<<< JPCERT/CC WEEKLY REPORT 2022-04-27 >>>

■04/17(日)〜04/23(土) のセキュリティ関連情報

目　次

【1】2022年4月Oracle Critical Patch Updateについて

【2】複数のCisco製品に脆弱性

【3】Drupalに複数の脆弱性

【4】JiraおよびJira Service Managementに認証回避の脆弱性

【今週のひとくちメモ】JPCERT/CCがサイバー攻撃被害に係る情報の共有・公表ガイダンス検討会に事務局として参加

【1】2022年4月Oracle Critical Patch Updateについて

情報源

CISA Current Activity
Oracle Releases April 2022 Critical Patch Update
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/19/oracle-releases-april-2022-critical-patch-update

概要

Oracleから複数の製品およびコンポーネントに含まれる脆弱性に対応した
Oracle Critical Patch Update Advisoryが公開されました。

詳細は、Oracleが提供する情報を参照してください。

関連文書 (日本語)

JPCERT/CC 注意喚起
2022年4月Oracle製品のクリティカルパッチアップデートに関する注意喚起
https://www.jpcert.or.jp/at/2022/at220012.html

関連文書 (英語)

Oracle
Oracle Critical Patch Update Advisory - April 2022
https://www.oracle.com/security-alerts/cpuapr2022.html

【2】複数のCisco製品に脆弱性

情報源

CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/21/cisco-releases-security-updates-multiple-products-0

概要

複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者がサー
ビス運用妨害（DoS）攻撃を行うなどの可能性があります。

影響度Highの脆弱性情報に記載されている製品は次のとおりです。

- Cisco Virtualized Infrastructure Manager
- Cisco Umbrella Virtual Appliance for both VMWare ESXi and Hyper-V
- Cisco RoomOS Software in Cloud-Aware On-Premises operation
- Cisco TelePresence CE Software

上記製品以外にも、影響度Mediumの複数の脆弱性情報が公開されています。詳
細はCiscoが提供する情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供するアドバイザリ情報を参照して
ください。

関連文書 (英語)

Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

【3】Drupalに複数の脆弱性

情報源

CISA Current Activity
Drupal Releases Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/21/drupal-releases-security-updates

概要

Drupalには複数の脆弱性があります。結果として、第三者が許可されていない
値を注入したり、データを上書きするなどの可能性があります。

対象となるバージョンは次のとおりです。

- Drupal 9.3.12より前の9.3系バージョン
- Drupal 9.2.18より前の9.2系バージョン

この問題は、Drupalが提供する修正済みのバージョンに更新することで解決し
ます。詳細は、Drupalが提供する情報を参照してください。

関連文書 (英語)

Drupal
Drupal core - Moderately critical - Improper input validation - SA-CORE-2022-008
https://www.drupal.org/sa-core-2022-008

Drupal
Drupal core - Moderately critical - Access bypass - SA-CORE-2022-009
https://www.drupal.org/sa-core-2022-009

【4】JiraおよびJira Service Managementに認証回避の脆弱性

情報源

Atlassian
Jira Security Advisory 2022-04-20
https://confluence.atlassian.com/jira/jira-security-advisory-2022-04-20-1115127899.html

概要

JiraおよびJira Service Managementには、認証回避の脆弱性があります。結
果として、遠隔の第三者が認証を回避するなどの可能性があります。

対象となるバージョンは次のとおりです。

 - Jira Core Server、Jira Software ServerおよびJira Software Data Centerの次のバージョン
   - 8.13.18より前のバージョン
   - 8.14.系
   - 8.15.系
   - 8.16.系
   - 8.17.系
   - 8.18.系
   - 8.19.系
   - 8.20.6より前の8.20.x系 
   - 8.21.系

 - Jira Service Management ServerおよびJira Service Management Data Centerの次のバージョン
   - 4.13.18より前のバージョン
   - 4.14.系
   - 4.15.系
   - 4.16.系
   - 4.17.系
   - 4.18.系
   - 4.19.系
   - 4.20.6より前の4.20.x系 
   - 4.21.系

この問題は、該当する製品をAtlassianが提供する修正済みのバージョンに更
新することで解決します。詳細は、Atlassianが提供するアドバイザリ情報を
参照してください。

■今週のひとくちメモ

○JPCERT/CCがサイバー攻撃被害に係る情報の共有・公表ガイダンス検討会に事務局として参加

2022年4月20日、総務省、経済産業省、警察庁、内閣サイバーセキュリティ
センターから、「サイバー攻撃被害に係る情報の共有・公表ガイダンス検討会
の開催について」と題する報道発表がなされました。当検討会の発足の運びは、
2020年度総務省調査研究事業としてJPCERT/CCが「サイバー攻撃被害情報の共
有と公表のあり方について」と題する調査・検討を行い、報告書にてサイバー
攻撃被害情報の共有と公表に係る目安となるガイダンスの必要性について提言
したもので、このたびJPCERT/CCが検討会の事務局を担うことになりました。
この提言を行うまでの過程などは、JPCERT/CCブログ「サイバー攻撃被害情報
の共有と公表のあり方について」として公開しています。

参考文献 (日本語)

JPCERT/CC
JPCERT/CCがサイバー攻撃被害に係る情報の共有・公表ガイダンス検討会に事務局として参加
https://www.jpcert.or.jp/press/2022/20220421-sharing_and_disclosure.html

JPCERT/CC
サイバー攻撃被害情報の共有と公表のあり方について
https://blogs.jpcert.or.jp/ja/2022/04/sharing_and_disclosure.html

■JPCERT/CCからのお願い