-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2019-0501 JPCERT/CC 2019-02-06 <<< JPCERT/CC WEEKLY REPORT 2019-02-06 >>> ―――――――――――――――――――――――――――――――――――――― ■01/27(日)〜02/02(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】複数の Mozilla 製品に脆弱性 【2】Google Chrome に複数の脆弱性 【3】Microsoft Exchange に NTLM 中継攻撃が可能な脆弱性 【4】「フィッシング対策協議会 技術・制度検討 WG 報告会」開催のお知らせ 【今週のひとくちメモ】IPA が「情報セキュリティ10大脅威 2019」を発表 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2019/wr190501.html https://www.jpcert.or.jp/wr/2019/wr190501.xml ============================================================================ 【1】複数の Mozilla 製品に脆弱性 情報源 US-CERT Current Activity Mozilla Releases Security Updates for Firefox https://www.us-cert.gov/ncas/current-activity/2019/01/29/Mozilla-Releases-Security-Updates-Firefox US-CERT Current Activity Mozilla Releases Security Update for Thunderbird https://www.us-cert.gov/ncas/current-activity/2019/01/30/Mozilla-Releases-Security-Update-Thunderbird 概要 複数の Mozilla 製品には、脆弱性があります。結果として、遠隔の第三者が 任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするな どの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - Mozilla Firefox 65 より前のバージョン - Mozilla Firefox ESR 60.5 より前のバージョン - Mozilla Thunderbird 60.5 より前のバージョン この問題は、該当する製品を Mozilla が提供する修正済みのバージョンに更 新することで解決します。詳細は、Mozilla が提供する情報を参照してくださ い。 関連文書 (英語) Mozilla Security vulnerabilities fixed in Firefox 65 https://www.mozilla.org/en-US/security/advisories/mfsa2019-01/ Mozilla Security vulnerabilities fixed in Firefox ESR 60.5 https://www.mozilla.org/en-US/security/advisories/mfsa2019-02/ Mozilla Security vulnerabilities fixed in Thunderbird 60.5 https://www.mozilla.org/en-US/security/advisories/mfsa2019-03/ 【2】Google Chrome に複数の脆弱性 情報源 US-CERT Current Activity Google Releases Security Updates for Chrome https://www.us-cert.gov/ncas/current-activity/2019/01/29/Google-Releases-Security-Updates-Chrome 概要 Google Chrome には、複数の脆弱性があります。結果として、遠隔の第三者が サービス運用妨害 (DoS) 攻撃を行うなどの可能性があります。 対象となるバージョンは次のとおりです。 - Google Chrome 72.0.3626.81 より前のバージョン この問題は、Google Chrome を Google が提供する修正済みのバージョンに更 新することで解決します。詳細は、Google が提供する情報を参照してくださ い。 関連文書 (英語) Google Stable Channel Update for Desktop https://chromereleases.googleblog.com/2019/01/stable-channel-update-for-desktop.html 【3】Microsoft Exchange に NTLM 中継攻撃が可能な脆弱性 情報源 Japan Vulnerability Notes JVNVU#97449410 Microsoft Exchange 2013 およびそれ以降における NTLM 中継攻撃が可能な脆弱性 https://jvn.jp/vu/JVNVU97449410/ CERT/CC Vulnerability Note VU#465632 Microsoft Exchange 2013 and newer are vulnerable to NTLM relay attacks https://www.kb.cert.org/vuls/id/465632/ US-CERT Current Activity CERT/CC Reports Microsoft Exchange 2013 and Newer are Vulnerable to NTLM Relay Attacks https://www.us-cert.gov/ncas/current-activity/2019/01/28/CERTCC-Reports-Microsoft-Exchange-2013-and-Newer-are-Vulnerable 概要 Microsoft Exchange には、NTLM 中継攻撃が可能な脆弱性があります。結果と して、Exchange サーバおよび Windows ドメインコントローラに接続可能なユー ザが、ドメインの管理者権限を取得するなどの可能性があります。 対象となるバージョンは次のとおりです。 - Microsoft Exchange 2013 およびそれ以降 2019年2月5日現在、この問題に対する解決策は提供されていません。次の回避 策の実施を検討してください。 - EWS サブスクリプション機能を無効にする - Microsoft Exchange がドメイン内のオブジェクトに対して持つ権限を削除する 詳細は、情報源を参照してください。 【4】「フィッシング対策協議会 技術・制度検討 WG 報告会」開催のお知らせ 情報源 フィッシング対策協議会 フィッシング対策協議会 技術・制度検討 WG 報告会 開催のご案内 https://www.antiphishing.jp/news/event/techwg_openday2019.html 概要 フィッシング対策協議会、技術・制度検討 WG では、3月13日(水) に「フィッ シング対策協議会 技術・制度検討 WG 報告会」を開催いたします。本報告会 では、有識者や会員企業などが携わり、毎年改訂している「フィッシング対策 ガイドライン」の改定内容、および最新のフィッシングの状況や対策技術動向 などをレポートする「フィッシングレポート」について、フィッシング対策協 議会会員のみではなく、広く一般の方にも紹介いたします。 多数のお申込みをいただいており、まもなく満席となります。参加を希望され る方はお早めにお申し込みください。 日時および場所: 2019年3月13日 (水) 14:00 - 17:00 (受付開始: 13:30) 山王パークタワー　26 階　会議室 BC 〒100-0014 東京都千代田区永田町2丁目11-1 https://office.mec.co.jp/search/detail/572/#tabs02 ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○IPA が「情報セキュリティ10大脅威 2019」を発表 2019年1月30日、情報処理推進機構 (IPA) は、「情報セキュリティ10大脅威 2019」の順位を発表しました。これは、IPA が昨年発生した情報セキュリティ における事案から脅威候補を選出し、情報セキュリティ関連に携わるメンバー で審議・投票を行い、順位を決定したものです。個人に対する脅威としては 「クレジットカード情報の不正利用」が、組織に対する脅威としては「標的型 攻撃による被害」がそれぞれ 1位に選ばれているほか、「メールやSNSを使っ た脅迫・詐欺の手口による金銭要求」や「サプライチェーンの弱点を悪用した 攻撃の高まり」が新たに選出されています。なお、2月下旬に、これらの脅威 についての詳しい解説が公開予定とのことです。 参考文献 (日本語) 情報処理推進機構 (IPA) 情報セキュリティ10大脅威 2019 https://www.ipa.go.jp/security/vuln/10threats2019.html ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ -----BEGIN PGP SIGNATURE----- iQEcBAEBCAAGBQJcWiMzAAoJEDF9l6Rp7OBIzsQH/14TgYyaafz6jRWY4xJyUfuQ 3KfXIJkjlHnDAxYtl1WromTBv2zATMz/l5XzeXEqVOCkZCV2Ry1cP3JNE2T//79J Xis9bBpMly9N3sa0aPsVf7RPA7t7UXPiZmV1QzrfSEez49an7xCvxvd/xQXnqntW GsBwJ/9FcwiCNUKm3SGhVgLYtUDzqgJ+kcht8YvRetH9egEryhVcGtQGidHcemL2 20YiEOTeoG5P2QgiiBbLCC2dSufi+2SfR0r6NaSnf/lnXrbmfeIQQI2+i5doxcjg FLLBcrUGnYqlfwL5jC40EZ26ppR0D7Dh2L+ZmXtWlFwDfnNb0P/Pi+f7UszS7PY= =07qH -----END PGP SIGNATURE-----