JPCERT-WR-2020-2801 2020-07-22 2020-07-12 2020-07-18

US-CERT Current Activity https://us-cert.cisa.gov/ncas/current-activity/2020/07/14/microsoft-releases-july-2020-security-updates US-CERT Current Activity https://us-cert.cisa.gov/ncas/current-activity/2020/07/14/microsoft-addresses-wormable-rce-vulnerability-windows-dns-server US-CERT Current Activity https://us-cert.cisa.gov/ncas/current-activity/2020/07/16/cisa-releases-emergency-directive-critical-microsoft-vulnerability US-CERT Current Activity https://us-cert.cisa.gov/ncas/current-activity/2020/07/17/microsoft-releases-security-update-edge

複数の Microsoft 製品には、脆弱性があります。結果として、遠隔の第三者 が任意のコードを実行するなどの可能性があります。 対象となる製品は次のとおりです。 - Microsoft Windows - Microsoft Edge (EdgeHTML ベース) - Microsoft Edge (Chromium ベース) - Microsoft ChakraCore - Internet Explorer - Microsoft Office、Microsoft Office Services および Web Apps - Windows Defender - Skype for Business - Visual Studio - Microsoft OneDrive - Azure Storage Explorer - Bond - TypeScript - .NET Framework - Azure DevOps なお、マイクロソフトは、Windows DNS サーバーの脆弱性 (CVE-2020-1350) について注意喚起を公開しています。現時点で本脆弱性の悪用は確認されてい ないものの、影響を受ける Windows Server での早期の対策実施が推奨されて います。 この問題は、Microsoft Update 等を用いて、更新プログラムを適用すること で解決します。詳細は、Microsoft が提供する情報を参照してください。

マイクロソフト株式会社 https://portal.msrc.microsoft.com/ja-JP/security-guidance/releasenotedetail/2020-Jul Microsoft Security Response Center https://msrc-blog.microsoft.com/2020/07/14/20200715-dnsvulnerability/ JPCERT/CC 注意喚起 https://www.jpcert.or.jp/at/2020/at200029.html マイクロソフト株式会社 https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2020-1341

US-CERT Current Activity https://us-cert.cisa.gov/ncas/current-activity/2020/07/14/adobe-releases-security-updates-multiple-products

複数の Adobe 製品には、脆弱性があります。結果として、遠隔の第三者が任 意のコードを実行するなどの可能性があります。 対象となる製品は次のとおりです。 - Creative Cloud デスクトップアプリケーション - Adobe Media Encoder - Adobe Genuine Service - ColdFusion 2018 - ColdFusion 2016 - Adobe Download Manager この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新 することで解決します。詳細は、Adobe が提供する情報を参照してください。

JPCERT/CC CyberNewsFlash https://www.jpcert.or.jp/newsflash/2020071501.html Adobe https://helpx.adobe.com/jp/security/products/creative-cloud/apsb20-33.html Adobe https://helpx.adobe.com/jp/security/products/media-encoder/apsb20-36.html Adobe https://helpx.adobe.com/jp/security/products/integrity_service/apsb20-42.html Adobe https://helpx.adobe.com/jp/security/products/coldfusion/apsb20-43.html Adobe https://helpx.adobe.com/jp/security/products/adm/apsb20-49.html

US-CERT Current Activity https://us-cert.cisa.gov/ncas/current-activity/2020/07/14/oracle-releases-july-2020-security-bulletin

Oracle から複数の製品およびコンポーネントに含まれる脆弱性に対応した Oracle Critical Patch Update Advisory が公開されました。 詳細は、Oracle が提供する情報を参照してください。

JPCERT/CC 注意喚起 https://www.jpcert.or.jp/at/2020/at200030.html Oracle https://www.oracle.com/security-alerts/cpujul2020.html

US-CERT Current Activity https://us-cert.cisa.gov/ncas/current-activity/2020/07/15/cisco-releases-security-updates-multiple-products

複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が任 意のコードを実行するなどの可能性があります。 影響度 Critical の脆弱性情報の対象となる製品およびバージョンは次のとお りです。 - Cisco Small Business RV110W Wireless-N VPN Firewall ファームウェア 1.2.2.8 より前のバージョン - Cisco Small Business RV130 VPN Router ファームウェア 1.0.3.55 より前のバージョン - Cisco Small Business RV130W Wireless-N Multifunction VPN Router ファームウェア 1.0.3.55 より前のバージョン - Cisco Small Business RV215W Wireless-N VPN Router ファームウェア 1.3.1.7 より前のバージョン - Cisco Prime License Manager Software 10.5(2)SU10 より前のバージョン - Cisco Prime License Manager Software 11.5(1)SU7 より前のバージョン ※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、 影響度 High および Medium の複数の脆弱性情報が公開されています。詳細 は、Cisco が提供する情報を参照してください。 この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新 することで解決します。詳細は、Cisco が提供する情報を参照してください。

Cisco Security Advisory https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv110w-static-cred-BMTWBWTy Cisco Security Advisory https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv-rce-AQKREqp Cisco Security Advisory https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv-auth-bypass-cGv9EruZ Cisco Security Advisory https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-code-exec-wH3BNFb Cisco Security Advisory https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cisco-prime-priv-esc-HyhwdzBA Cisco Security Advisory https://tools.cisco.com/security/center/publicationListing.x

US-CERT Current Activity https://us-cert.cisa.gov/ncas/current-activity/2020/07/14/google-releases-security-updates-chrome

Google Chrome には、複数の脆弱性があります。 対象となるバージョンは次のとおりです。 - Google Chrome 84.0.4147.89 より前のバージョン この問題は、Google Chrome を Google が提供する修正済みのバージョンに更 新することで解決します。詳細は、開発者が提供する情報を参照してください。

Google https://chromereleases.googleblog.com/2020/07/stable-channel-update-for-desktop.html

US-CERT Current Activity https://us-cert.cisa.gov/ncas/current-activity/2020/07/16/apple-releases-security-updates

複数の Apple 製品には、脆弱性があります。結果として、遠隔の第三者が任 意のコードを実行するなどの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - iOS 13.6 より前のバージョン - iPadOS 13.6 より前のバージョン - macOS Catalina 10.15.6 より前のバージョン - macOS Mojave (Security Update 2020-004 未適用) - macOS High Sierra (Security Update 2020-004 未適用) - tvOS 13.4.8 より前のバージョン - watchOS 6.2.8 より前のバージョン - Safari 13.1.2 より前のバージョン この問題は、該当する製品を Apple が提供する修正済みのバージョンに更新 することで解決します。詳細は、Apple が提供する情報を参照してください。

Japan Vulnerability Notes JVNVU#94090210 https://jvn.jp/vu/JVNVU94090210/ Apple https://support.apple.com/ja-jp/HT211288 Apple https://support.apple.com/ja-jp/HT211289 Apple https://support.apple.com/ja-jp/HT211290 Apple https://support.apple.com/ja-jp/HT211291 Apple https://support.apple.com/ja-jp/HT211292

SAP https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=552599675 CISA Alert (AA20-195A) https://us-cert.cisa.gov/ncas/alerts/aa20-195a

複数の SAP 製品には、脆弱性があります。結果として、遠隔の第三者が当該 製品を制御するなどの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - SAP NetWeaver AS JAVA (LM Configuration Wizard) バージョン 7.30, 7.31, 7.40, 7.50 - SAP Business Client バージョン 6.5 - SAP NetWeaver (XML Toolkit for JAVA) バージョン ENGINEAPI 7.10, 7.11, 7.20, 7.30, 7.31, 7.40, 7.50 - SAP Disclosure Management バージョン 10.1 - SAP Business Objects Business Intelligence Platform (BI Launchpad) バージョン 4.2 - SAP Business Objects Business Intelligence Platform (bipodata) バージョン 4.2 - SAP NetWeaver AS JAVA (IIOP service) (SERVERCORE) バージョン 7.10, 7.11, 7.20, 7.30, 7.31, 7.40, 7.50 - SAP NetWeaver AS JAVA (IIOP service) (CORE-TOOLS) バージョン 7.10, 7.11, 7.20, 7.30, 7.31, 7.40, 7.50 - SAP Business Objects Business Intelligence Platform (BI Launchpad and CMC) バージョン 4.1, 4.2 - SAP BusinessObjects Business Intelligence Platform (Web Intelligence HTML interface) バージョン 4.1, 4.2 - SAP NetWeaver (ABAP Server) and ABAP Platform バージョン 731, 740, 750 なお、米 CISA は、SAP NetWeaver AS Java の脆弱性 (CVE-2020-6287) につ いてアラートを公開しています。現時点で本脆弱性の悪用は確認されていない ものの、影響を受ける SAP NetWeaver AS JAVA での早期の対策実施が推奨さ れています。 この問題は、該当する製品を SAP が提供する修正済みのバージョンに更新す ることで解決します。詳細は、SAP が提供する情報を参照してください。

JPCERT/CC CyberNewsFlash https://www.jpcert.or.jp/newsflash/2020071401.html

US-CERT Current Activity https://us-cert.cisa.gov/ncas/current-activity/2020/07/14/apache-releases-security-advisories-apache-tomcat Japan Vulnerability Notes JVNVU#96390265 https://jvn.jp/vu/JVNVU96390265/

The Apache Software Foundation が提供する Apache Tomcat には複数の脆弱 性があります。結果として、サービス運用妨害 (DoS) 攻撃を行う可能性があ ります。 対象となるバージョンは次のとおりです。 - Apache Tomcat 10.0.0-M1 から 10.0.0-M6 まで - Apache Tomcat 9.0.0.M1 から 9.0.36 まで - Apache Tomcat 8.5.0 から 8.5.56 まで - Apache Tomcat 7.0.27 から 7.0.104 まで この問題は、Apache Tomcat を The Apache Software Foundation が提供する 修正済みのバージョンに更新することで解決します。詳細は、The Apache Software Foundation が提供する情報を参照してください。

The Apache Software Foundation https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.0.0-M7 The Apache Software Foundation https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.37 The Apache Software Foundation https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.57 The Apache Software Foundation https://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.105

US-CERT Current Activity https://us-cert.cisa.gov/ncas/current-activity/2020/07/17/mozilla-releases-security-update-thunderbird

Mozilla Thunderbird には、複数の脆弱性があります。結果として、遠隔の第 三者が、情報を窃取したり、サービス運用妨害 (DoS) 攻撃を行ったりするな どの可能性があります。 対象となるバージョンは次のとおりです。 - Mozilla Thunderbird 78 より前のバージョン この問題は、Mozilla が提供する修正済みのバージョンに更新することで解決 します。詳細は、Mozilla が提供する情報を参照してください。

Mozilla https://www.mozilla.org/en-US/security/advisories/mfsa2020-29/

2020年7月13日、日本セキュリティオペレーション事業者協議会 (ISOG-J) は 「マネージドセキュリティサービス(MSS)選定ガイドライン Ver.2.0」を公開 しました。本ガイドラインでは、ユーザーがマネージドセキュリティサービス (MSS) を選ぶ際のポイントや事前に検討しておくと選定がしやすいポイントに ついて、導入企画から平時の運用、インシデント時の運用といったフェーズご とに解説されています。 日本セキュリティオペレーション事業者協議会 (ISOG-J) https://isog-j.org/output/2020/MSS-Guideline_v200.html