<<< JPCERT/CC WEEKLY REPORT 2022-10-13 >>>

■10/02(日)〜10/08(土) のセキュリティ関連情報

目　次

【1】Microsoft Exchange Serverに複数の脆弱性

【2】複数のCisco製品に脆弱性

【3】バッファロー製ネットワーク機器に複数の脆弱性

【4】ISC DHCPに複数の脆弱性

【5】トレンドマイクロ製Deep SecurityおよびCloud One - Workload SecurityのWindows版Agentに複数の脆弱性

【6】GROWIにアクセス制限不備の脆弱性

【7】IPFireにクロスサイトスクリプティングの脆弱性

【今週のひとくちメモ】JPCERT/CCが「TLP v2の日本語版が公開されました」を公開

【1】Microsoft Exchange Serverに複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#96017091
Microsoft Exchange Serverに複数の脆弱性
https://jvn.jp/vu/JVNVU96017091/

概要

Microsoft Exchange Serverには、複数の脆弱性があります。結果として、当該
製品の認証情報を持つ第三者が、権限を昇格し任意のコードを実行する可能性
があります。

対象となるバージョンは次のとおりです。

- Microsoft Exchange Server 2019
- Microsoft Exchange Server 2016
- Microsoft Exchange Server 2013

2022年10月12日時点で、この問題を修正するアップデートは公開されていません。
マイクロソフト株式会社が公開している緩和策を適用の上、アップデート公開
後には速やかに適用することを推奨します。詳細は、マイクロソフト株式会社
が提供する情報を参照してください。

関連文書 (日本語)

マイクロソフト株式会社
Microsoft Exchange サーバーのゼロデイ脆弱性報告に関するお客様向けガイダンス
https://msrc-blog.microsoft.com/2022/09/30/customer-guidance-for-reported-zero-day-vulnerabilities-in-microsoft-exchange-server-ja/

関連文書 (英語)

マイクロソフト株式会社
Analyzing attacks using the Exchange vulnerabilities CVE-2022-41040 and CVE-2022-41082
https://www.microsoft.com/security/blog/2022/09/30/analyzing-attacks-using-the-exchange-vulnerabilities-cve-2022-41040-and-cve-2022-41082/

【2】複数のCisco製品に脆弱性

情報源

CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/10/06/cisco-releases-security-updates-multiple-products

概要

複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者が、機
微な情報を窃取するなどの可能性があります。

影響を受ける製品、バージョンは多岐にわたります。詳細は、Ciscoが提供す
るアドバイザリ情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)

Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

【3】バッファロー製ネットワーク機器に複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#92805279
バッファロー製ネットワーク機器における複数の脆弱性
https://jvn.jp/vu/JVNVU92805279/

概要

株式会社バッファローが提供するネットワーク製品には、複数の脆弱性があり
ます。結果として、隣接するネットワーク上の第三者が認証を回避するなどの
可能性があります。

対象となる製品は多岐にわたります。詳細は、株式会社バッファローが提供す
る情報を参照してください。

この問題は、該当する製品を株式会社バッファローが提供する修正済みのバー
ジョンに更新することで解決します。なお、対象となる製品の中には、サポー
トが終了しアップデートが提供されない製品が含まれます。株式会社バッファ
ローが提供する情報を確認し、当該製品の使用を停止して後継製品への乗り換
えを検討してください。

関連文書 (日本語)

株式会社バッファロー
【更新】ルーター等の一部商品における複数の脆弱性とその対処方法
https://www.buffalo.jp/news/detail/20221011-01.html

【4】ISC DHCPに複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#96924367
ISC DHCPにおける複数の脆弱性
https://jvn.jp/vu/JVNVU96924367/

概要

ISCが提供するISC DHCPには、複数の脆弱性があります。結果として、隣接ネッ
トワーク上の第三者がサービス運用妨害（DoS）攻撃を行う可能性があります。

対象となるバージョンは次のとおりです。

- ISC DHCP 4.2.0から4.4.3まで
- ISC DHCP 1.0.0から4.1-ESV-R16-P1まで

なお、ISCによると、すでにサポート対象外（EOL）となっているバージョンも
影響を受ける可能性がありますが、正式な検証はされていないとのことです。

この問題は、該当する製品をISCが提供する修正済みのバージョンに更新する
ことで解決します。詳細は、ISCが提供する情報を参照してください。

関連文書 (英語)

Internet Systems Consortium, Inc. (ISC)
CVE-2022-2928 An option refcount overflow exists in dhcpd
https://kb.isc.org/docs/cve-2022-2928

Internet Systems Consortium, Inc. (ISC)
CVE-2022-2929 DHCP memory leak
https://kb.isc.org/docs/cve-2022-2929

【5】トレンドマイクロ製Deep SecurityおよびCloud One - Workload SecurityのWindows版Agentに複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#99960963
トレンドマイクロ製Deep SecurityおよびCloud One - Workload SecurityのWindows版Agentにおける複数の脆弱性
https://jvn.jp/vu/JVNVU99960963/

概要

トレンドマイクロ製Deep SecurityおよびCloud One - Workload Securityの
Windows版Agentには、複数の脆弱性があります。結果として、第三者が機微な
情報を窃取するなどの可能性があります。

対象となるバージョンは次のとおりです。

- 次の製品のWindows版Agent
  - Deep Security Agent バージョン 20.0
  - Cloud One - Workload Security Agent バージョン 20.0

この問題は、該当する製品に開発者が提供するパッチを適用することで解決し
ます。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

トレンドマイクロ株式会社
アラート/アドバイザリ：Deep Security および Cloud One - Workload Security の Windows版Agentにおける複数の脆弱性について (2022年9月)
https://success.trendmicro.com/jp/solution/000291590

【6】GROWIにアクセス制限不備の脆弱性

情報源

Japan Vulnerability Notes JVN#00845253
GROWI におけるアクセス制限不備の脆弱性
https://jvn.jp/jp/JVN00845253/

概要

株式会社WESEEKが提供するGROWIには、アクセス制限不備の脆弱性があります。
結果として、当該製品にログイン可能なユーザーが、非公開に設定されている
ページを閲覧するなどの可能性があります。

対象となるバージョンは次のとおりです。

- GROWI v5.1.4より前のバージョン（v5系）
- GROWI v4.5.25より前のバージョン（v4系）

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

株式会社WESEEK
GROWI 脆弱性対応のお知らせ (JVN#00845253)
https://weseek.co.jp/ja/news/2022/10/07/growi-private-page-can-be-viewed/

【7】IPFireにクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#15411362
IPFire の WebUI におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN15411362/

概要

IPFire Projectが提供するIPFireには、クロスサイトスクリプティングの脆弱
性があります。結果として、当該製品を使用しているユーザーのWebブラウザー
上で、任意のスクリプトが実行される可能性があります。

対象となるバージョンは次のとおりです。

- IPFire 2.27 - Core Update 170より前のバージョン

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (英語)

IPFire Project
ipfire-2.x
https://github.com/ipfire/ipfire-2.x

IPFire Project
IPFire 2.27 - Core Update 170 released
https://blog.ipfire.org/post/ipfire-2-27-core-update-170-released

■今週のひとくちメモ

○JPCERT/CCが「TLP v2の日本語版が公開されました」を公開

2022年9月29日、JPCERT/CCは「TLP v2の日本語版が公開されました」と題した
ブログをJPCERT/CC Eyesで公開しました。2022年8月にFIRSTが公開したTraffic
Light Protocol（TLP）のVersion 2.0について、JPCERT/CCを含めた複数の日
本のサイバーセキュリティ関係者が協力して翻訳とレビューを行い、2022年9月
15日にFIRSTのWebサイトで日本語版が公開されました。本ブログでは、TLPの
概要とv2での変更点について解説しています。

参考文献 (日本語)

JPCERT/CC Eyes
TLP v2の日本語版が公開されました
https://blogs.jpcert.or.jp/ja/2022/09/tlp-v2.html

■JPCERT/CCからのお願い