JPCERT-WR-2020-1101 2020-03-18 2020-03-08 2020-03-14

US-CERT Current Activity https://www.us-cert.gov/ncas/current-activity/2020/03/10/microsoft-releases-march-2020-security-updates US-CERT Current Activity https://www.us-cert.gov/ncas/current-activity/2020/03/12/microsoft-releases-out-band-security-updates-smb-rce-vulnerability

複数の Microsoft 製品には、脆弱性があります。結果として、遠隔の第三者 が任意のコードを実行するなどの可能性があります。 対象となる製品は次のとおりです。 - Microsoft Windows - Microsoft Edge (EdgeHTML ベース) - Microsoft Edge (Chromium ベース) - ChakraCore - Internet Explorer - Microsoft Exchange Server - Microsoft Office、Microsoft Office Services および Web Apps - Azure DevOps - Windows Defender - Visual Studio - オープン ソース ソフトウェア - Azure - Microsoft Dynamics ※マイクロソフトは、Microsoft Server Message Block 3.1.1 (SMBv3) にお ける脆弱性情報 (CVE-2020-0796) および修正プログラムを公開しています。 詳細は Microsoft が提供する情報を参照してください。 この問題は、Microsoft Update などを用いて、更新プログラムを適用するこ とで解決します。詳細は、Microsoft が提供する情報を参照してください。

マイクロソフト株式会社 https://portal.msrc.microsoft.com/ja-JP/security-guidance/releasenotedetail/2020-Mar マイクロソフト株式会社 https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2020-0796 マイクロソフト株式会社 https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/adv200005 JPCERT/CC 注意喚起 https://www.jpcert.or.jp/at/2020/at200010.html JPCERT/CC 注意喚起 https://www.jpcert.or.jp/at/2020/at200011.html JPCERT/CC CyberNewsFlash https://www.jpcert.or.jp/newsflash/2020031102.html Vulnerability Notes JVNVU#91394194 https://jvn.jp/vu/JVNVU91394194 US-CERT Current Activity https://www.us-cert.gov/ncas/current-activity/2020/03/11/microsoft-server-message-block-rce-vulnerability US-CERT Current Activity https://www.us-cert.gov/ncas/current-activity/2020/03/10/unpatched-microsoft-exchange-servers-vulnerable-cve-2020-0688

US-CERT Current Activity https://www.us-cert.gov/ncas/current-activity/2020/03/10/intel-releases-security-updates Japan Vulnerability Notes JVNVU#94445466 https://jvn.jp/vu/JVNVU94445466/

複数の Intel 製品には、脆弱性があります。結果として、第三者が、権限を 昇格したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可能性があ ります。 影響を受ける製品やバージョンは多岐に渡ります。対象製品の詳細は、Intel が提供するアドバイザリ情報を参照してください。

Intel https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00315.html Intel https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00319.html Intel https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00326.html Intel https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00330.html Intel https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00334.html Intel https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00343.html Intel https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00349.html Intel https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00352.html Intel https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00354.html JPCERT/CC CyberNewsFlash https://www.jpcert.or.jp/newsflash/2020031101.html

US-CERT Current Activity https://www.us-cert.gov/ncas/current-activity/2020/03/10/mozilla-releases-security-updates-firefox-and-firefox-esr

複数の Mozilla 製品には、脆弱性があります。結果として、遠隔の第三者が 任意のコードを実行するなどの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - Mozilla Firefox 74 より前のバージョン - Mozilla Firefox ESR 68.6 より前のバージョン - Thunderbird 68.6 より前のバージョン この問題は、該当する製品を Mozilla が提供する修正済みのバージョンに更 新することで解決します。詳細は、Mozilla が提供する情報を参照してくださ い。

Mozilla https://www.mozilla.org/en-US/security/advisories/mfsa2020-08/ Mozilla https://www.mozilla.org/en-US/security/advisories/mfsa2020-09/ Mozilla https://www.mozilla.org/en-US/security/advisories/mfsa2020-10/

US-CERT Current Activity https://www.us-cert.gov/ncas/current-activity/2020/03/16/vmware-releases-security-updates-multiple-products

複数の VMware 製品には、脆弱性があります。結果として、ゲスト OS のユー ザがホスト OS 上でコードを実行したり、サービス運用妨害 (DoS) 攻撃を行 ったりするなどの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - VMware Workstation Pro / Player 15 系のバージョン - VMware Fusion Pro / Fusion 11 系のバージョン (OSX) - VMware Horizon Client for Windows 5 系のバージョンおよびそれ以前 - VMware Remote Console for Windows 10 系のバージョン この問題は、該当する製品を VMware が提供する修正済みのバージョンに更新 するか、パッチを適用することで解決します。詳細は、VMware が提供する情 報を参照してください。

VMware Security Advisories https://www.vmware.com/security/advisories/VMSA-2020-0004.html

GitLab https://about.gitlab.com/releases/2020/03/04/gitlab-12-dot-8-dot-2-released/

GitLab には、複数の脆弱性があります。結果として、第三者がサービス運用 妨害 (DoS) 攻撃をするなどの可能性があります。 対象となるバージョンは次のとおりです。 - GitLab Community および Enterprise Edition 12.8.2 より前の 12.8 系バージョン - GitLab Community および Enterprise Edition 12.7.7 より前の 12.7 系バージョン - GitLab Community および Enterprise Edition 12.6.8 より前の 12.6 系バージョン なお、上記に記載されていないバージョンも影響を受けるとのことです。詳細 は GitLab が提供する情報を参照してください。 この問題は、該当する製品を GitLab が提供する修正済みのバージョンに更新 することで解決します。詳細は、GitLab が提供する情報を参照してください。

Vulnerability Note JVNVU#92370624 https://jvn.jp/vu/JVNVU92370624

三菱電機株式会社が提供する MELQIC IU1 シリーズの TCP/IP 機能には、複数 の脆弱性があります。結果として、遠隔の第三者が、細工した TCP パケット を送信することで、サービス運用妨害 (DoS) 攻撃を行うなどの可能性があり ます。 対象となる製品およびバージョンは次のとおりです。 - IU1-1M20-D (バージョン 1.07 およびそれ以前) この問題は、該当する製品を三菱電機株式会社が提供する修正済みのバージョン に更新することで解決します。詳細は、三菱電機株式会社が提供する情報を参 照してください。

三菱電機株式会社 https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2019-004.pdf

Vulnerability Note JVNVU#99239584 https://jvn.jp/vu/JVNVU99239584/

TRR (Target Row Refresh) 機能を実装している DDR4 メモリシステムに対し Rowhammer 攻撃が可能であるとする研究結果が公開されています。 対象となる製品は次のとおりです。 - TRR (Target Row Refresh) 機能を実装している DDR4 メモリシステム 2020年3月12日現在、この問題への対策方法は不明です。

NCSC-NL https://advisories.ncsc.nl/advisory?id=NCSC-2020-0180 VUSec https://www.vusec.net/projects/trrespass/

2020年3月10日、情報処理推進機構 (IPA) は、「情報セキュリティ10大脅威 2020」の解説書を公開しました。これは、IPA が昨年発生した情報セキュリティ における事案から脅威候補を選出し、情報セキュリティ関連に携わるメンバー で審議・投票を行い、順位を決定したものです。解説書では、選出された 10 大脅威について組織や個人が優先順位をつけて対策を講じられるよう、各脅威 に関する用語や事例、対策などが整理されています。 情報処理推進機構 (IPA) https://www.ipa.go.jp/security/vuln/10threats2020.html