CISA Current Activity
Oracle Releases July 2022 Critical Patch Update
https://www.cisa.gov/uscert/ncas/current-activity/2022/07/20/oracle-releases-july-2022-critical-patch-update

概要

Oracleから複数の製品およびコンポーネントに含まれる脆弱性に対応した
Oracle Critical Patch Update Advisoryが公開されました。

詳細は、Oracleが提供する情報を参照してください。

【2】Google Chromeに複数の脆弱性

情報源

CISA Current Activity
Google Releases Security Updates for Chrome
https://www.cisa.gov/uscert/ncas/current-activity/2022/07/21/google-releases-security-updates-chrome

概要

Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 103.0.5060.134より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

【3】Drupalに複数の脆弱性

情報源

CISA Current Activity
Drupal Releases Security Update
https://www.cisa.gov/uscert/ncas/current-activity/2022/07/21/drupal-releases-security-update

概要

Drupalには、複数の脆弱性があります。結果として、遠隔の第三者が任意のコー
ドを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- Drupal 9.4.3より前の9.4系バージョン
- Drupal 9.3.19より前の9.3系バージョン
- Drupal 7.91より前の7系バージョン

なお、Drupal 9.3系より前の9系および8系のバージョンはサポートが終了して
おり、今回のセキュリティに関する情報は提供されていません。脆弱性ごとの
対象バージョンや条件についてはDrupalが提供する情報をご確認ください。

この問題は、Drupalが提供する修正済みのバージョンに更新することで解決し
ます。詳細は、Drupalが提供する情報を参照してください。

【4】複数のApple製品に脆弱性

情報源

CISA Current Activity
Apple Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/07/22/apple-releases-security-updates-multiple-products

概要

複数のApple製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- iOS 15.6より前のバージョン
- iPadOS 15.6より前のバージョン
- tvOS 15.6より前のバージョン
- macOS Monterey 12.5より前のバージョン
- macOS Big Sur 11.6.8より前のバージョン
- macOS Catalina（Security Update 2022-005 未適用）
- watchOS 8.7より前のバージョン
- Safari 15.6より前のバージョン

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

【5】複数のCisco製品に脆弱性

情報源

CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/07/22/cisco-releases-security-updates-multiple-products

概要

複数のCisco製品には、影響度Criticalを含む複数の脆弱性があります。結果
として、遠隔の第三者が任意のコマンドを実行するなどの可能性があります。

対象となる製品は、多岐にわたります。詳細や最新の情報については、Cisco
が提供する情報を参照してください。

【6】Confluence ServerおよびData Center用のQuestions for Confluenceアプリに脆弱性

情報源

CISA Current Activity
Atlassian Releases Security Advisory for Questions for Confluence App, CVE-2022-26138
https://www.cisa.gov/uscert/ncas/current-activity/2022/07/22/atlassian-releases-security-advisory-questions-confluence-app-cve

概要

Confluence ServerおよびData Center用のQuestions for Confluenceアプリに
は、ハードコードされた認証情報の使用の脆弱性があります。結果として、遠
隔の第三者が機微な情報を窃取するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- 次のアプリを使用していたConfluence ServerおよびData Center
  - Questions for Confluence 3.0.2
  - Questions for Confluence 2.7.34および2.7.35

なお、上記バージョン以外にも影響を受ける可能性があるとのことです。

この問題は、当該アプリをAtlassianが提供する修正済みのバージョンに更新
または回避策を適用することで解決します。詳細は、Atlassianが提供する情
報を参照してください。

【7】三菱電機製GENESIS64およびMC Works64に複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#96480474
三菱電機製GENESIS64およびMC Works64における複数の脆弱性
https://jvn.jp/vu/JVNVU96480474/

概要

三菱電機株式会社が提供するGENESIS64およびMC Works64には、複数の脆弱性
があります。結果として、第三者が悪意のあるプログラムを実行するなどの可
能性があります。

対象となる製品およびバージョンは次のとおりです。

- GENESIS64 Version 10.97から10.97.1まで
- MC Works64 Version 4.04Eおよびそれ以前の全バージョン

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

【8】サイボウズ Officeに複数の脆弱性

情報源

Japan Vulnerability Notes JVN#20573662
サイボウズ Office に複数の脆弱性
https://jvn.jp/jp/JVN20573662/

概要

サイボウズ Officeには、複数の脆弱性があります。結果として、遠隔の第三
者が、当該製品の情報を窃取したり、改ざんしたりするなどの可能性がありま
す。

対象となるバージョンは次のとおりです。

- サイボウズ Office 10.0.0から10.8.5まで

この問題は、サイボウズ Officeを開発者が提供する修正済みのバージョンに
更新することで解決します。詳細は、開発者が提供する情報を参照してくださ
い。

【9】U-Bootのsquashfsファイルシステム実装にヒープベースのバッファオーバーフローの脆弱性

情報源

Japan Vulnerability Notes JVNVU#97846460
U-Bootのsquashfsファイルシステム実装にヒープベースのバッファオーバーフローの脆弱性
https://jvn.jp/vu/JVNVU97846460/

概要

U-Bootのsquashfsファイルシステム実装には、ヒープベースのバッファオーバー
フローの脆弱性があります。結果として、細工されたsquashfsイメージをロー
ドすることで、任意のコードを実行されたり、サービス運用妨害（DoS）攻撃を
受けたりする可能性があります。

対象となるバージョンは次のとおりです。

- U-Boot バージョン v2020.10-rc2からv2022.07-rc5まで

この問題は、U-Bootを開発者が提供する修正済みのバージョンに更新すること
で解決します。詳細は、開発者が提供する情報を参照してください。

【10】Bookedにオープンリダイレクトの脆弱性

情報源

Japan Vulnerability Notes JVN#75063798
Booked におけるオープンリダイレクトの脆弱性
https://jvn.jp/jp/JVN75063798/

概要

Twinkle Toes Softwareが提供するBookedには、オープンリダイレクトの脆弱
性があります。結果として、細工されたURLにアクセスすることで、任意のWeb
サイトにリダイレクトされる可能性があります。

対象となるバージョンは次のとおりです。

- Booked 3.3より前のバージョン

この問題は、Bookedを開発者が提供する修正済みのバージョンに更新すること
で解決します。詳細は、開発者が提供する情報を参照してください。

■今週のひとくちメモ

○「製品セキュリティインシデント対応チーム（PSIRT）成熟度ドキュメント」の日本語訳が公開

2022年7月、FIRSTの製品セキュリティコミュニティによってまとめられた「製
品セキュリティインシデント対応チーム（PSIRT）成熟度ドキュメント 運用能
力と成熟度レベル」の日本語訳が公開されました。日本語訳は日本シーサート
協議会とSoftware ISACによって翻訳された後、JPCERT/CCとPanasonic PSIRT
とTOSHIBA-SIRTによってレビューされました。本ドキュメントでは、PSIRTが
成熟度レベルごとに選択する一連のユースケースとサービスの概要を紹介して
います。

参考文献 (日本語)

日本シーサート協議会
PSIRT Maturity Document 日本語版
https://www.nca.gr.jp/ttc/first_psirt_maturity_document.html

FIRST
Product Security Incident Response Team (PSIRT) Maturity Document（日本語訳）
https://www.first.org/standards/frameworks/psirts/FIRST_PSIRT_Maturity_Document_ja.pdf

■JPCERT/CCからのお願い

本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CCでは、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下のURLからご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下のURLを参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CCへのセキュリティインシデントの報告方法については以下のURLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2022-07-27号

<<< JPCERT/CC WEEKLY REPORT 2022-07-27 >>>

■07/17(日)〜07/23(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (日本語)

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

情報源

概要

○「製品セキュリティインシデント対応チーム（PSIRT）成熟度ドキュメント」の日本語訳が公開

参考文献 (日本語)

■JPCERT/CCからのお願い

目　次