<<< JPCERT/CC WEEKLY REPORT 2021-08-12 >>>

■08/01(日)〜08/07(土) のセキュリティ関連情報

目　次

【1】Pulse Connect Secureに複数の脆弱性

【2】Google Chromeに複数の脆弱性

【3】複数のVMware製品に脆弱性

【4】複数のCisco製品に脆弱性

【5】サイボウズ Garoonに複数の脆弱性

【6】Swisslog Healthcare製Translogic PTSにおける複数の脆弱性

【7】三菱電機製 MELSEC iQ-R シリーズ CPUユニットにおける複数の脆弱性

【今週のひとくちメモ】制御システムセキュリティカンファレンス2022講演募集

【1】Pulse Connect Secureに複数の脆弱性

情報源

CISA Current Activity
Ivanti Releases Security Update for Pulse Connect Secure
https://us-cert.cisa.gov/ncas/current-activity/2021/08/06/ivanti-releases-security-update-pulse-connect-secure

概要

Pulse Connect Secureには、複数の脆弱性があります。結果として、第三者が
ファイルを書き込んだり、任意のコマンドを実行したりするなどの可能性があ
ります。

対象となるバージョンは次のとおりです。

- Pulse Connect Secure 9.1R12より前のバージョン

この問題は、Pulse Connect SecureをPulse Secureが提供する修正済みのバー
ジョンに更新することで解決します。詳細は、Pulse Secureが提供する情報を
参照してください。

関連文書 (英語)

Pulse Secure
SA44858 - 9.1R12 Security Fixes
https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44858

【2】Google Chromeに複数の脆弱性

情報源

CISA Current Activity
Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2021/08/04/google-releases-security-updates-chrome

概要

Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 92.0.4515.131より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)

Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2021/08/the-stable-channel-has-been-updated-to.html

【3】複数のVMware製品に脆弱性

情報源

CISA Current Activity
VMware Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2021/08/05/vmware-releases-security-updates-multiple-products

概要

複数のVMware製品には、脆弱性があります。結果として、第三者が機微な情報
を取得するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- VMware Workspace ONE Access (Access) 20.10、20.10.01（Linux版）
- VMware Identity Manager (vIDM) 3.3.2、3.3.3、3.3.4、3.3.5（Linux版）
- VMware vRealize Automation (vRA) 7.6（Linux版）
- VMware Cloud Foundation 4系のバージョン
- vRealize Suite Lifecycle Manager 8系のバージョン

この問題は、該当する製品にVMwareが提供するパッチを適用することで解決し
ます。詳細は、VMwareが提供する情報を参照してください。

関連文書 (英語)

VMware
VMSA-2021-0016
https://www.vmware.com/security/advisories/VMSA-2021-0016.html

【4】複数のCisco製品に脆弱性

情報源

CISA Current Activity
Cisco Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/08/05/cisco-releases-security-updates

概要

複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はCiscoが提供するアドバイザリ
情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)

Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

【5】サイボウズ Garoonに複数の脆弱性

情報源

Japan Vulnerability Notes JVN#54794245
サイボウズ Garoon に複数の脆弱性
https://jvn.jp/jp/JVN54794245/

概要

サイボウズ Garoonには、複数の脆弱性があります。結果として、ログイン
可能なユーザーが、本来閲覧権限のない情報を取得したりするなどの可能性があ
ります。

対象となるバージョンは、多岐にわたります。詳細はサイボウズ株式会社が提
供するアドバイザリ情報を参照してください。

この問題は、該当する製品をサイボウズ株式会社が提供する修正済みのバージョン
に更新することで解決します。詳細は、サイボウズ株式会社が提供する情報を
参照してください。

関連文書 (日本語)

サイボウズ株式会社
パッケージ版 Garoon 脆弱性に関するお知らせ
https://cs.cybozu.co.jp/2021/007206.html

【6】Swisslog Healthcare製Translogic PTSにおける複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#96157296
Swisslog Healthcare製Translogic PTSにおける複数の脆弱性
https://jvn.jp/vu/JVNVU96157296/

概要

Swisslog Healthcareが提供するTranslogic PTS（Pneumatic Tube Systems）
には、複数の脆弱性があります。結果として、遠隔の第三者が権限昇格や任意
のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Nexus Control Panel 7.2.5.7より前のバージョン

この問題は、該当する製品をSwisslog Healthcareが提供する修正済みのバー
ジョンに更新することで解決します。詳細は、Swisslog Healthcareが提供す
る情報を参照してください。

関連文書 (英語)

ICS Medical Advisory (ICSMA-21-215-01)
Swisslog Healthcare Translogic PTS
https://us-cert.cisa.gov/ics/advisories/icsma-21-215-01

CISA Current Activity
CISA Releases Security Advisory for Swisslog Healthcare
https://us-cert.cisa.gov/ncas/current-activity/2021/08/03/cisa-releases-security-advisory-swisslog-healthcare

【7】三菱電機製 MELSEC iQ-R シリーズ CPUユニットにおける複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#98578731
三菱電機製 MELSEC iQ-R シリーズ CPU ユニットにおける複数の脆弱性
https://jvn.jp/vu/JVNVU98578731/

概要

三菱電機製 MELSEC iQ-R シリーズ CPU ユニットには、複数の脆弱性がありま
す。結果として、遠隔の第三者が認証情報を窃取するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- R08/16/32/120SFCPU 全ファームウェアバージョン
- R08/16/32/120PSFCPU 全ファームウェアバージョン

2021年8月11日現在、本脆弱性に対するアップデートは提供されていません。
なお、一部の脆弱性に関する対策済みバージョンは、近日中にリリースする予
定とのことです。また、この問題について、三菱電機株式会社から、脆弱性の
影響を軽減するための回避策に関する情報も公開されています。詳細は、三菱
電機株式会社が提供する情報を参照してください。

関連文書 (日本語)

三菱電機株式会社
MELSEC iQ-R シリーズCPU ユニットにおける情報漏えいの脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-008.pdf

三菱電機株式会社
MELSEC iQ-R シリーズCPU ユニットにおける不正ログインの脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-009.pdf

三菱電機株式会社
MELSEC iQ-R シリーズにおけるサービス拒否(DoS)の脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2021-010.pdf

■今週のひとくちメモ

○制御システムセキュリティカンファレンス2022講演募集

2021年8月4日、JPCERT/CCは、制御システムセキュリティカンファレンス2022
の講演を募集する案内を掲載しました。

2022年2月3日にオンライン開催が予定される本カンファレンスは、国内外の
ICSにおける脅威の現状認識や、ICS関係者のセキュリティに関する先進的な取
り組みを共有する場となります。講演をご希望の方は、募集要項をお読みいた
だき、講演概要とともに必要事項をカンファレンス事務局までお送りください。
応募締切は2021年9月17日（金）必着です。

参考文献 (日本語)

JPCERT/CC
制御システムセキュリティカンファレンス2022講演募集(Call for Presentation)
https://www.jpcert.or.jp/event/ics-conf-cfp2022/

■JPCERT/CCからのお願い