<<< JPCERT/CC WEEKLY REPORT 2021-09-08 >>>

■08/29(日)〜09/04(土) のセキュリティ関連情報

目　次

【1】Confluence ServerおよびData CenterにOGNLインジェクションの脆弱性

【2】複数のCisco製品に脆弱性

【3】Google Chromeに複数の脆弱性

【4】GitLabに複数の脆弱性

【5】ウイルスバスター クラウドにディレクトリジャンクションの取り扱い不備の脆弱性

【6】ジェイテクト製TOYOPUCシリーズに制限またはスロットリング無しのリソースの割り当ての脆弱性

【今週のひとくちメモ】JPCERT/CC Eyes「定点観測友の会という名のコミュニティー活動について」を公開

【1】Confluence ServerおよびData CenterにOGNLインジェクションの脆弱性

情報源

JPCERT/CC 注意喚起
Confluence ServerおよびData Centerの脆弱性（CVE-2021-26084）に関する注意喚起
https://www.jpcert.or.jp/at/2021/at210037.html

概要

Confluence ServerおよびData Centerには、OGNLインジェクションの脆弱性が
あります。結果として、認証されていない遠隔の第三者が任意のコードを実行
する可能性があります。

対象となるバージョンは次のとおりです。

- Confluence ServerおよびData Center 7.12.5より前の7.12系のバージョン
- Confluence ServerおよびData Center 7.11.6より前の7.11系のバージョン
- Confluence ServerおよびData Center 7.10系から7.5系のバージョン
- Confluence ServerおよびData Center 7.4.11より前の7.4系のバージョン
- Confluence ServerおよびData Center 7.3系から7.0系のバージョン
- Confluence ServerおよびData Center 6.15系、6.14系のバージョン
- Confluence ServerおよびData Center 6.13.23より前の6.13系のバージョン

この問題は、該当する製品をAtlassianが提供する修正済みのバージョンに更
新することで解決します。詳細は、Atlassianが提供する情報を参照してくだ
さい。

関連文書 (日本語)

Atlassian
Confluence セキュリティ勧告 - 2021-08-25
https://ja.confluence.atlassian.com/doc/confluence-security-advisory-2021-08-25-1077906215.html

関連文書 (英語)

CISA Current Activity
Atlassian Releases Security Updates for Confluence Server and Data Center
https://us-cert.cisa.gov/ncas/current-activity/2021/09/03/atlassian-releases-security-updates-confluence-server-and-data

【2】複数のCisco製品に脆弱性

情報源

CISA Current Activity
Cisco Releases Security Updates for Cisco Enterprise NFVIS
https://us-cert.cisa.gov/ncas/current-activity/2021/09/02/cisco-releases-security-updates-cisco-enterprise-nfvis

概要

複数のCisco製品には、複数の脆弱性があります。結果として、遠隔の第三者
が認証を回避し、管理者として機器を操作するなどの可能性があります。

影響度Criticalの脆弱性情報に記載されている製品およびバージョンは次のと
おりです。

- Cisco Enterprise NFVIS 4.6.1より前のバージョン

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供するアドバイザリ情報を参照して
ください。

関連文書 (英語)

Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

Cisco
Cisco Enterprise NFV Infrastructure Software Authentication Bypass Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-nfvis-g2DMVVh

【3】Google Chromeに複数の脆弱性

情報源

CISA Current Activity
Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2021/09/01/google-releases-security-updates-chrome

概要

Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 93.0.4577.63より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)

Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2021/08/stable-channel-update-for-desktop_31.html

【4】GitLabに複数の脆弱性

情報源

GitLab
GitLab Security Release: 14.2.2, 14.1.4, and 14.0.9
https://about.gitlab.com/releases/2021/08/31/security-release-gitlab-14-2-2-released/

概要

GitLabには、複数の脆弱性があります。結果として、第三者が権限昇格したり、
サービス運用妨害（DoS）攻撃を行なったりするなどの可能性があります。

対象となるバージョンは次のとおりです。

- GitLab Community EditionおよびEnterprise Edition 14.2.2より前の14.2系バージョン
- GitLab Community EditionおよびEnterprise Edition 14.1.4より前の14.1系バージョン
- GitLab Community EditionおよびEnterprise Edition 14.0.9より前の14.0系バージョン

この問題は、該当する製品をGitLabが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、GitLabが提供する情報を参照してください。

【5】ウイルスバスター クラウドにディレクトリジャンクションの取り扱い不備の脆弱性

情報源

Japan Vulnerability Notes JVNVU#94699053
トレンドマイクロ製ウイルスバスター クラウドにおけるディレクトリジャンクションの取り扱い不備の脆弱性
https://jvn.jp/vu/JVNVU94699053/

概要

ウイルスバスター クラウドには権限昇格の脆弱性があります。結果として、
第三者が権限昇格し、サービス運用妨害 (DoS) 攻撃をする可能性があります。

対象となるバージョンは次のとおりです。

- ウイルスバスター クラウド バージョン17.0
- ウイルスバスター クラウド バージョン16.0
- ウイルスバスター クラウド バージョン15.0

この問題は、トレンドマイクロ株式会社が提供する情報をもとに、修正プログ
ラムを適用することで解決します。詳細はトレンドマイクロ株式会社が提供す
る情報を参照してください。

関連文書 (日本語)

トレンドマイクロ株式会社
アラート/アドバイザリ：ウイルスバスター クラウドの脆弱性について(CVE-2021-36744)
https://helpcenter.trendmicro.com/ja-jp/article/TMKA-10565

【6】ジェイテクト製TOYOPUCシリーズに制限またはスロットリング無しのリソースの割り当ての脆弱性

情報源

Japan Vulnerability Notes JVNVU#95792804
ジェイテクト製TOYOPUCシリーズにおける制限またはスロットリング無しのリソースの割り当ての脆弱性
https://jvn.jp/vu/JVNVU95792804/

概要

株式会社ジェイテクトが提供するTOYOPUC PLCには制限またはスロットリング
無しのリソースの割り当ての脆弱性があります。結果として、第三者が当該
製品間のEthernet通信を遮断する可能性があります。

対象となる製品は多岐に渡ります。詳細は株式会社ジェイテクトが提供する情
報を参照してください。

この問題は、株式会社ジェイテクトが提供するワークアラウンドを適用するこ
とで本脆弱性の影響を軽減することが可能とのことです。詳細は、株式会社ジェ
イテクトが提供する情報を参照してください。

関連文書 (日本語)

株式会社ジェイテクト
TOYOPUC 製品のイーサネット機能におけるサービス拒否（DoS）の脆弱性について
https://toyoda.jtekt.co.jp/products/pdf/vulnerability/toyopuc/MTTT181701.pdf

■今週のひとくちメモ

○JPCERT/CC Eyes「定点観測友の会という名のコミュニティー活動について」を公開

JPCERT/CC Eyesにて、「定点観測友の会」と呼称しているコミュニティー活動
の紹介について公開しました。本コミュニティーでは、国内のインターネット
定点観測を行う組織を対象に、観測動向などの情報共有を目的としたメーリン
グリストの運用や会議を開催しています。JPCERT/CCのインターネット定点観測
システム「TSUBAME」の観測データや、各参加組織の定点観測の結果をもとに、
観測データの傾向や背景を議論し、注意喚起など各組織の活動につなげていま
す。

参考文献 (日本語)

JPCERT/CC Eyes
定点観測友の会という名のコミュニティー活動について
https://blogs.jpcert.or.jp/ja/2021/09/sigmon72.html

■JPCERT/CCからのお願い