<<< JPCERT/CC WEEKLY REPORT 2023-06-14 >>>

■06/04(日)〜06/10(土) のセキュリティ関連情報

目　次

【1】因幡電機産業製Wi-Fi AP UNITに複数の脆弱性

【2】ASUSルーターRT-AX3000にSecure属性なしのCookie使用の脆弱性

【3】VMware Aria Operations for Networksに複数の脆弱性

【4】複数のCisco製品に脆弱性

【5】複数のMozilla製品に脆弱性

【6】ケービデバイス製デジタルビデオレコーダに複数の脆弱性

【7】Google Chromeに型の取り違えの脆弱性

【8】経済産業省が「IoT機器を開発する中小企業向け製品セキュリティ対策ガイド」を公開

【9】JPCERT/CCが「ELFマルウェアの静的分析におけるYaraルールを活用したF.L.I.R.Tシグネチャ作成手法」を公開

【1】因幡電機産業製Wi-Fi AP UNITに複数の脆弱性

情報源

https://jvn.jp/jp/JVN28412757/

概要

因幡電機産業株式会社が提供するWi-Fi AP UNITには、複数の脆弱性があります。この問題は、当該製品はすでにサポートを終了しており、開発者は回避・軽減策を提供しています。詳細は開発者が提供する情報を参照してください。

関連文書

https://www.inaba.co.jp/abaniact/news/Wi-Fi_AP_UNIT%E3%81%AB%E3%81%8A%E3%81%91%E3%82%8B%E8%A4%87%E6%95%B0%E3%81%AE%E8%84%86%E5%BC%B1%E6%80%A7%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6.pdf

https://jvn.jp/vu/JVNVU98968780/

【2】ASUSルーターRT-AX3000にSecure属性なしのCookie使用の脆弱性

情報源

https://jvn.jp/jp/JVN34232595/

概要

ASUSが提供するルーターRT-AX3000には、Secure属性なしのCookie使用の脆弱性があります。この問題は、当該製品を修正済みのファームウェアに更新することで解決します。詳細は開発者が提供する情報を参照してください。

関連文書

https://www.asus.com/jp/networking-iot-servers/wifi-routers/asus-wifi-routers/rt-ax3000/helpdesk_bios/?model2Name=RT-AX3000

【3】VMware Aria Operations for Networksに複数の脆弱性

情報源

https://www.cisa.gov/news-events/alerts/2023/06/08/vmware-releases-security-update-aria-operations-networks

概要

VMware Aria Operations for Networksには、複数の脆弱性があります。この問題は、当該製品をVMwareが提供する修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書

https://www.vmware.com/security/advisories/VMSA-2023-0012.html

【4】複数のCisco製品に脆弱性

情報源

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-priv-esc-Ls2B9t7b

概要

Ciscoは同社製品における脆弱性に関する新規アドバイザリを計7件（Critical 1件、High3件、Medium 3件）公開しました。影響を受ける製品、バージョンは多岐にわたります。詳細は、開発者が提供する情報を参照してください。

関連文書

https://sec.cloudapps.cisco.com/security/center/publicationListing.x

【5】複数のMozilla製品に脆弱性

情報源

https://www.cisa.gov/news-events/alerts/2023/06/07/mozilla-releases-security-updates-multiple-products

概要

複数のMozilla製品には、脆弱性があります。Firefox、Firefox ESR、Thunderbirdが影響を受けます。この問題は、当該製品を開発者が提供する修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参考にしてください。

関連文書

https://www.mozilla.org/en-US/security/advisories/mfsa2023-19/

https://www.mozilla.org/en-US/security/advisories/mfsa2023-20/

https://www.mozilla.org/en-US/security/advisories/mfsa2023-21/

【6】ケービデバイス製デジタルビデオレコーダに複数の脆弱性

情報源

https://jvn.jp/vu/JVNVU90812349/

概要

ケービデバイスが提供するデジタルビデオレコーダには、複数の脆弱性があります。この問題は、当該製品を修正済みのファームウェアに更新することで解決します。詳細は開発者が提供する情報を参照してください。

関連文書

https://www.kbdevice.com/news/%e3%83%ac%e3%82%b3%e3%83%bc%e3%83%80%e3%83%bc%e3%81%ae%e3%83%8d%e3%83%83%e3%83%88%e3%83%af%e3%83%bc%e3%82%af%e6%94%bb%e6%92%83%e3%81%ab%e5%af%be%e3%81%99%e3%82%8b%e3%82%a2%e3%83%83%e3%83%97%e3%83%87/

【7】Google Chromeに型の取り違えの脆弱性

情報源

https://chromereleases.googleblog.com/2023/06/stable-channel-update-for-desktop.html

概要

Google Chromeには、型の取り違えの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

【8】経済産業省が「IoT機器を開発する中小企業向け製品セキュリティ対策ガイド」を公開

情報源

https://www.meti.go.jp/policy/netsecurity/chusyosecurityguide.pdf

概要

2023年6月6日、経済産業省が「IoT機器を開発する中小企業向け製品セキュリティ対策ガイド」を公開しました。本ガイドでは設計や開発段階からセキュリティを考慮することの重要性について認識いただくために、機器のライフサイクルフェーズを通じた対策を整理し、セキュリティ対策を進める際、最初に取り組む事項を示しています。

関連文書

https://www.meti.go.jp/policy/netsecurity/chusyosecurityguide_keieisyagaiyou.pdf

https://www.meti.go.jp/policy/netsecurity/sme-guide.html

https://www.meti.go.jp/policy/netsecurity/chusyosecurityguide_gaiyou.pdf

【9】JPCERT/CCが「ELFマルウェアの静的分析におけるYaraルールを活用したF.L.I.R.Tシグネチャ作成手法」を公開

情報源

https://blogs.jpcert.or.jp/ja/2023/06/autoyara4flirt.html

概要

2023年6月6日、JPCERT/CCは「ELFマルウェアの静的分析におけるYaraルールを活用したF.L.I.R.Tシグネチャ作成手法」と題したブログをJPCERT/CC Eyesで公開しました。本ブログでは、ELFマルウェアがシンボル情報を削除していた場合の各関数名を特定する作業や分析ツールのIDAにおいて、適切なFLIRTシグネチャが見つからない場合の問題についてYaraルールを使用することで関数名を明らかにする手法について解説しています。

関連文書

https://github.com/JPCERTCC/AutoYara4FLIRT

■JPCERT/CCからのお願い