CISA Current Activity
Microsoft Releases November 2021 Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/11/09/microsoft-releases-november-2021-security-updates

概要

複数のマイクロソフト製品には、複数の脆弱性があります。結果として、第三
者が任意のコードを実行するなどの可能性があります。

対象となる製品は、多岐に渡ります。詳細はマイクロソフト株式会社が提供す
るアドバイザリ情報を参照してください。

この問題は、Microsoft Updateなどを用いて、更新プログラムを適用すること
で解決します。詳細は、マイクロソフト株式会社が提供する情報を参照してく
ださい。

【2】Palo Alto Networks PAN-OS GlobalProtectポータルおよびゲートウェイにメモリ破損の脆弱性

情報源

JPCERT/CC CyberNewsFlash
Palo Alto Networks PAN-OS GlobalProtectポータルおよびゲートウェイのメモリ破損の脆弱性（CVE-2021-3064）について
https://www.jpcert.or.jp/newsflash/2021111201.html

概要

Palo Alto NetworksのGlobalProtectポータルおよびゲートウェイにはメモリ
破損の脆弱性があります。結果として、遠隔の第三者が認証不要でroot権限で
任意のコードを実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- PAN-OS 8.1.17より前の8.1系バージョン

この問題は、該当する製品をPalo Alto Networksが提供する修正済みのバージョン
に更新することで解決します。詳細は、Palo Alto Networksが提供する情報を参照
してください。

【3】VMware vCenter Serverに権限昇格の脆弱性

情報源

CISA Current Activity
VMware Releases Security Advisory
https://us-cert.cisa.gov/ncas/current-activity/2021/11/11/vmware-releases-security-advisory

概要

VMware vCenter Serverには、権限昇格の脆弱性があります。結果として、隣
接するネットワークにいるadmin権限を持たないユーザーが権限を昇格する可
能性があります。

対象となるバージョンは次のとおりです。

- VMware vCenter Server 7.0 および 6.7
- VMware Cloud Foundation (vCenter Server) 4.x および 3.x

この問題は、該当する製品をVMwareが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、VMwareが提供する情報を参照してください。

【4】EC-CUBE 2系に複数の脆弱性

情報源

Japan Vulnerability Notes JVN#75444925
EC-CUBE 2系における複数の脆弱性
https://jvn.jp/jp/JVN75444925/

概要

EC-CUBE 2系には、複数の脆弱性があります。結果として、当該製品にログイ
ン可能なユーザーによって、本来操作権限のないシステム設定を変更されるな
どの可能性があります。

対象となるバージョンは次のとおりです。

- EC-CUBE 2.11.0 から 2.17.1 まで (EC-CUBE 2系)

この問題は、EC-CUBE 2系を株式会社イーシーキューブが提供するアップデー
トやパッチを適用することで解決します。詳細は、株式会社イーシーキューブ
が提供する情報を参照してください。

【5】複数のアドビ製品に脆弱性

情報源

CISA Current Activity
Adobe Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2021/11/09/adobe-releases-security-updates-multiple-products

概要

複数のアドビ製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。

対象となる製品は次のとおりです。

- RoboHelp Server
- Adobe InCopy
- Adobe Creative Cloud Desktop Application

この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、アドビが提供する情報を参照してください。

【6】複数のIntel製品に脆弱性

情報源

Japan Vulnerability Notes JVNVU#91196719
Intel製品に複数の脆弱性（2021年11月）
https://jvn.jp/vu/JVNVU91196719/

概要

複数のIntel製品には、脆弱性があります。結果として、第三者が権限を昇格
したり、情報を窃取したりする可能性があります。

対象となる製品は、多岐にわたります。詳細は、Intelが提供する情報を参照
してください。

この問題は、該当する製品をIntelが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Intelが提供する情報を参照してください。

【7】Sambaに複数の脆弱性

情報源

CISA Current Activity
Samba Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/11/09/samba-releases-security-updates

概要

Sambaには、複数の脆弱性があります。結果として、遠隔のユーザーが権限を
昇格するなどの可能性があります。

対象となるバージョンは次のとおりです。

- Samba 4.15.2より前のバージョン
- Samba 4.14.10より前のバージョン
- Samba 4.13.14より前のバージョン

この問題は、SambaをThe Samba Teamが提供する修正済みのバージョンに更新
することで解決します。詳細は、The Samba Teamが提供する情報を参照してく
ださい。

【8】複数のCitrix製品に脆弱性

情報源

CISA Current Activity
Citrix Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/11/09/citrix-releases-security-updates

概要

複数のCitrix製品には、脆弱性があります。結果として、遠隔の第三者がサー
ビス運用妨害（DoS）攻撃を行うなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はCitrixが提供する情報を参照
してください。

この問題は、該当する製品をCitrixが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Citrixが提供する情報を参照してください。

【9】複数のSAP製品に脆弱性

情報源

CISA Current Activity
SAP Releases November 2021 Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/11/09/sap-releases-november-2021-security-updates

概要

複数のSAP製品には、脆弱性があります。結果として、認証済みのユーザーが
権限を昇格するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はSAPが提供するアドバイザリ情
報を参照してください。

この問題は、該当する製品をSAPが提供する修正済みのバージョンに更新する
ことで解決します。詳細は、SAPが提供する情報を参照してください。

【10】ヤマハ製のルーターに複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#91161784
ヤマハ製のルーターにおける複数の脆弱性
https://jvn.jp/vu/JVNVU91161784/

概要

ヤマハ株式会社が提供する複数のルーターには、複数の脆弱性が存在します。
結果として、当該製品のWeb GUIにログインした状態のユーザーの権限で意図
せず設定情報が変更されるなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。 

- RTX830 Rev.15.02.17およびそれ以前
- NVR510 Rev.15.01.18およびそれ以前
- NVR700W Rev.15.00.19およびそれ以前
- RTX1210 Rev.14.01.38およびそれ以前

この問題は、該当する製品をヤマハ株式会社が提供する修正済みのバージョン
に更新することで解決します。詳細はヤマハ株式会社が提供する情報を参照し
てください。

【11】WordPress 用プラグイン Booking Package - Appointment Booking Calendar System にクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#68066589
WordPress 用プラグイン Booking Package - Appointment Booking Calendar System におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN68066589/

概要

WordPress 用プラグイン Booking Package - Appointment Booking Calendar
Systemには、クロスサイトスクリプティングの脆弱性が存在します。結果とし
て、当該製品を使用しているサイトにアクセスしたユーザーのウェブブラウザ
ー上で、任意のスクリプトを実行される可能性があります。

対象となるバージョンは次のとおりです。

- Booking Package - Appointment Booking Calendar System 1.5.11 より前のバージョン

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は開発者が提供する情報を参照してください。

■今週のひとくちメモ

○JNSAが「オンライン身元確認(eKYC)金融事例調査報告書」を公開

2021年11月9日、日本ネットワークセキュリティ協会(JNSA)は「オンライン身
元確認(eKYC)金融事例調査報告書」を公開しました。
オンライン化の進展とともに、これまでは対面の確認が基本であった身元確認
（KYC:Know Your Customer）もオンラインで行う方法が模索されている中、
欧州委員会（European Commission）が公開した報告書や金融庁の犯罪収益移
転防止法（犯収法）に関しての調査結果から、身元確認の方法や身元確認で
利用するオンラインでの本人確認書類（身元を確認するための書類）等を比較
・考察した内容を金融事例調査報告書として公開しています。

参考文献 (日本語)

日本ネットワークセキュリティ協会 (JNSA)
オンライン身元確認(eKYC)金融事例調査報告書
https://www.jnsa.org/result/jt2a/2021/

■JPCERT/CCからのお願い

本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CCでは、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下のURLからご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下のURLを参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CCへのセキュリティインシデントの報告方法については以下のURLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2021-11-17号

<<< JPCERT/CC WEEKLY REPORT 2021-11-17 >>>

■11/07(日)〜11/13(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

○JNSAが「オンライン身元確認(eKYC)金融事例調査報告書」を公開

参考文献 (日本語)

■JPCERT/CCからのお願い

目　次