JPCERT-WR-2020-4401

JPCERT/CC

2020-11-11

<<< JPCERT/CC WEEKLY REPORT 2020-11-11 >>>

■11/01(日)〜11/07(土) のセキュリティ関連情報

目　次

【1】Google Chrome に複数の脆弱性

【2】複数の Apple 製品に脆弱性

【3】Adobe Acrobat および Reader に複数の脆弱性

【4】複数の Cisco 製品に脆弱性

【5】サイボウズ Garoon に不適切な入力確認の脆弱性

【6】三菱電機製 GOT1000 シリーズ GT14 モデルに複数の脆弱性

【7】XOOPS 用モジュール XooNIps に複数の脆弱性

【8】スマートフォンアプリ「Studyplus(スタディプラス)」に外部サービスの API キーがハードコードされている問題

【今週のひとくちメモ】JPCERT／CC がイベントログ分析支援ツール「LogonTracer v1.5.0」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2020/wr204401.txt
https://www.jpcert.or.jp/wr/2020/wr204401.xml

【1】Google Chrome に複数の脆弱性

情報源

CISA Current Activity
Google Releases Security Updates for Chrome, CVE-2020-16009
https://us-cert.cisa.gov/ncas/current-activity/2020/11/03/google-releases-security-updates-chrome-cve-2020-16009

概要

Google Chrome には、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 86.0.4240.183 より前のバージョン

この問題は、Google Chrome を Google が提供する修正済みのバージョンに更
新することで解決します。詳細は、Google が提供する情報を参照してくださ
い。

【2】複数の Apple 製品に脆弱性

情報源

CISA Current Activity
Apple Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2020/11/06/apple-releases-security-updates-multiple-products

Japan Vulnerability Notes JVNVU#99462952
複数の Apple 製品における脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU99462952/

概要

複数の Apple 製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品は、多岐に渡ります。詳細は Apple が提供するアドバイザリ
情報を参照してください。

この問題は、該当する製品を Apple が提供する修正済みのバージョンに更新
することで解決します。詳細は、Apple が提供する情報を参照してください。

【3】Adobe Acrobat および Reader に複数の脆弱性

情報源

CISA Current Activity
Adobe Releases Security Updates for Acrobat and Reader
https://us-cert.cisa.gov/ncas/current-activity/2020/11/04/adobe-releases-security-updates-acrobat-and-reader

概要

Adobe Acrobat および Reader には、複数の脆弱性があります。第三者が任意
コードの実行をするなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Adobe Acrobat DC Continuous (2020.012.20048) およびそれ以前 (Windows, macOS)
- Adobe Acrobat Reader DC Continuous (2020.012.20048) およびそれ以前 (Windows, macOS)
- Adobe Acrobat 2020 Classic 2020 (2020.001.30005) およびそれ以前 (Windows, macOS)
- Adobe Acrobat Reader 2020 Classic 2020 (2020.001.30005) およびそれ以前 (Windows, macOS)
- Adobe Acrobat 2017 Classic 2017 (2017.011.30175) およびそれ以前 (Windows, macOS)
- Adobe Acrobat Reader 2017 Classic 2017 (2017.011.30175) およびそれ以前 (Windows, macOS)

この問題は、Adobe Acrobat および Reader を Adobe が提供する修正済みの
バージョンに更新することで解決します。詳細は、Adobe が提供する情報を
参照してください。

【4】複数の Cisco 製品に脆弱性

情報源

CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2020/11/05/cisco-releases-security-updates-multiple-products

概要

複数の Cisco 製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。

対象となる製品は、多岐に渡ります。詳細は Cisco が提供するアドバイザリ
情報を参照してください。

この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新
することで解決します。詳細は、Cisco が提供する情報を参照してください。

【5】サイボウズ Garoon に不適切な入力確認の脆弱性

情報源

Japan Vulnerability Notes JVN#57942454
サイボウズ Garoon における不適切な入力確認の脆弱性
https://jvn.jp/jp/JVN57942454/

概要

サイボウズ株式会社が提供するサイボウズ Garoon には、不適切な入力確認の
脆弱性があります。結果として、当該製品にログイン可能なユーザが掲示板に
関するデータの一部を削除するなどの可能性があります。

対象となるバージョンは次のとおりです。

- サイボウズ Garoon 5.0.0 から 5.0.2 まで

この問題は、サイボウズ Garoon をバージョン 5.0.2 に更新後、サイボウズが
提供するパッチを適用することで解決します。詳細は、サイボウズが提供する
情報を参照してください。

【6】三菱電機製 GOT1000 シリーズ GT14 モデルに複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#99562395
三菱電機製 GOT1000 シリーズ GT14 モデルにおける複数の脆弱性
https://jvn.jp/vu/JVNVU99562395/

概要

三菱電機株式会社が提供する GOT1000 シリーズ GT14 モデルの TCP/IP スタッ
クには、複数の脆弱性があります。結果として、第三者が細工したパケットを
送信することで、当該製品のネットワーク機能を停止したり、悪意あるプログ
ラムを実行したりする可能性があります。

対象となる製品およびバージョンは次のとおりです。

下記製品の CoreOS バージョン 05.65.00.BD およびそれ以前
- GT1455-QTBDE
- GT1450-QMBDE
- GT1450-QLBDE
- GT1455HS-QTBDE
- GT1450HS-QMBDE

この問題は、CoreOS を三菱電機株式会社が提供する修正済みのバージョンに
更新することで解決します。詳細は、三菱電機株式会社が提供する情報を参照
してください。

【7】XOOPS 用モジュール XooNIps に複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#92053563
XOOPS 用モジュール XooNIps における複数の脆弱性
https://jvn.jp/vu/JVNVU92053563/

概要

理化学研究所 脳神経科学研究センター 統合計算脳科学連携部門 神経情報基
盤開発ユニットが提供する XOOPS 用モジュール XooNIps には、複数の脆弱性
があります。結果として、当該製品にログイン済みのユーザが、信頼できない
データをデシリアライズし、任意のコードを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- XooNIps 3.49 およびそれ以前

この問題は、XooNIps を開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。

【8】スマートフォンアプリ「Studyplus(スタディプラス)」に外部サービスの API キーがハードコードされている問題

情報源

Japan Vulnerability Notes JVN#00414047
スマートフォンアプリ「Studyplus(スタディプラス)」に外部サービスの API キーがハードコードされている問題
https://jvn.jp/jp/JVN00414047/

概要

スタディプラス株式会社が提供するスマートフォンアプリ「Studyplus(スタディ
プラス)」には、外部サービスの API キーがハードコードされている問題があ
ります。結果として、第三者がアプリ内のデータを解析し、外部サービスと連
携するための API キーを不正に窃取する可能性があります。

対象となるバージョンは次のとおりです。

- Android アプリ「Studyplus(スタディプラス)」 v6.3.7 およびそれ以前
- iOS アプリ「Studyplus(スタディプラス)」 v8.29.0 およびそれ以前

この問題は、開発者によって修正されており、開発者は最新のバージョンに更
新することを推奨しています。詳細は、開発者が提供する情報を参照してくだ
さい。

■今週のひとくちメモ

○JPCERT／CC がイベントログ分析支援ツール「LogonTracer v1.5.0」を公開

2020年10月29日、JPCERT/CC は、イベントログの分析をサポートするツール
「LogonTracer」の最新版バージョン 1.5 をリリースしました。今回のアップ
デートでは、Elasticsearch との連携によるリアルタイムイベントログ分析機
能を追加しました。

参考文献 (日本語)

JPCERT/CC Eyes
LogonTracer v1.5 リリース
https://blogs.jpcert.or.jp/ja/2020/10/logontracer-1_5.html

■JPCERT/CC からのお願い

本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2020-11-11号

<<< JPCERT/CC WEEKLY REPORT 2020-11-11 >>>

■11/01(日)〜11/07(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

○JPCERT／CC がイベントログ分析支援ツール「LogonTracer v1.5.0」を公開

参考文献 (日本語)

■JPCERT/CC からのお願い

目　次