<<< JPCERT/CC WEEKLY REPORT 2021-03-03 >>>

■02/21(日)〜02/27(土) のセキュリティ関連情報

目　次

【1】複数のMozilla製品に脆弱性

【2】VMware vCenter Serverに複数の脆弱性

【3】複数のCisco製品に脆弱性

【4】Movable Typeに複数のクロスサイトスクリプティングの脆弱性

【今週のひとくちメモ】IPAが「コンピュータウイルス・不正アクセスの届出事例［2020年下半期（7月〜12月）］」を公開

【1】複数のMozilla製品に脆弱性

情報源

CISA Current Activity
Mozilla Releases Security Updates for Thunderbird, Firefox ESR, and Firefox
https://us-cert.cisa.gov/ncas/current-activity/2021/02/24/mozilla-releases-security-updates-thunderbird-firefox-esr-and

概要

複数のMozilla製品には、脆弱性があります。結果として、遠隔の第三者が任
意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 86より前のバージョン
- Mozilla Firefox ESR 78.8より前のバージョン
- Mozilla Thunderbird 78.8より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)

Mozilla
Security Vulnerabilities fixed in Firefox 86
https://www.mozilla.org/en-US/security/advisories/mfsa2021-07/

Mozilla
Security Vulnerabilities fixed in Firefox ESR 78.8
https://www.mozilla.org/en-US/security/advisories/mfsa2021-08/

Mozilla
Security Vulnerabilities fixed in Thunderbird 78.8
https://www.mozilla.org/en-US/security/advisories/mfsa2021-09/

【2】VMware vCenter Serverに複数の脆弱性

情報源

CISA Current Activity
VMware Releases Multiple Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/02/24/vmware-releases-multiple-security-updates

概要

VMware vCenter Serverには、複数の脆弱性があります。結果として、遠隔の
第三者が任意のファイルをアップロードしたり、SYSTEM権限で任意のコマンド
を実行したりするなどの可能性があります。

対象となるバージョンは以下のとおりです。

- vCenter Server 7.0系 7.0 U1cより前のバージョン
- vCenter Server 6.7系 6.7 U3lより前のバージョン
- vCenter Server 6.5系 6.5 U3nより前のバージョン
- Cloud Foundation (vCenter Server) 4系 4.2より前のバージョン
- Cloud Foundation (vCenter Server) 3系 3.10.1.2より前のバージョン

この問題は、VMware vCenter ServerをVMwareが提供する修正済みのバージョン
に更新することで解決します。詳細は、開発者が提供する情報を参照してくだ
さい。

関連文書 (日本語)

JPCERT/CC 注意喚起
VMware vCenter Serverの脆弱性（CVE-2021-21972）に関する注意喚起
https://www.jpcert.or.jp/at/2021/at210011.html

関連文書 (英語)

VMware Security Advisories
VMSA-2021-0002
https://www.vmware.com/security/advisories/VMSA-2021-0002.html

【3】複数のCisco製品に脆弱性

情報源

CISA Current Activity
Cisco Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/02/25/cisco-releases-security-updates

概要

複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者が認証
を回避し、任意のファイル書き換えを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はCiscoが提供するアドバイザリ
情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)

Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

【4】Movable Typeに複数のクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#66542874
Movable Type における複数のクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN66542874/

概要

Movable Typeには、複数のクロスサイトスクリプティングの脆弱性があります。
結果として、当該製品にログインしているユーザーのWebブラウザー上で、任
意のスクリプトを実行する可能性があります。

対象となるバージョンは以下のとおりです。

- Movable Type 7 r.4705およびそれ以前 (Movable Type 7系)
- Movable Type Advanced 7 r.4705およびそれ以前 (Movable Type Advanced 7系)
- Movable Type 6.7.5およびそれ以前 (Movable Type 6.7系)
- Movable Type Premium 1.39およびそれ以前
- Movable Type Premium Advanced 1.39およびそれ以前

この問題は、Movable Typeをシックス・アパート株式会社が提供する修正済み
のバージョンに更新することで解決します。詳細は、シックス・アパート株式
会社が提供する情報を参照してください。

関連文書 (日本語)

シックス・アパート株式会社
[重要] Movable Type 7 r.4706 / Movable Type 6.7.6 / Movable Type Premium 1.40 の提供を開始（セキュリティアップデート）
https://www.sixapart.jp/movabletype/news/2021/02/24-1100.html

■今週のひとくちメモ

○IPAが「コンピュータウイルス・不正アクセスの届出事例［2020年下半期（7月〜12月）］」を公開

2021年2月25日、情報処理推進機構（IPA）は、「コンピュータウイルス・不正
アクセスの届出事例［2020年下半期（7月〜12月）］」を公開しました。
この資料では、IPAが一般利用者や企業・組織から受理したコンピュータウイ
ルス・不正アクセスに関する届出のうち、特筆すべき事例を紹介しています。
2020年下半期では、侵入経路が不明な身代金を要求する攻撃が複数見られ、脆
弱性の対策が不十分な機器やIPアドレスによるアクセス制限が不十分であった
ことが原因であった事例が多かったため、ウイルス対策、不正アクセス対策、
脆弱性対策といった基本的な対策ができているか確認することを呼びかけてい
ます。

参考文献 (日本語)

情報処理推進機構（IPA）
コンピュータウイルス・不正アクセスの届出事例［2020年下半期（7月〜12月）］
https://www.ipa.go.jp/files/000088780.pdf

■JPCERT/CCからのお願い