JPCERT コーディネーションセンター

Weekly Report 2021-02-10号

JPCERT-WR-2021-0601
JPCERT/CC
2021-02-10

<<< JPCERT/CC WEEKLY REPORT 2021-02-10 >>>

■01/31(日)〜02/06(土) のセキュリティ関連情報

目 次

【1】SonicWall SMA 100シリーズにSQLインジェクションの脆弱性

【2】Google Chromeに複数の脆弱性

【3】複数のApple製品に脆弱性

【4】複数のCisco製品に脆弱性

【5】複数のトレンドマイクロ株式会社製品に脆弱性

【6】Mozilla Firefoxに脆弱性

【7】パナソニックVideo Insight VMSに任意のコードが実行可能な脆弱性

【8】Adobe ColdFusionにインストールディレクトリのACL設定不備による権限昇格の脆弱性

【9】Wiresharkに複数の脆弱性

【10】WordPress用プラグインName Directoryにクロスサイトリクエストフォージェリの脆弱性

【今週のひとくちメモ】サイバーセキュリティ月間

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

※PGP署名付きテキスト版およびXML版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2021/wr210601.txt
https://www.jpcert.or.jp/wr/2021/wr210601.xml

【1】SonicWall SMA 100シリーズにSQLインジェクションの脆弱性

情報源

SonicWall
Confirmed Zero-day vulnerability in the SonicWall SMA100 build version 10.x
https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0001

CISA Current Activity
Zero-Day Vulnerability in SonicWall SMA 100 Series Version 10.x Products
https://us-cert.cisa.gov/ncas/current-activity/2021/02/02/zero-day-vulnerability-sonicwall-sma-100-series-version-10x

概要

SonicWall SMA 100シリーズには、SQLインジェクションの脆弱性があります。
結果として、遠隔の第三者が認証情報を窃取する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- ファームウェア 10系のバージョンで稼働する次のSMA 100シリーズ製品
  - SMA 200
  - SMA 210
  - SMA 400
  - SMA 410
  - SMA 500v

この問題は、該当する製品にSonicWallが提供するパッチを適用することで解
決します。詳細は、SonicWallが提供する情報を参照してください。

関連文書 (日本語)

JPCERT/CC注意喚起
SonicWall製SMA100シリーズの脆弱性(CVE-2021-20016)に関する注意喚起
https://www.jpcert.or.jp/at/2021/at210006.html

関連文書 (英語)

SonicWall
Urgent Patch Available for SMA 100 Series 10.x Firmware Zero-Day Vulnerability [Updated Feb. 3, 2 P.M. CST]
https://www.sonicwall.com/support/product-notification/urgent-patch-available-for-sma-100-series-10-x-firmware-zero-day-vulnerability-updated-feb-3-2-p-m-cst/210122173415410/

【2】Google Chromeに複数の脆弱性

情報源

CISA Current Activity
Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2021/02/03/google-releases-security-updates-chrome

CISA Current Activity
Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2021/02/05/google-releases-security-updates-chrome

概要

Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 88.0.4324.150より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)

Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2021/02/stable-channel-update-for-desktop.html

Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2021/02/stable-channel-update-for-desktop_4.html

【3】複数のApple製品に脆弱性

情報源

CISA Current Activity
Apple Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/02/02/apple-releases-security-updates

Apple
About the security content of Safari 14.0.3
https://support.apple.com/en-us/HT212152

Apple
About the security content of macOS Big Sur 11.2, Security Update 2021-001 Catalina, Security Update 2021-001 Mojave
https://support.apple.com/en-us/HT212147

概要

複数のApple製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- macOS Big Sur 11.2より前のバージョン
- macOS Catalina (Security Update 2021-001未適用)
- macOS Mojave (Security Update 2021-001未適用)
- Safari 14.0.3より前のバージョン

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)

JPCERT/CC CyberNewsFlash
複数のApple製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2021012801.html

【4】複数のCisco製品に脆弱性

情報源

CISA Current Activity
Cisco Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/02/04/cisco-releases-security-updates

概要

複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はCiscoが提供するアドバイザリ
情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)

Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

【5】複数のトレンドマイクロ株式会社製品に脆弱性

情報源

Japan Vulnerability Notes JVNVU#98209799
トレンドマイクロ株式会社製スマートホームスキャナー (Windows 版) に DLL 読み込みに関する脆弱性
https://jvn.jp/vu/JVNVU98209799/

Japan Vulnerability Notes JVNVU#99814910
トレンドマイクロ株式会社製ウイルスバスター クラウドのインストーラにおける複数の脆弱性
https://jvn.jp/vu/JVNVU99814910/

概要

複数のトレンドマイクロ株式会社製品には、脆弱性があります。結果として、
第三者が管理者権限で任意のコードを実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- ウイルスバスター クラウド バージョン16
- ウイルスバスター クラウド バージョン15
- スマートホームスキャナー(Windows版) 5.3.1063およびそれ以前のバージョン

この問題への対策は製品によって異なります。詳細は、トレンドマイクロ株式
会社が提供する情報を参照してください。

関連文書 (日本語)

トレンドマイクロ株式会社
アラート/アドバイザリ:ウイルスバスター クラウドの脆弱性について(CVE-2020-27695,CVE-2020-27696,CVE-2020-27697)
https://helpcenter.trendmicro.com/ja-jp/article/TMKA-09955

トレンドマイクロ株式会社
アラート/アドバイザリ:スマートホームスキャナー(Windows版)の脆弱性について (CVE-2021-25247)
https://helpcenter.trendmicro.com/ja-jp/article/TMKA-10179

【6】Mozilla Firefoxに脆弱性

情報源

Mozilla
Security Vulnerabilities fixed in Firefox 85.0.1 and Firefox ESR 78.7.1
https://www.mozilla.org/en-US/security/advisories/mfsa2021-06/

概要

Mozilla Firefoxには、脆弱性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 85.0.1より前のバージョン(Windows版)
- Mozilla Firefox ESR 78.7.1より前のバージョン(Windows版)

この問題は、Mozilla FirefoxをMozillaが提供する修正済みのバージョンに更
新することで解決します。詳細は、Mozillaが提供する情報を参照してくださ
い。

【7】パナソニックVideo Insight VMSに任意のコードが実行可能な脆弱性

情報源

Japan Vulnerability Notes JVN#42252698
パナソニック Video Insight VMS において任意のコードが実行可能な脆弱性
https://jvn.jp/jp/JVN42252698/

概要

パナソニック株式会社が提供するVideo Insight VMSには、任意のコード実行
が可能な脆弱性があります。結果として、遠隔の第三者がSYSTEMユーザーの権
限で任意のコードを実行する可能性があります。

対象となるバージョンは次のとおりです。

- Video Insight VMS 7.8より前のバージョン

この問題は、Video Insight VMSをパナソニック株式会社が提供する修正済み
のバージョンに更新することで解決します。詳細は、パナソニック株式会社が
提供する情報を参照してください。

関連文書 (英語)

パナソニック株式会社
Release Notes - Video Insight IP Server 7.8 Minor Release
http://downloadvi.com/downloads/IPServer/v7.8/780182/v780182RN.pdf

【8】Adobe ColdFusionにインストールディレクトリのACL設定不備による権限昇格の脆弱性

情報源

CERT/CC Vulnerability Note VU#125331
Adobe ColdFusion is vulnerable to privilege escalation due to weak ACLs
https://kb.cert.org/vuls/id/125331

概要

Adobe ColdFusionには、ACLを適切に設定できないことに起因する権限昇格の
脆弱性があります。結果として、第三者がSYSTEM権限で任意のコードを実行す
る可能性があります。

対象となるバージョンは次のとおりです。

- Adobe ColdFusion 2021
- Adobe ColdFusion 2018
- Adobe ColdFusion 2016

この問題は、該当する製品でロックダウン機能を設定することで本脆弱性から
保護することが可能です。詳細は、Adobeなどが提供する情報を参照してくだ
さい。

関連文書 (日本語)

Japan Vulnerability Notes JVNVU#91588948
Adobe ColdFusion にインストールディレクトリの ACL 設定不備による権限昇格の脆弱性
https://jvn.jp/vu/JVNVU91588948/

関連文書 (英語)

Adobe
ColdFusion (2021 release) Server Auto-Lockdown
https://www.adobe.com/support/coldfusion/downloads.html#cf2021ldg

Adobe
ColdFusion (2018 release) Server Auto-Lockdown
https://www.adobe.com/support/coldfusion/downloads.html#cf2018ldg

Adobe
ColdFusion (2016 release) Lockdown Guide
https://wwwimages.adobe.com/content/dam/acom/en/products/coldfusion/pdfs/coldfusion-2016-lockdown-guide.pdf

【9】Wiresharkに複数の脆弱性

情報源

Wireshark Foundation
Wireshark 3.4.3 Release Notes
https://www.wireshark.org/docs/relnotes/wireshark-3.4.3.html

概要

Wiresharkには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Wireshark 3.4.3より前の3.4系のバージョン

この問題は、WiresharkをWireshark Foundationが提供する修正済みのバージョン
に更新することで解決します。詳細は、Wireshark Foundationが提供する情報
を参照してください。

【10】WordPress用プラグインName Directoryにクロスサイトリクエストフォージェリの脆弱性

情報源

Japan Vulnerability Notes JVN#50470170
WordPress 用プラグイン Name Directory におけるクロスサイトリクエストフォージェリの脆弱性
https://jvn.jp/jp/JVN50470170/

概要

WordPress用プラグインName Directoryには、クロスサイトリクエストフォー
ジェリの脆弱性があります。結果として、当該製品にログインした状態の管理
者権限を持つユーザーが、細工されたページにアクセスした場合、意図しない
操作をさせられる可能性があります。

対象となるバージョンは次のとおりです。

- Name Directory 1.17.4およびそれ以前

この問題は、Name Directoryを開発者が提供する修正済みのバージョンに更新
することで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (英語)

Jeroen Peters
Name Directory
https://wordpress.org/plugins/name-directory/

■今週のひとくちメモ

○サイバーセキュリティ月間

2月1日から3月18日は「サイバーセキュリティ月間」です。サイバーセキュリ
ティに対する取組の推進を目的とした普及啓発活動やイベント、情報発信など
が行われます。

参考文献 (日本語)

内閣サイバーセキュリティセンター(NISC)
サイバーセキュリティ月間
https://www.nisc.go.jp/security-site/month/

■JPCERT/CCからのお願い

  • 本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛 にお願い致します。ただし、JPCERT/CCでは、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下のURLからご利用いただけます。
    https://www.jpcert.or.jp/wr/
  • 本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下のURLを参照してください。
    https://www.jpcert.or.jp/announce.html
  • JPCERT/CCへのセキュリティインシデントの報告方法については以下のURLを参照してください。
    https://www.jpcert.or.jp/form/

Topへ

Topへ
最新情報(RSSメーリングリストTwitter