-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2020-1301 JPCERT/CC 2020-04-01 <<< JPCERT/CC WEEKLY REPORT 2020-04-01 >>> ―――――――――――――――――――――――――――――――――――――― ■03/22(日)〜03/28(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】複数の Apple 製品に脆弱性 【2】Adobe Type Manager Library にリモートコード実行の脆弱性 【3】Adobe Creative Cloud デスクトップアプリケーションに Time-of-check Time-of-use (TOCTOU) 競合状態に関する脆弱性 【今週のひとくちメモ】JPCERT/CC 「ビジネスメール詐欺の実態調査報告書」を公開 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2020/wr201301.html https://www.jpcert.or.jp/wr/2020/wr201301.xml ============================================================================ 【1】複数の Apple 製品に脆弱性 情報源 US-CERT Current Activity Apple Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2020/03/25/apple-releases-security-updates 概要 複数の Apple 製品には、脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行したり、情報を窃取したりするなどの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - iCloud for Windows 7.18 より前のバージョン - iCloud for Windows 10.9.3 より前のバージョン - iTunes 12.10.5 for Windows より前のバージョン - iOS 13.4 より前のバージョン - iPadOS 13.4 より前のバージョン - Safari 13.1 より前のバージョン - watchOS 6.2 より前のバージョン - tvOS 13.4 より前のバージョン - macOS Catalina 10.15.4 より前のバージョン - macOS Mojave 10.14.6 (Security Update 2020-002 未適用) - macOS High Sierra 10.13.6 (Security Update 2020-002 未適用) - Xcode 11.4 より前のバージョン この問題は、該当する製品を Apple が提供する修正済みのバージョンに更新 することで解決します。詳細は、Apple が提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#96545608 複数の Apple 製品における脆弱性に対するアップデート https://jvn.jp/vu/JVNVU96545608/ 関連文書 (英語) Apple About the security content of iCloud for Windows 7.18 https://support.apple.com/en-us/HT211107 Apple About the security content of iCloud for Windows 10.9.3 https://support.apple.com/en-us/HT211106 Apple About the security content of iTunes 12.10.5 for Windows https://support.apple.com/en-us/HT211105 Apple About the security content of iOS 13.4 and iPadOS 13.4 https://support.apple.com/en-us/HT211102 Apple About the security content of Safari 13.1 https://support.apple.com/en-us/HT211104 Apple About the security content of watchOS 6.2 https://support.apple.com/en-us/HT211103 Apple About the security content of tvOS 13.4 https://support.apple.com/en-us/HT211101 Apple About the security content of macOS Catalina 10.15.4, Security Update 2020-002 Mojave, Security Update 2020-002 High Sierra https://support.apple.com/en-us/HT211100 Apple About the security content of Xcode 11.4 https://support.apple.com/en-us/HT211108 【2】Adobe Type Manager Library にリモートコード実行の脆弱性 情報源 CERT/CC Vulnerability Note VU#354840 Microsoft Windows Type 1 font parsing remote code execution vulnerabilities https://kb.cert.org/vuls/id/354840/ 概要 Adobe Type Manager Library には、Adobe Type 1 フォント形式を不適切に処 理することによるリモートコード実行の脆弱性があります。結果として、遠隔 の第三者が任意のコードを実行する可能性があります。 対象となる製品およびバージョンは次のとおりです。 - Windows 10 - Windows 8.1 - Windows RT 8.1 - Windows 7 - Windows Server 2019 - Windows Server 2016 - Windows Server 2012 - Windows Server 2008 この問題は、以下の回避策を適用することで、本脆弱性の影響を軽減すること ができます。詳細は、Microsoft が提供する情報を参照してください。なお Windows 10 については、遠隔からの任意のコード実行が成功する可能性は低 く、特権への昇格もできないことから、Windows 10 を使用している場合、回 避策の実施は推奨しないとのことです。 - Windows エクスプローラーのプレビュー ウィンドウと詳細ウィンドウを無効にする - WebClient サービスを無効にする - ATMFD.DLL の名前を変更する 関連文書 (日本語) Japan Vulnerability Notes JVNVU#95854306 Adobe Type Manager Library におけるリモートコード実行の脆弱性 https://jvn.jp/vu/JVNVU95854306/ JPCERT/CC 注意喚起 Adobe Type Manager ライブラリ の未修正の脆弱性に関する注意喚起 https://www.jpcert.or.jp/at/2020/at200015.html マイクロソフト株式会社 ADV200006 | Type 1 フォント解析のリモートでコードが実行される脆弱性 https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/adv200006 関連文書 (英語) US-CERT Current Activity Microsoft RCE Vulnerabilities Affecting Windows, Windows Server https://www.us-cert.gov/ncas/current-activity/2020/03/23/microsoft-rce-vulnerabilities-affecting-windows-windows-server 【3】Adobe Creative Cloud デスクトップアプリケーションに Time-of-check Time-of-use (TOCTOU) 競合状態に関する脆弱性 情報源 US-CERT Current Activity Adobe Releases Security Update for Creative Cloud Desktop Application https://www.us-cert.gov/ncas/current-activity/2020/03/25/adobe-releases-security-update-creative-cloud-desktop-application 概要 Creative Cloud デスクトップアプリケーションには、Time-of-check Time-of-use (TOCTOU) 競合状態に関する脆弱性があります。結果として、遠隔の第三者が 任意のファイルを削除するなどの可能性があります。 対象となるバージョンは次のとおりです。 - Creative Cloud デスクトップアプリケーション 5.0 およびそれ以前 (Windows) この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新 することで解決します。詳細は、Adobe が提供する情報を参照してください。 関連文書 (英語) Adobe Security update available for Creative Cloud Desktop Application | APSB20-11 https://helpx.adobe.com/security/products/creative-cloud/apsb20-11.html ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○JPCERT/CC 「ビジネスメール詐欺の実態調査報告書」を公開 2020年3月25日、JPCERT/CC は、「ビジネスメール詐欺の実態調査報告書」を 公開しました。同報告書は、ビジネスメール詐欺 (BEC) の被害実態を明らか にするために、アンケートやヒアリングを通じて実態調査を実施し、調査結果 や組織が取るべき対策などをまとめたものです。各組織におけるビジネスメー ル詐欺対策の参考として、ぜひご活用ください。 参考文献 (日本語) JPCERT/CC ビジネスメール詐欺の実態調査報告書 https://www.jpcert.or.jp/research/BEC-survey.html ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ -----BEGIN PGP SIGNATURE----- iQIcBAEBCAAGBQJeg9PNAAoJEKntH+qu5CT/dsUQAJUzhO3L7FPynj+pgoCKlMwI ev6IbkSGLXgfFZRXACDrkb7c7NdLoEap25MfKdGFqs5Z5i8eOfiM9oDygVZ8Ly1K Ilj4bWSkpzBiWO2CwT89d0rY83C/2pfmz8Chf20ThGjosCj1GhTxBPA/VKxkvACb pMf4lVYu/SYixMIVvj8UZ6cXTx1ETMzwUDcSm5+dg4vUl8S4NoR/XB7vCPKIcUXM sVW7nEF8eRhH+7Ds+GG1aRuG/zKQn1BrFs9rNwGTglWkZi/7555WyJFvrl5w5UpR PnbOq0V5UYrQUJtzCVD03lSdyqihuP6C+qqgMWpCAtxpBaN9kfBs6gJbshWXslxj cWm8bF+uPHmIBpxdIdIDYg4K8t9YipBEdn3qtYow9ZGUM6NXFYWHkLQmuXOxKVSP AcandHxBiM1BZV1My90YXO5Ht0UQBd36HQi/EourcpxiEhIXwumP7JXBhU0vs+gZ /S7y+IVOtqhvXtSA02++Ql/3Rxzpit8CB72dOyd3TT1wvNhKLTggvZJav5TVsg7F zLUxoLBUgDG5/6B9b5SxqZHH7qKYKIA1Bz9lPNf/XNJVUKnxXW4r3oLF6/bNc95h L8pRwHGef57sU5SToerfCXQk283Rd6alXIS5BZWOZO9Q2EZRPxZVcAXxHbcPefLX Em3DQD5y7DsVHRgEEs8g =VlfN -----END PGP SIGNATURE-----