<<< JPCERT/CC WEEKLY REPORT 2022-12-14 >>>

■12/04(日)〜12/10(土) のセキュリティ関連情報

目　次

【1】Cisco IP Phone に複数の脆弱性

【2】複数のVMware製品に脆弱性

【3】FortiOSおよびFortiProxyに認証バイパスの脆弱性

【4】バッファロー製ネットワーク機器に複数の脆弱性

【今週のひとくちメモ】JPCERT/CC ベストレポーター賞 2022

【1】Cisco IP Phone に複数の脆弱性

情報源

CISA Current Activity
Cisco Releases Security Advisory for IP Phone 7800 and 8800 Series
https://www.cisa.gov/uscert/ncas/current-activity/2022/12/09/cisco-releases-security-advisory-ip-phone-7800-and-8800-series

概要

Cisco IP Phone には脆弱性があります。結果として、隣接するネットワーク
上の第三者が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行っ
たりする可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Cisco IP Phone 7800 シリーズ ファームウェアバージョン14.2およびそれ以前
- Cisco IP Phone 8800 シリーズ ファームウェアバージョン14.2およびそれ以前（Wireless IP Phone 8821を除く）

この問題に関し、Ciscoは修正済みのバージョンの提供を予定しており、2022
年12月14日時点では一定の条件を満たす環境にて実施可能となる緩和策を提供
しています。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)

Cisco Security Advisory
Cisco IP Phone 7800 and 8800 Series Cisco Discovery Protocol Stack Overflow Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ipp-oobwrite-8cMF5r7U

【2】複数のVMware製品に脆弱性

情報源

VMware
VMSA-2022-0030
https://www.vmware.com/security/advisories/VMSA-2022-0030.html

概要

複数のVMware製品には、脆弱性があります。このうち、メモリ破壊の脆弱性
が悪用されると、ESXiにローカル環境からアクセスできる攻撃者が、ESXiサン
ドボックスから脱出するなどの可能性があります。

対象となる製品は次のとおりです。対象となるバージョンは多岐にわたります。
詳細はVMwareが提供するアドバイザリ情報を参照してください。

- VMware ESXi
- VMware vCenter Server (vCenter Server)
- VMware Cloud Foundation (Cloud Foundation)

この問題は、該当する製品をVMwareが提供する修正済みのバージョンに更新す
るか、回避策を適用することで解決します。詳細は、VMwareが提供する情報を
参照してください。

【3】FortiOSおよびFortiProxyに認証バイパスの脆弱性

情報源

Fortinet
FortiOS & FortiProxy - SSH authentication bypass when RADIUS authentication is used
https://www.fortiguard.com/psirt/FG-IR-22-255

概要

FortiOSおよびFortiProxyには、認証バイパスの脆弱性があります。結果とし
て、遠隔の第三者が、特別に細工した応答をRADIUSサーバーから送信すること
で、認証を迂回してログインする可能性があります。

対象となる製品およびバージョンは次のとおりです。

- FortiOS バージョン7.2.0から7.2.1まで
- FortiOS バージョン7.0.0から7.0.7まで
- FortiOS バージョン6.4.0から6.4.9まで
- FortiOS バージョン6.2系のすべてのバージョン
- FortiOS バージョン6.0系のすべてのバージョン
- FortiProxy バージョン7.0.0から7.0.6まで
- FortiProxy バージョン2.0.0から2.0.10まで
- FortiProxy バージョン1.2.0系のすべてのバージョン

この問題は、該当する製品をFortinetが提供する修正済みのバージョンに更新
することで解決します。詳細は、Fortinetが提供する情報を参照してください。

【4】バッファロー製ネットワーク機器に複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#97099584
バッファロー製ネットワーク機器における複数の脆弱性
https://jvn.jp/vu/JVNVU97099584/

概要

バッファロー製ネットワーク機器には、複数の脆弱性があります。結果として、
隣接するネットワーク上から当該機器の管理画面にログイン可能な第三者が、
デバッグ機能を不正に有効化し、任意のコマンドを実行するなどの可能性があ
ります。

対象となる製品は多岐にわたります。詳細は、株式会社バッファローが提供す
る情報を参照してください。

この問題は、該当する製品を株式会社バッファローが提供する修正済みのバー
ジョンに更新することで解決します。詳細は、株式会社バッファローが提供す
る情報を参照してください。

関連文書 (日本語)

株式会社バッファロー
ルーター等の一部商品における複数の脆弱性とその対処方法
https://www.buffalo.jp/news/detail/20221205-01.html

■今週のひとくちメモ

○JPCERT/CC ベストレポーター賞 2022

JPCERT/CCは12月8日、ベストレポーター賞2022の受賞者を発表しました。
ベストレポーター賞は、インシデント報告と脆弱性報告のそれぞれの部門に
おいて、情報提供によりJPCERT/CCの活動に顕著な貢献をいただいた方に年1回、
記念品の贈呈とともに感謝の意を表するものです。

JPCERT/CCは、多くの報告者の方々に日々ご協力いただいております。
JPCERT/CCに報告をくださったすべての方々に、この場を借りて感謝申し上げ
ます。引き続きJPCERT/CCの活動にご協力いただければと存じます。

参考文献 (日本語)

JPCERT/CC
JPCERT/CC ベストレポーター賞 2022
https://www.jpcert.or.jp/award/best-reporter-award/2022.html

■JPCERT/CCからのお願い