<<< JPCERT/CC WEEKLY REPORT 2023-02-08 >>>

■01/29(日)〜02/04(土) のセキュリティ関連情報

目　次

【1】VMware vRealize Operationsにクロスサイトリクエストフォージェリの脆弱性

【2】複数のCisco製品に脆弱性

【3】DrupalのApigee Edgeモジュールに脆弱性

【4】富士フイルムビジネスイノベーション製ドライバー配布ツールに復元可能な形式でのパスワード保存の脆弱性

【5】三菱電機製GOT2000シリーズおよびGT SoftGOT2000のGOT Mobile機能に複数の脆弱性

【6】ジェイテクトエレクトロニクス製Screen Creator Advance 2に複数の脆弱性

【7】Androidアプリ「スシロー」にログファイルからの情報漏えいの脆弱性

【今週のひとくちメモ】JPCERT/CCが「ICS脆弱性分析レポート ― 2022年度上期 ―」を公開

【1】VMware vRealize Operationsにクロスサイトリクエストフォージェリの脆弱性

情報源

CISA Current Activity
VMware Releases Security Update for VMware vRealize Operations
https://www.cisa.gov/uscert/ncas/current-activity/2023/02/01/vmware-releases-security-update-vmware-vrealize-operations

概要

VMware vRealize Operationsには、クロスサイトリクエストフォージェリの脆
弱性があります。結果として、攻撃者が当該製品のユーザーの権限で意図しな
い操作を行う可能性があります。

対象となるバージョンは次のとおりです。

- VMware vRealize Operations（vROps）8.6系のバージョン

この問題は、該当する製品をVMwareが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、VMwareが提供する情報を参照してください。

関連文書 (英語)

VMware
VMSA-2023-0002
https://www.vmware.com/security/advisories/VMSA-2023-0002.html

【2】複数のCisco製品に脆弱性

情報源

CISA Current Activity
Cisco Releases Security Advisories for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2023/02/02/cisco-releases-security-advisories-multiple-products

概要

複数のCisco製品には、脆弱性があります。結果として、当該製品のユーザー
が製品が動作しているOS上でroot権限で任意のコマンドを実行するなどの可能
性があります。

影響を受ける製品、バージョンは多岐にわたります。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。なお、一部の製品はサポート終了のため、修正済みのバー
ジョンは提供されていません。詳細は、Ciscoが提供する情報を参照してくださ
い。

関連文書 (英語)

Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

【3】DrupalのApigee Edgeモジュールに脆弱性

情報源

CISA Current Activity
Drupal Releases Security Update to Address a Vulnerability in Apigee Edge
https://www.cisa.gov/uscert/ncas/current-activity/2023/02/02/drupal-releases-security-update-address-vulnerability-apigee-edge

概要

DrupalのApigee Edgeモジュールには、不適切なアクセス制御の脆弱性があり
ます。

対象となるモジュールおよびバージョンは次のとおりです。

- Drupal 9系向けApigee Edgeモジュール 2.0.8より前の2.0系のバージョン
- Drupal 9系向けApigee Edgeモジュール 8.x-1.27より前の8.x-1系のバージョン

この問題は、開発者が提供する修正済みのバージョンに更新することで解決し
ます。詳細は、開発者が提供する情報を参照してください。

関連文書 (英語)

Drupal
Apigee Edge - Moderately critical - Access bypass - SA-CONTRIB-2023-005
https://www.drupal.org/sa-contrib-2023-005

【4】富士フイルムビジネスイノベーション製ドライバー配布ツールに復元可能な形式でのパスワード保存の脆弱性

情報源

Japan Vulnerability Notes JVN#22830348
富士フイルムビジネスイノベーション製ドライバー配布ツールにおける復元可能な形式でのパスワード保存の脆弱性
https://jvn.jp/jp/JVN22830348/

概要

富士フイルムビジネスイノベーション製のドライバー配布ツールには、復元可
能な形式でのパスワード保存の脆弱性があります。結果として、当該製品の設
定ファイルを入手した第三者が、暗号化された管理者の認証情報を復号する可
能性があります。

対象となるバージョンは次のとおりです。

- ドライバー配布ツール v2.2.3およびそれ以前のバージョン

この問題は、該当製品を開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

富士フイルムビジネスイノベーション株式会社
弊社ソフトウェア ドライバー配布ツールにおける脆弱性のお知らせ
https://www.fujifilm.com/fb/company/news/notice/2023/0131_announce.html

【5】三菱電機製GOT2000シリーズおよびGT SoftGOT2000のGOT Mobile機能に複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#91222434
三菱電機製GOT2000シリーズおよびGT SoftGOT2000のGOT Mobile機能における複数の脆弱性
https://jvn.jp/vu/JVNVU91222434/

概要

三菱電機株式会社が提供するGOT2000シリーズおよびGT SoftGOT2000のGOT Mobile
機能には、複数の脆弱性があります。結果として、クリックジャッキングによ
り、ユーザーの意図しない操作が実行されるなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- GOT2000シリーズで「GOT Mobile 機能」を使用している場合
  - GT27モデル 01.14.000から01.47.000まで
  - GT25モデル 01.14.000から01.47.000まで
- GT SoftGOT2000で「GOT Mobile 機能」を使用している場合
  - 1.265Bから1.285Xまで

この問題は、該当製品を開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

三菱電機株式会社
GOT2000 シリーズ及び GT SoftGOT2000 の GOT Mobile 機能における意図しない操作へ誘導される脆弱性並びに情報漏えい及びなりすましの脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2022-021.pdf

【6】ジェイテクトエレクトロニクス製Screen Creator Advance 2に複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#98917488
ジェイテクトエレクトロニクス製Screen Creator Advance 2における複数の脆弱性
https://jvn.jp/vu/JVNVU98917488/

概要

株式会社ジェイテクトエレクトロニクスが提供するScreen Creator Advance 2
には、複数の脆弱性があります。結果として、細工されたScreen Creator Advance 2
のプロジェクトファイルをユーザーが開くことで、情報が漏えいしたり、任意
のコードが実行されたりする可能性があります。

対象となるバージョンは次のとおりです。

- Screen Creator Advance 2 Ver.0.1.1.4 Build01およびそれ以前

この問題は、該当製品を開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

株式会社ジェイテクトエレクトロニクス
Screen Creator Advance 2 の脆弱性情報
https://www.electronics.jtekt.co.jp/jp/topics/2023020313454/

【7】Androidアプリ「スシロー」にログファイルからの情報漏えいの脆弱性

情報源

Japan Vulnerability Notes JVN#84642320
Android アプリ「スシロー」におけるログファイルからの情報漏えいの脆弱性
https://jvn.jp/jp/JVN84642320/

概要

Androidアプリ「スシロー」には、ログファイルからの情報漏えいの脆弱性が
あります。結果として、第三者が当該製品のログファイルからユーザーIDおよ
びパスワードを取得する可能性があります。

対象となるバージョンは次のとおりです。

- スシロー Ver.4.0.31
- タイスシロー Ver.1.0.0
- 香港壽司郎 Ver.3.0.2
- Singapore Sushiro Ver.2.0.0
- 台灣壽司郎 Ver.2.0.1

この問題は、該当製品を開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

株式会社あきんどスシロー
スシロー
https://play.google.com/store/apps/details?id=jp.co.akindo_sushiro.sushiroapp

■今週のひとくちメモ

○JPCERT/CCが「ICS脆弱性分析レポート ― 2022年度上期 ―」を公開

2023年2月2日、JPCERT/CCは「ICS脆弱性分析レポート ― 2022年度上期 ―」
を公開しました。本文書は、2022年度上期に公表されたICS関連製品の脆弱性
情報の中から特徴的なものをピックアップし、その内容やICS全体への影響な
どを解説しています。ICSユーザー組織のセキュリティ担当者がICS関連製品の
脆弱性情報を認識、理解する上での参考情報としてご活用ください。

参考文献 (日本語)

JPCERT/CC
ICS脆弱性分析レポート ― 2022年度上期 ―
https://www.jpcert.or.jp/ics/ICS_VulsAnalysisReport2022H1.pdf

■JPCERT/CCからのお願い