SaltStack Salt に複数の脆弱性

JPCERT-WR-2020-1801 2020-05-13 2020-04-26 2020-05-09

SaltStack Salt に複数の脆弱性 US-CERT Current Activity SaltStack Patches Critical Vulnerabilities in Salt https://www.us-cert.gov/ncas/current-activity/2020/05/01/saltstack-patches-critical-vulnerabilities-salt

SaltStack Salt には、複数の脆弱性があります。結果として、遠隔の第三者が任意のコマンドを実行するなどの可能性があります。対象となるバージョンは次のとおりです。 - Salt 2019.2.4 より前のバージョン - Salt 3000.2 より前の 3000 系バージョンなお、既にサポートが終了している SaltStack Salt 2015.8 系、2016.3 系、 2016.11 系、2017.7 系、2018.3 系のバージョンも影響を受けるとのことです。この問題は、Salt を SaltStack が提供する修正済みのバージョンに更新することで解決します。詳細は、SaltStack が提供する情報を参照してください。

SaltStack Salt 2019.2.4 Release Notes https://docs.saltstack.com/en/latest/topics/releases/2019.2.4.html SaltStack Salt 3000.2 Release Notes https://docs.saltstack.com/en/latest/topics/releases/3000.2.html SaltStack Critical Vulnerabilities Update: CVE-2020-11651 and CVE-2020-11652 https://community.saltstack.com/blog/critical-vulnerabilities-update-cve-2020-11651-and-cve-2020-11652/ JPCERT/CC SaltStack Salt の複数の脆弱性 (CVE-2020-11651, CVE-2020-11652) に関する注意喚起 https://www.jpcert.or.jp/at/2020/at200020.html

Junos OS に複数の脆弱性 US-CERT Current Activity Juniper Releases Security Updates for Junos OS https://www.us-cert.gov/ncas/current-activity/2020/04/28/juniper-releases-security-updates-junos-os

Junos OS には、脆弱性があります。結果として、遠隔の第三者が、設定情報を窃取したり、任意のコマンドを実行したりするなどの可能性があります。対象となるバージョンは次のとおりです。 - Junos OS 20.1 - Junos OS 19.4 - Junos OS 19.3 - Junos OS 19.2 - Junos OS 19.1 - Junos OS 18.4 - Junos OS 18.3 - Junos OS 18.2 - Junos OS 18.1 - Junos OS 17.4 - Junos OS 17.3 - Junos OS 17.2 - Junos OS 15.1X49 - Junos OS 15.1 - Junos OS 14.1X53 - Junos OS 12.3X48 - Junos OS 12.3 ※この問題は、HTTP/HTTPS サービスが有効になっている Junos OS のみ影響を受けます。この問題は、Junos OS を Juniper が提供する修正済みのバージョンに更新することで解決します。詳細は、Juniper が提供する情報を参照してください。

Juniper Networks 2020-04 Out of Cycle Security Advisory: Junos OS: Security vulnerability in J-Web and web based (HTTP/HTTPS) services (CVE-2020-1631) https://kb.juniper.net/InfoCenter/index?page=content&id=JSA11021

VMware ESXi にクロスサイトスクリプティングの脆弱性 US-CERT Current Activity VMware Releases Security Updates for ESXi https://www.us-cert.gov/ncas/current-activity/2020/04/29/vmware-releases-security-updates-esxi

VMware ESXi には、クロスサイトスクリプティングの脆弱性があります。結果として、ゲスト OS のユーザがホストクライアントのユーザのブラウザ上で細工したスクリプトを実行する可能性があります。対象となるバージョンは次のとおりです。 - VMware ESXi 6.7 - VMware ESXi 6.5 この問題は、VMware ESXi に VMware が提供するパッチを適用することで解決します。詳細は、VMware が提供する情報を参照してください。

VMware Security Advisories VMSA-2020-0008 https://www.vmware.com/security/advisories/VMSA-2020-0008.html

複数の Cisco 製品に脆弱性 US-CERT Current Activity Cisco Releases Security Updates for IOS XE SD-WAN Solution Software https://www.us-cert.gov/ncas/current-activity/2020/04/30/cisco-releases-security-updates-ios-xe-sd-wan-solution-software US-CERT Current Activity Cisco Releases Security Updates for Multiple Products https://www.us-cert.gov/ncas/current-activity/2020/05/07/cisco-releases-security-updates-multiple-products

複数の Cisco 製品には、脆弱性があります。結果として、第三者が任意のコマンドを実行するなどの可能性があります。影響度 High の脆弱性情報の対象となる製品は次のとおりです。 - Cisco IOS XE SD-WAN - Cisco ASA Software - Cisco FTD Software ※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、影響度 Medium の複数の脆弱性情報が公開されています。詳細は、Cisco が提供する情報を参照してください。この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新したり、回避策を適用したりすることで解決します。詳細は、Cisco が提供する情報を参照してください。

Cisco Security Advisory Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software Malformed OSPF Packets Processing Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asa-ftd-ospf-dos-RhMQY8qx Cisco Security Advisory Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software Web Services Path Traversal Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-path-JE3azWw43 Cisco Security Advisory Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software SSL/TLS Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asa-ssl-vpn-dos-qY7BHpjN Cisco Security Advisory Cisco Adaptive Security Appliance Software Kerberos Authentication Bypass Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-asa-kerberos-bypass-96Gghe2sS Cisco Security Advisory Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software Media Gateway Control Protocol Denial of Service Vulnerabilities https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-mgcp-SUqB8VKH Cisco Security Advisory Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software IPv6 DNS Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-ipv6-67pA658k Cisco Security Advisory Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software Web Services Information Disclosure Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-info-disclose-9eJtycMB Cisco Security Advisory Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software OSPF Packets Processing Memory Leak Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asa-ftd-ospf-memleak-DHpsgfnv Cisco Security Advisory Cisco Firepower 1000 Series SSL/TLS Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ftd-tls-dos-4v5nmWtZ Cisco Security Advisory Cisco Firepower Threat Defense Software VPN System Logging Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ftd-dos-Rdpe34sd8 Cisco Security Advisory Cisco Firepower Threat Defense Software Packet Flood Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ftd-dos-N2vQZASR Cisco Security Advisory Cisco Firepower Threat Defense Software Generic Routing Encapsulation Tunnel IPv6 Denial of Service Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ftd-dos-2-sS2h7aWe Cisco Security Advisory Cisco IOS XE SD-WAN Software Command Injection Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-xesdwcinj-AcQ5MxCn

WordPress に複数の脆弱性 US-CERT Current Activity WordPress Releases Security Update https://www.us-cert.gov/ncas/current-activity/2020/04/30/wordpress-releases-security-update

WordPress には、複数の脆弱性があります。結果として、遠隔の第三者がユーザのブラウザ上で任意のスクリプトを実行するなどの可能性があります。対象となるバージョンは次のとおりです。 - WordPress 5.4.1 より前のバージョンこの問題は、WordPress を WordPress が提供する修正済みのバージョンに更新することで解決します。詳細は、WordPress が提供する情報を参照してください。

WordPress WordPress 5.4.1 https://wordpress.org/news/2020/04/wordpress-5-4-1/

Samba に複数の脆弱性 US-CERT Current Activity Samba Releases Security Updates https://www.us-cert.gov/ncas/current-activity/2020/04/28/samba-releases-security-updates

Samba には、複数の脆弱性があります。結果として、遠隔の第三者がサービス運用妨害 (DoS) 攻撃を行うなどの可能性があります。対象となるバージョンは次のとおりです。 - Samba 4.12.2 より前の 4.12 系バージョン - Samba 4.11.8 より前の 4.11 系バージョン - Samba 4.10.15 より前の 4.10 系バージョンなお、既にサポートが終了している Samba 4.00 系およびそれ以前のバージョンも影響を受けるとのことです。この問題は、Samba を The Samba Team が提供する修正済みのバージョンに更新することで解決します。詳細は、The Samba Team が提供する情報を参照してください。

The Samba Team Use-after-free in Samba AD DC LDAP Server with ASQ https://www.samba.org/samba/security/CVE-2020-10700.html The Samba Team LDAP Denial of Service (stack overflow) in Samba AD DC https://www.samba.org/samba/security/CVE-2020-10704.html

複数の Adobe 製品に脆弱性 US-CERT Current Activity Adobe Releases Security Updates for Multiple Products https://www.us-cert.gov/ncas/current-activity/2020/04/29/adobe-releases-security-updates-multiple-products

複数の Adobe 製品には、脆弱性があります。結果として、遠隔の第三者が任意のコードを実行するなどの可能性があります。対象となる製品およびバージョンは次のとおりです。 - Adobe Bridge 10.0.1 およびそれ以前のバージョン (Windows) - Adobe Illustrator 2020 24.0.2 およびそれ以前のバージョン (Windows) - Magento Commerce 2.3.4 およびそれ以前のバージョン - Magento オープンソース 2.3.4 およびそれ以前のバージョン - Magento Enterprise Edition 1.14.4.4 およびそれ以前のバージョン - Magento Community Edition 1.9.4.4 およびそれ以前のバージョンなお、既にサポートが終了している Magento Commerce および Magento オープンソース 2.2 系バージョンも影響を受けるとのことです。この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新することで解決します。詳細は、Adobe が提供する情報を参照してください。

Adobe Adobe Bridge に関するセキュリティアップデート公開 | APSB20-19 https://helpx.adobe.com/jp/security/products/bridge/apsb20-19.html Adobe Adobe Illustrator に関するセキュリティアップデート公開 | APSB20-20 https://helpx.adobe.com/jp/security/products/illustrator/apsb20-20.html Adobe Magento に関するセキュリティアップデート公開 | APSB20-22 https://helpx.adobe.com/jp/security/products/magento/apsb20-22.html JPCERT/CC 複数の Adobe 製品のアップデートについて https://www.jpcert.or.jp/newsflash/2020043001.html

複数の Mozilla 製品に脆弱性 US-CERT Current Activity Mozilla Releases Security Updates for Firefox and Firefox ESR https://www.us-cert.gov/ncas/current-activity/2020/05/06/mozilla-releases-security-updates-firefox-and-firefox-esr

複数の Mozilla 製品には、脆弱性があります。結果として、遠隔の第三者が任意のコードを実行するなどの可能性があります。対象となる製品およびバージョンは次のとおりです。 - Mozilla Firefox 76 より前のバージョン - Mozilla Firefox ESR 68.8 より前のバージョン - Mozilla Thunderbird 68.8 より前のバージョンこの問題は、該当する製品を Mozilla が提供する修正済みのバージョンに更新することで解決します。詳細は、Mozilla が提供する情報を参照してください。

Mozilla Security Vulnerabilities fixed in Firefox 76 https://www.mozilla.org/en-US/security/advisories/mfsa2020-16/ Mozilla Security Vulnerabilities fixed in Firefox ESR 68.8 https://www.mozilla.org/en-US/security/advisories/mfsa2020-17/ Mozilla Security Vulnerabilities fixed in Thunderbird 68.8.0 https://www.mozilla.org/en-US/security/advisories/mfsa2020-18/

Google Chrome に複数の脆弱性 US-CERT Current Activity Google Releases Security Updates for Chrome https://www.us-cert.gov/ncas/current-activity/2020/04/28/google-releases-security-updates-chrome US-CERT Current Activity Google Releases Security Updates for Chrome https://www.us-cert.gov/ncas/current-activity/2020/05/06/google-releases-security-updates-chrome

Google Chrome には、複数の脆弱性があります。対象となるバージョンは次のとおりです。 - Google Chrome 81.0.4044.138 より前のバージョンこの問題は、Google Chrome を Google が提供する修正済みのバージョンに更新することで解決します。詳細は、Google が提供する情報を参照してください。

Google Stable Channel Update for Desktop https://chromereleases.googleblog.com/2020/04/stable-channel-update-for-desktop_27.html Google Stable Channel Update for Desktop https://chromereleases.googleblog.com/2020/05/stable-channel-update-for-desktop.html

Gitlab に複数の脆弱性 GitLab GitLab Security Release: 12.10.2, 12.9.5, 12.8.10 https://about.gitlab.com/releases/2020/04/30/security-release-12-10-2-released/

GitLab には、複数の脆弱性があります。結果として、第三者がサービス運用妨害 (DoS) 攻撃をするなどの可能性があります。対象となるバージョンは次のとおりです。 - GitLab Community および Enterprise Edition 12.10.2 より前の 12.10 系バージョン - GitLab Community および Enterprise Edition 12.9.5 より前の 12.9 系バージョン - GitLab Community および Enterprise Edition 12.8.10 より前の 12.8 系バージョンなお、上記に記載されていないバージョンも影響を受けるとのことです。詳細は GitLab が提供する情報を参照してください。この問題は、該当する製品を GitLab が提供する修正済みのバージョンに更新することで解決します。詳細は、GitLab が提供する情報を参照してください。

VLC media player に複数の脆弱性 Video LAN Security Bulletin VLC 3.0.9 https://www.videolan.org/security/sb-vlc309.html

Video LAN が提供する VLC media player には、複数の脆弱性があります。結果として、遠隔の第三者が任意のコードを実行するなどの可能性があります。対象となるバージョンは次のとおりです。 - VLC media player 3.0.0 から 3.0.8 までのバージョンこの問題は、VLC media player を Video LAN が提供する修正済みのバージョンに更新することで解決します。詳細は、Video LAN が提供する情報を参照してください。

サイボウズ Garoon に複数の脆弱性 Japan Vulnerability Notes JVN#35649781 サイボウズ Garoon における複数の脆弱性 https://jvn.jp/jp/JVN35649781/

サイボウズ Garoon には、複数の脆弱性があります。結果として、遠隔の第三者が、ユーザのブラウザ上で任意のスクリプトを実行したり、情報を窃取したりするなどの可能性があります。対象となるバージョンは次のとおりです。 - サイボウズ Garoon 4.6.0 から 5.0.0 までのバージョン (CVE-2020-5568) - サイボウズ Garoon 4.0.0 から 4.10.3 までのバージョン (CVE-2020-5563, CVE-2020-5564, CVE-2020-5565, CVE-2020-5566, CVE-2020-5567) この問題は、サイボウズ Garoon をサイボウズ株式会社が提供する修正済みのバージョンに更新することで解決します。詳細は、サイボウズ株式会社が提供する情報を参照してください。

サイボウズ株式会社パッケージ版 Garoon 脆弱性に関するお知らせ https://cs.cybozu.co.jp/2020/006874.html

Sales Force Assistant にクロスサイトスクリプティングの脆弱性 Japan Vulnerability Notes JVN#47668991 Sales Force Assistant におけるクロスサイトスクリプティングの脆弱性 https://jvn.jp/jp/JVN47668991/

株式会社NIコンサルティングが提供する Sales Force Assistant には、クロスサイトスクリプティングの脆弱性があります。結果として、遠隔の第三者がユーザのブラウザ上で任意のコードを実行する可能性があります。対象となるバージョンは次のとおりです。 - Sales Force Assistant 11.2.48 およびそれ以前のバージョンこの問題は、Sales Force Assistant を株式会社NIコンサルティングが提供する修正済みのバージョンに更新することで解決します。詳細は、株式会社NIコンサルティングが提供する情報を参照してください。

株式会社NIコンサルティング【ご報告】Sales Force Assistantアシスタント機能の脆弱性について http://ni-consul.jp/support/info/2020/20200424_ge.html

JPCERT/CC Eyes「SysmonSearch v2.0 リリース」を公開 2020年4月30日、JPCERT/CC は、公式ブログ JPCERT/CC Eyes にて「SysmonSearch v2.0 リリース」を公開しました。SysmonSearch は、マイクロソフト社が提供している Sysmon が生成するイベントログの分析のために JPCERT/CC が作成したツールです。本記事では、SysmonSearch の以前のバージョンからの変更点や、新たな機能について紹介しています。 JPCERT/CC Eyes SysmonSearch v2.0 リリース https://blogs.jpcert.or.jp/ja/2020/04/sysmonsearch-v20.html