<<< JPCERT/CC WEEKLY REPORT 2021-03-31 >>>

■03/21(日)〜03/27(土) のセキュリティ関連情報

目　次

【1】OpenSSLに複数の脆弱性

【2】Adobe ColdFusionに任意のコード実行の脆弱性

【3】複数のMozilla製品に脆弱性

【4】複数のCisco製品に脆弱性

【5】複数のApple製品に脆弱性

【6】UNIVERGE AspireシリーズPBXにサービス運用妨害（DoS）の脆弱性

【7】Sambaに複数の脆弱性

【8】baserCMSに複数の脆弱性

【今週のひとくちメモ】JPCERT/CC Eyes「日本の組織を狙った攻撃グループLazarusによる攻撃オペレーション」を公開

【1】OpenSSLに複数の脆弱性

情報源

CISA Current Activity
OpenSSL Releases Security Update
https://us-cert.cisa.gov/ncas/current-activity/2021/03/26/openssl-releases-security-update

Japan Vulnerability Notes JVNVU#92126369
OpenSSL に複数の脆弱性
https://jvn.jp/vu/JVNVU92126369/

概要

OpenSSL Projectが提供するOpenSSLには、複数の脆弱性があります。結果とし
て、第三者がサービス運用妨害（DoS）攻撃を行うなどの可能性があります。

対象となるバージョンは次のとおりです。

- OpenSSL 1.1.1kより前のバージョン

この問題は、OpenSSLをOpenSSL Projectが提供する修正済みのバージョンに更
新することで解決します。詳細はOpenSSL Projectが提供する情報を参照して
ください。

関連文書 (日本語)

JPCERT/CC 注意喚起
OpenSSLの脆弱性（CVE-2021-3450、CVE-2021-3449）に関する注意喚起
https://www.jpcert.or.jp/at/2021/at210015.html

関連文書 (英語)

OpenSSL Project
OpenSSL Security Advisory [25 March 2021]
https://www.openssl.org/news/secadv/20210325.txt

Cisco
Multiple Vulnerabilities in OpenSSL Affecting Cisco Products: March 2021
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-openssl-2021-GHY28dJd

【2】Adobe ColdFusionに任意のコード実行の脆弱性

情報源

CISA Current Activity
Adobe Releases Security Updates for ColdFusion
https://us-cert.cisa.gov/ncas/current-activity/2021/03/23/adobe-releases-security-updates-coldfusion

概要

Adobe ColdFusionには、脆弱性があります。結果として、第三者が任意のコー
ドを実行する可能性があります。

対象となるバージョンは次のとおりです。

- Adobe ColdFusion 2021
- Adobe ColdFusion 2018
- Adobe ColdFusion 2016

この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。

関連文書 (日本語)

JPCERT/CC CyberNewsFlash
Adobe ColdFusionに関するアップデート（APSB21-16）について
https://www.jpcert.or.jp/newsflash/2021032301.html

関連文書 (英語)

アドビ
Security updates available for Adobe ColdFusion | APSB21-16
https://helpx.adobe.com/security/products/coldfusion/apsb21-16.html

【3】複数のMozilla製品に脆弱性

情報源

CISA Current Activity
Mozilla Releases Security Updates for Firefox, Firefox ESR, and Thunderbird
https://us-cert.cisa.gov/ncas/current-activity/2021/03/24/mozilla-releases-security-updates-firefox-firefox-esr-and

概要

複数のMozilla製品には、脆弱性があります。結果として、遠隔の第三者が任
意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 87より前のバージョン
- Mozilla Firefox ESR 78.9より前のバージョン
- Mozilla Thunderbird 78.9より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)

Mozilla
Security Vulnerabilities fixed in Firefox 87
https://www.mozilla.org/en-US/security/advisories/mfsa2021-10/

Mozilla
Security Vulnerabilities fixed in Firefox ESR 78.9
https://www.mozilla.org/en-US/security/advisories/mfsa2021-11/

Mozilla
Security Vulnerabilities fixed in Thunderbird 78.9
https://www.mozilla.org/en-US/security/advisories/mfsa2021-12/

【4】複数のCisco製品に脆弱性

情報源

CISA Current Activity
Cisco Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/03/25/cisco-releases-security-updates

概要

複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はCiscoが提供するアドバイザリ
情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)

Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

【5】複数のApple製品に脆弱性

情報源

CISA Current Activity
Apple Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/03/26/apple-releases-security-updates

概要

複数のApple製品には、脆弱性があります。結果として、第三者がユニバーサ
ルクロスサイトスクリプティング攻撃を実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- watchOS 7.3.3より前のバージョン
- iOS 14.4.2より前のバージョン
- iOS 12.5.2より前のバージョン
- iPadOS 14.4.2より前のバージョン

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)

JPCERT/CC CyberNewsFlash
複数のApple製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2021032901.html

関連文書 (英語)

Apple
About the security content of watchOS 7.3.3
https://support.apple.com/en-us/HT212258

Apple
About the security content of iOS 12.5.2
https://support.apple.com/en-us/HT212257

Apple
About the security content of iOS 14.4.2 and iPadOS 14.4.2
https://support.apple.com/en-us/HT212256

【6】UNIVERGE AspireシリーズPBXにサービス運用妨害（DoS）の脆弱性

情報源

Japan Vulnerability Notes JVN#12737530
UNIVERGE Aspire シリーズ PBX におけるサービス運用妨害 (DoS) の脆弱性
https://jvn.jp/jp/JVN12737530/

概要

NECプラットフォームズ株式会社が提供するUNIVERGE AspireシリーズPBXには
脆弱性があります。結果として、該当製品のユーザー権限を持つ第三者がサー
ビス運用妨害（DoS）攻撃を行う可能性があります。

対象となる製品およびバージョンは次のとおりです。

- UNIVERGE Aspire WX 1.00から3.51までのバージョン
- UNIVERGE Aspire UX 1.00から9.70までのバージョン
- UNIVERGE SV9100 1.00から10.70までのバージョン
- SL2100 1.00から3.00までのバージョン

この問題は、該当する製品をNECプラットフォームズ株式会社が提供する修正
済みのバージョンに更新することで解決します。詳細は、NECプラットフォー
ムズ株式会社が提供する情報を参照してください。

関連文書 (日本語)

NECプラットフォームズ株式会社
リモート保守に関する脆弱性について: Aspireシリーズ
https://www.necplatforms.co.jp/product/keytelphone/info/210322.html

関連文書 (英語)

NECプラットフォームズ株式会社
NEC Security Advisory: Vulnerabilities of UNIVERGE Communication Products for SMB
https://www.necplatforms.co.jp/press/files/SVSLSecurityAdvisoryR1.0_20210322.pdf

【7】Sambaに複数の脆弱性

情報源

CISA Current Activity
Samba Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/03/25/samba-releases-security-updates

概要

Sambaには、複数の脆弱性があります。結果として、遠隔の第三者が
Samba AD DC LDAPサーバーをクラッシュする可能性があります。

対象となるバージョンは次のとおりです。

- Samba 4.14.2より前のバージョン
- Samba 4.13.7より前のバージョン
- Samba 4.12.14より前のバージョン

この問題は、SambaをThe Samba Teamが提供する修正済みのバージョンに更新
することで解決します。詳細は、The Samba Teamが提供する情報を参照してく
ださい。

関連文書 (英語)

The Samba Team
Heap corruption via crafted DN strings
https://www.samba.org/samba/security/CVE-2020-27840.html

The Samba Team
Out of bounds read in AD DC LDAP server
https://www.samba.org/samba/security/CVE-2021-20277.html

【8】baserCMSに複数の脆弱性

情報源

Japan Vulnerability Notes JVN#64869876
baserCMS における複数の脆弱性
https://jvn.jp/jp/JVN64869876/

概要

baserCMSユーザー会が提供するbaserCMSには、複数の脆弱性があります。結果
として、管理者権限を持つ遠隔の第三者が、任意のOSコマンドを実行するなど
の可能性があります。

対象となるバージョンは次のとおりです。

- baserCMS 4.4.5より前のバージョン

この問題は、該当する製品をbaserCMSユーザー会が提供する修正済みのバージョン
に更新することで解決します。詳細は、baserCMSユーザー会が提供する情報を
参照してください。

関連文書 (日本語)

baserCMSユーザー会
2021/03/25 JavaScript 入力制限不備をはじめとする複数の脆弱性
https://basercms.net/security/JVN64869876

■今週のひとくちメモ

○JPCERT/CC Eyes「日本の組織を狙った攻撃グループLazarusによる攻撃オペレーション」を公開

2021年3月22日、JPCERT/CCは、公式ブログJPCERT/CC Eyesにて「日本の組織を
狙った攻撃グループLazarusによる攻撃オペレーション」を公開しました。本
記事では、国内で確認した攻撃グループLazarusの攻撃オペレーションで使用
されたマルウェア（VSingle、ValeforBeta）、および侵入したネットワーク内
部で使用したツールを紹介しています。

参考文献 (日本語)

JPCERT/CC
日本の組織を狙った攻撃グループLazarusによる攻撃オペレーション
https://blogs.jpcert.or.jp/ja/2021/03/Lazarus_malware3.html

■JPCERT/CCからのお願い