<<< JPCERT/CC WEEKLY REPORT 2023-10-18 >>>

■10/08(日)〜10/14(土) のセキュリティ関連情報

目　次

【1】三菱電機製MELSEC-Fシリーズ基本ユニットに不適切な認証の脆弱性

【2】複数のJuniper製品に脆弱性

【3】複数のFortinet製品に脆弱性

【4】Apache Tomcatに複数の脆弱性

【5】Google Chromeに複数の脆弱性

【6】複数のCitrix製品に脆弱性

【7】複数のマイクロソフト製品に脆弱性

【8】ProselfのXML外部実体参照（XXE）に関する脆弱性を悪用する攻撃の注意喚起

【1】三菱電機製MELSEC-Fシリーズ基本ユニットに不適切な認証の脆弱性

情報源

https://jvn.jp/vu/JVNVU90509290/

概要

三菱電機製MELSEC-Fシリーズ基本ユニットには不適切な認証の脆弱性があります。開発者によると、Ethernet通信用特殊アダプターFX3U-ENET-ADPまたはEthernetインタフェースブロックFX3U-ENET(-L)を使用する場合に、本脆弱性の影響を受けるとのことです。開発者が提供する軽減策の適用方法など、詳細は開発者が提供する情報を参照してください。

関連文書

https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2023-012.pdf

https://www.cisa.gov/news-events/ics-advisories/icsa-23-285-13

【2】複数のJuniper製品に脆弱性

情報源

https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-An-unauthenticated-attacker-with-local-access-to-the-device-can-create-a-backdoor-with-root-privileges-CVE-2023-44194

概要

Juniperは同社製品における脆弱性に関するアドバイザリを計31件（High 9件、Medium 22件）公開しました。対象製品および影響は多岐にわたり、対策は製品により異なります。詳細は開発者が提供する情報を参照してください。

関連文書

https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-MX-Series-In-a-PTP-scenario-a-prolonged-routing-protocol-churn-can-trigger-an-FPC-reboot-CVE-2023-44199

https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-and-Junos-OS-Evolved-An-rpd-crash-may-occur-when-BGP-is-processing-newly-learned-routes-CVE-2023-44197

https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-QFX5000-Series-DMA-memory-leak-is-observed-when-specific-DHCP-packets-are-transmitted-over-pseudo-VTEP-CVE-2023-44192

https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-QFX5000-Series-and-EX4000-Series-Denial-of-Service-DoS-on-a-large-scale-VLAN-due-to-PFE-hogging-CVE-2023-44191

https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-and-Junos-OS-Evolved-RPD-crash-when-attempting-to-send-a-very-long-AS-PATH-to-a-non-4-byte-AS-capable-BGP-neighbor-CVE-2023-44186

https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-and-Junos-OS-Evolved-In-a-BGP-scenario-RPD-crashes-upon-receiving-and-processing-a-specific-malformed-ISO-VPN--BGP-UPDATE-packet-CVE-2023-44185

https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-and-Junos-OS-Evolved-An-Unchecked-Return-Value-in-multiple-users-interfaces-affects-confidentiality-and-integrity-of-device-operations-CVE-2023-44182

https://supportportal.juniper.net/s/article/2023-10-Security-Bulletin-Junos-OS-QFX5k-l2-loop-in-the-overlay-impacts-the-stability-in-a-EVPN-VXLAN-environment-CVE-2023-44181

【3】複数のFortinet製品に脆弱性

情報源

https://www.cisa.gov/news-events/alerts/2023/10/11/fortinet-releases-security-updates-multiple-products

概要

Fortinetは同社製品における脆弱性に関するアドバイザリを計30件（Critical 3件、High 11件、Medium 11件、Low 5件）公開しました。対象製品および影響は多岐にわたり、対策は製品により異なります。詳細は開発者が提供する情報を参照してください。

関連文書

https://www.fortiguard.com/psirt/FG-IR-23-189

https://www.fortiguard.com/psirt/FG-IR-23-062

https://www.fortiguard.com/psirt/FG-IR-23-167

https://www.fortiguard.com/psirt/FG-IR-22-352

https://www.fortiguard.com/psirt/FG-IR-23-318

https://fortiguard.fortinet.com/psirt/FG-IR-23-085

【4】Apache Tomcatに複数の脆弱性

情報源

https://jvn.jp/vu/JVNVU93620838/

概要

Apache Tomcatには、HTTP/2プロトコルに関するサービス運用妨害（DoS）の脆弱性（CVE-2023-44487）など、複数の脆弱性があります。これらの問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

関連文書

https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.75

https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.0-M12

https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.14

https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.94

【5】Google Chromeに複数の脆弱性

情報源

https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_10.html

概要

Google Chromeには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

【6】複数のCitrix製品に脆弱性

情報源

https://www.cisa.gov/news-events/alerts/2023/10/10/citrix-releases-security-updates-multiple-products

概要

CitrixはCitrix NetScaler ADC（Citrix ADC）、NetScaler Gateway（Citrix Gateway）およびCitrix Hypervisorにおける複数の脆弱性に関する情報を公開しました。影響を受ける製品を利用している場合、Citrixが提供する最新の情報や関連情報をご確認の上、速やかに対策の適用などをご検討ください。

関連文書

https://support.citrix.com/article/CTX579459/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967

https://support.citrix.com/article/CTX575089/citrix-hypervisor-multiple-security-updates

【7】複数のマイクロソフト製品に脆弱性

情報源

https://www.cisa.gov/news-events/alerts/2023/10/10/microsoft-releases-october-2023-security-updates

概要

複数のマイクロソフト製品に関する脆弱性が公開されています。この問題は、Microsoft Updateなどを用いて、更新プログラムを適用することで解決します。対象となる製品およびバージョンは多岐にわたります。マイクロソフトは今回修正された脆弱性を悪用する攻撃をすでに確認しているとのことです。詳細は開発者が提供する情報を参照してください。

関連文書

https://www.jpcert.or.jp/at/2023/at230023.html

https://msrc.microsoft.com/blog/2023/10/202310-security-update/

【8】ProselfのXML外部実体参照（XXE）に関する脆弱性を悪用する攻撃の注意喚起

情報源

https://www.jpcert.or.jp/at/2023/at230022.html

概要

2023年10月10日、JPCERT/CCはオンラインストレージ構築パッケージ製品「Proself」のXML外部実体参照（XXE）に関する脆弱性を悪用する攻撃の注意喚起を公開しました。JPCERT/CCがこれまでに確認している、同脆弱性を悪用する攻撃に関するインディケータ情報も記載しております。ご参照のうえ、侵害有無の調査実施を検討ください。

■JPCERT/CCからのお願い