に権限昇格の脆弱性

【2】Adobe Media Encoder に複数の脆弱性

【3】Drupal に複数の脆弱性

【4】複数の Apple 製品に脆弱性

【5】複数の VMware 製品に脆弱性

【6】Samba に Netlogon に起因する脆弱性

【7】IPTV ビデオエンコーダー製品に複数の脆弱性

【8】Android アプリ「ユニクロアプリ」にアクセス制限不備の脆弱性

【今週のひとくちメモ】「フィッシング対策セミナー 2020 (オンライン)」開催のお知らせ

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr203701.txt
https://www.jpcert.or.jp/wr/2020/wr203701.xml

【1】Microsoft Windows Netlogon Remote Protocol (MS-NRPC) に権限昇格の脆弱性

情報源

CISA Current Activity
Exploit for Netlogon Remote Protocol Vulnerability, CVE-2020-1472
https://us-cert.cisa.gov/ncas/current-activity/2020/09/14/exploit-netlogon-remote-protocol-vulnerability-cve-2020-1472

CISA Current Activity
CISA Releases Emergency Directive on Microsoft Windows Netlogon Remote Protocol
https://us-cert.cisa.gov/ncas/current-activity/2020/09/18/cisa-releases-emergency-directive-microsoft-windows-netlogon

CERT/CC Vulnerability Note VU#490028
Microsoft Windows Netlogon Remote Protocol (MS-NRPC) uses insecure AES-CFB8 initialization vector
https://www.kb.cert.org/vuls/id/490028

概要

Microsoft Windows Netlogon Remote Protocol (MS-NRPC) には、権限昇格の
脆弱性があります。結果として、遠隔の第三者が、サービス運用妨害 (DoS) 
攻撃を行ったり、ドメイン管理者権限を取得したりする可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Windows Server 2008 R2 for x64-based Systems Service Pack 1
- Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
- Windows Server 2012
- Windows Server 2012 (Server Core installation)
- Windows Server 2012 R2
- Windows Server 2012 R2 (Server Core installation)
- Windows Server 2016
- Windows Server 2016 (Server Core installation)
- Windows Server 2019
- Windows Server 2019 (Server Core installation)
- Windows Server, version 1903 (Server Core installation)
- Windows Server, version 1909 (Server Core installation)
- Windows Server, version 2004 (Server Core installation)

本脆弱性は Windows 以外の製品においても実装されている Netlogon プロト
コルに関する修正であることから、Windows 以外の製品の Netlogon 実装への
互換性を考慮し、Microsoft は本脆弱性への対処を 2段階に分けて実施する予
定とのことです。

本脆弱性の影響を受ける製品を利用している場合、2020年8月に提供されてい
る更新プログラムの適用に加えて、ドメインコントローラーに接続する Windows
以外の製品の互換性の確認や設定変更などの対応が必要になる場合があります。
詳細は、Microsoft が提供する情報を参照してください。

【2】Adobe Media Encoder に複数の脆弱性

情報源

CISA Current Activity
Adobe Releases Security Update for Media Encoder
https://us-cert.cisa.gov/ncas/current-activity/2020/09/16/adobe-releases-security-update-media-encoder

概要

Adobe Media Encoder には、複数の脆弱性があります。結果として、遠隔の第
三者が情報を窃取する可能性があります。

対象となるバージョンは次のとおりです。

- Adobe Media Encoder 14.3.2 およびそれ以前 (Windows)

この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。

【3】Drupal に複数の脆弱性

情報源

CISA Current Activity
Drupal Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2020/09/17/drupal-releases-security-updates

概要

Drupal には、複数の脆弱性があります。 結果として、遠隔の第三者が、ユー
ザのブラウザ上で任意のスクリプトを実行したり、情報を窃取したりするなど
の可能性があります。

対象となるバージョンは次のとおりです。

- Drupal 9.0.6 より前の 9.0 系のバージョン
- Drupal 8.9.6 より前の 8.9 系のバージョン
- Drupal 8.8.10 より前の 8.8 系のバージョン
- Drupal 7.73 より前の 7 系のバージョン

なお、Drupal 8.8 系より前の 8 系のバージョンは、サポートが終了しており、
今回のセキュリティに関する情報は提供されていません。

この問題は、Drupal を Drupal が提供する修正済みのバージョンに更新する
ことで解決します。詳細は、Drupal が提供する情報を参照してください。

【4】複数の Apple 製品に脆弱性

情報源

CISA Current Activity
Apple Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2020/09/17/apple-releases-security-updates

概要

複数の Apple 製品には、脆弱性があります。結果として、遠隔の第三者が、
任意のコードを実行したり、情報を窃取したりするなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Safari 14.0 より前のバージョン
- tvOS 14.0 より前のバージョン
- watchOS 7.0 より前のバージョン
- iOS 14.0 より前のバージョン
- iPadOS 14.0 より前のバージョン
- Xcode 12.0 より前のバージョン

この問題は、該当する製品を Apple が提供する修正済みのバージョンに更新
することで解決します。詳細は、Apple が提供する情報を参照してください。

【5】複数の VMware 製品に脆弱性

情報源

VMware Security Advisories
VMSA-2020-0020
https://www.vmware.com/security/advisories/VMSA-2020-0020.html

概要

複数の VMware 製品には、脆弱性があります。結果として、遠隔の第三者が、
サービス運用妨害 (DoS) 攻撃を行ったり、権限昇格を行ったりするなどの可
能性があります。

対象となる製品は次のとおりです。

- VMware Workstation Pro / Player (Workstation)
- VMware Fusion Pro / Fusion (Fusion)
- VMware Horizon Client for Windows

この問題は、該当する製品を VMware が提供する修正済みのバージョンに更新
するか、パッチを適用することで解決します。詳細は、VMware が提供する情
報を参照してください。

【6】Samba に Netlogon に起因する脆弱性

情報源

CISA Current Activity
Samba Releases Security Update for CVE-2020-1472
https://us-cert.cisa.gov/ncas/current-activity/2020/09/21/samba-releases-security-update-cve-2020-1472

概要

Samba には、Netlogon に起因する脆弱性があります。結果として、遠隔の第
三者がドメイン管理者権限を取得する可能性があります。

対象となるバージョンは次のとおりです。

- Samba 4.12.7 より前の 4.12 系のバージョン
- Samba 4.11.13 より前の 4.11 系のバージョン
- Samba 4.10.18 より前の 4.10 系のバージョン

なお、既にサポートが終了している Samba 4.9 系およびそれ以前のバージョン
も影響を受ける可能性があるとのことです。

この問題は、Samba を The Samba Team が提供する修正済みのバージョンに更
新することで解決します。詳細は、The Samba Team が提供する情報を参照し
てください。

【7】IPTV ビデオエンコーダー製品に複数の脆弱性

情報源

CERT/CC Vulnerability Note VU#896979
IPTV encoder devices contain multiple vulnerabilities
https://www.kb.cert.org/vuls/id/896979#

概要

IPTV ビデオエンコーダー製品には、複数の脆弱性があります。結果として、
遠隔の第三者が、任意のファイルを読み出したり、許可されていないファイル
アップロードを実行したりするなどの可能性があります。

対象となる製品は次のとおりです。

- IPTV/H.264/H.265 (Video Over IP) エンコーダー製品

2020年9月24日現在、この問題に対するアップデートは提供されていません。
次の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

- ファイアウォールを設置したり、保護された LAN 内に配置したりすることで、該当デバイスへのインターネットアクセスを制限する

詳細は、開発者が提供する情報を参照してください。

【8】Android アプリ「ユニクロアプリ」にアクセス制限不備の脆弱性

情報源

Japan Vulnerability Note JVN#31864411
Android アプリ「ユニクロアプリ」における複数のアクセス制限不備の脆弱性
https://jvn.jp/jp/JVN31864411/

概要

株式会社ユニクロが提供する Android アプリ「ユニクロアプリ」には、アク
セス制限不備の脆弱性があります。結果として、遠隔の第三者が、当該製品を
経由し任意の Web サイトにアクセスする可能性があります。

対象となるバージョンは次のとおりです。

- Android アプリ「ユニクロアプリ」バージョン 7.3.3 およびそれ以前

この問題は、該当する製品を株式会社ユニクロが提供する修正済みのバージョン
に更新することで解決します。詳細は、株式会社ユニクロが提供する情報を参
照してください。

■今週のひとくちメモ

○「フィッシング対策セミナー 2020 (オンライン)」開催のお知らせ

フィッシング対策協議会は、増加が続くフィッシング詐欺の対策として、特に
事業者側の効果的な対策促進を目的とした「フィッシング対策セミナー 2020
（オンライン）」を開催します。本セミナーでは、フィッシング詐欺に関連す
る法執行機関、金融機関、学術機関、セキュリティ対策事業者から有識者を招
き、フィッシングの最新の傾向とその対応策などを紹介します。

開催日程：2020年11月6日 (金) 10:00 - 15:15 (受付開始は9:30から)

また、参加費は無料ですが、事前に参加申込みが必要となります。申込みの締
切は 2020年10月29日 (木) 17:00 までです。満席になり次第、受付終了とさ
せていただきますので、ご了承ください。詳細は、フィッシング対策協議会が
提供する情報を参照してください。

参考文献 (日本語)

フィッシング対策協議会
フィッシング対策セミナー 2020（オンライン）開催のご案内
https://www.antiphishing.jp/news/event/antiphishing_seminar2020.html

フィッシング対策協議会
フィッシング対策セミナー 2020（オンライン）　お申込みフォーム
https://formserver.jpcert.or.jp/index.php/377574?lang=ja

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2020-09-25号

<<< JPCERT/CC WEEKLY REPORT 2020-09-25 >>>

■09/13(日)〜09/19(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

○「フィッシング対策セミナー 2020 (オンライン)」開催のお知らせ

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次