<<< JPCERT/CC WEEKLY REPORT 2022-05-11 >>>

■04/24(日)〜05/07(土) のセキュリティ関連情報

目　次

【1】複数のF5 Networks製品に脆弱性

【2】複数のCisco製品に脆弱性

【3】複数のMozilla製品に脆弱性

【4】Google Chromeに脆弱性

【5】OpenSSLに複数の脆弱性

【今週のひとくちメモ】2021年に報告されたフィッシングサイトの傾向と利用されたドメインについて

【1】複数のF5 Networks製品に脆弱性

情報源

CISA Current Activity
F5 Releases Security Advisories Addressing Multiple Vulnerabilities
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/04/f5-releases-security-advisories-addressing-multiple

概要

複数のF5 Networks製品には、影響度Criticalを含む複数の脆弱性があります。
結果として、BIG-IP製品の管理ポートにアクセス可能な遠隔の第三者が任意の
コマンドを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はF5 Networksが提供するアドバ
イザリ情報を参照してください。

この問題は、該当する製品をF5 Networksが提供する修正済みのバージョンに
更新するか、回避策を適用することで解決します。詳細は、F5 Networksが提
供する情報を参照してください。

関連文書 (英語)

F5 Networks
K23605346: BIG-IP iControl REST vulnerability CVE-2022-1388
https://support.f5.com/csp/article/K23605346

F5 Networks
K55879220: Overview of F5 vulnerabilities (May 2022)
https://support.f5.com/csp/article/K55879220

【2】複数のCisco製品に脆弱性

情報源

CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/28/cisco-releases-security-updates-multiple-products

CISA Current Activity
Cisco Releases Security Updates for Enterprise NFV Infrastructure Software
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/05/cisco-releases-security-updates-enterprise-nfv-infrastructure

概要

複数のCisco製品には、影響度Criticalを含む複数の脆弱性があります。結果
として、遠隔の第三者が権限を昇格したり、任意のコマンドを実行したりする
などの可能性があります。

対象となる製品は、多岐にわたります。詳細や最新の情報については、Cisco
が提供するアドバイザリ情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供するアドバイザリ情報を参照して
ください。

関連文書 (英語)

Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

【3】複数のMozilla製品に脆弱性

情報源

CISA Current Activity
Mozilla Releases Security Updates for Firefox, Firefox ESR, and Thunderbird
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/04/mozilla-releases-security-updates-firefox-firefox-esr-and

概要

複数のMozilla製品には、脆弱性があります。結果として、第三者が任意のコー
ドを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 100より前のバージョン
- Mozilla Firefox ESR 91.9より前のバージョン
- Mozilla Thunderbird 91.9より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)

Mozilla
Security Vulnerabilities fixed in Firefox 100
https://www.mozilla.org/en-US/security/advisories/mfsa2022-16/

Mozilla
Security Vulnerabilities fixed in Firefox ESR 91.9
https://www.mozilla.org/en-US/security/advisories/mfsa2022-17/

Mozilla
Security Vulnerabilities fixed in Thunderbird 91.9
https://www.mozilla.org/en-US/security/advisories/mfsa2022-18/

【4】Google Chromeに脆弱性

情報源

CISA Current Activity
Google Releases Security Updates for Chrome
https://www.cisa.gov/uscert/ncas/current-activity/2022/04/28/google-releases-security-updates-chrome

概要

Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 101.0.4951.41より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)

Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/04/stable-channel-update-for-desktop_26.html

【5】OpenSSLに複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#93032579
OpenSSLに複数の脆弱性
https://jvn.jp/vu/JVNVU93032579/

概要

OpenSSLには、複数の脆弱性があります。結果として、第三者がサービス運用
妨害（DoS）攻撃を行うなどの可能性があります。

対象となるバージョンは次のとおりです。

- OpenSSL 1.0.2zeより前のバージョン
- OpenSSL 1.1.1oより前のバージョン
- OpenSSL 3.0.3より前のバージョン

なお、OpenSSL 1.1.0はサポートが終了しているため、本脆弱性の評価を実施
していないとのことです。

この問題は、OpenSSLをOpenSSL Projectが提供する修正済みのバージョンに更
新することで解決します。詳細は、OpenSSL Projectが提供する情報を参照し
てください。

関連文書 (英語)

OpenSSL
OpenSSL Security Advisory [03 May 2022]
https://www.openssl.org/news/secadv/20220503.txt

■今週のひとくちメモ

○2021年に報告されたフィッシングサイトの傾向と利用されたドメインについて

2022年4月25日、JPCERT/CCは「2021年に報告されたフィッシングサイトの傾向
と利用されたドメイン」に関するブログを公開しました。JPCERT/CCでは、
2021年に44,242件のインシデント報告が寄せられ、そのうちフィッシングサイ
トに関するインシデント件数は、23,104件でした。本ブログでは、JPCERT/CC
に報告されたフィッシングサイトの情報をもとに、報告件数の推移やかたられ
たブランドの業種別割合、フィッシングサイトに利用されたドメインの傾向に
ついて解説します。

参考文献 (日本語)

JPCERT/CC
2021年に報告されたフィッシングサイトの傾向と利用されたドメインについて
https://blogs.jpcert.or.jp/ja/2022/04/phishing2021.html

■JPCERT/CCからのお願い