-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2020-3301 JPCERT/CC 2020-08-26 <<< JPCERT/CC WEEKLY REPORT 2020-08-26 >>> ―――――――――――――――――――――――――――――――――――――― ■08/16(日)〜08/22(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】ISC BIND 9 に複数の脆弱性 【2】複数の Cisco 製品に脆弱性 【3】Google Chrome にバッファオーバーフローの脆弱性 【4】GitLab にアクセス制御の脆弱性 【5】Exment にクロスサイトスクリプティングの脆弱性 【今週のひとくちメモ】IPA が「【注意喚起】事業継続を脅かす新たなランサムウェア攻撃について」を公開 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2020/wr203301.html https://www.jpcert.or.jp/wr/2020/wr203301.xml ============================================================================ 【1】ISC BIND 9 に複数の脆弱性 情報源 CISA Current Activity ISC Releases Security Advisories for BIND https://us-cert.cisa.gov/ncas/current-activity/2020/08/21/isc-releases-security-advisories-bind 概要 ISC BIND 9 には、複数の脆弱性があります。結果として、遠隔の第三者がサー ビス運用妨害 (DoS) 攻撃を行う可能性があります。 対象となるバージョンは次のとおりです。 - BIND 9.16系 9.16.0 から 9.16.5 まで - BIND 9.14系 9.14.0 から 9.14.12 まで - BIND 9.11系 9.11.3 から 9.11.21 まで - BIND 9 Supported Preview Edition 9.9.3-S1 から 9.11.21-S1 まで ※なお既にサポートが終了している BIND 9.10系以前や 9.12系、9.13系、 9.15系および開発版の 9.17系についても本脆弱性の影響を受けます。 この問題は、ISC BIND を ISC が提供する修正済みのバージョンに更新するこ とで解決します。詳細は、ISC が提供する情報を参照してください。 関連文書 (日本語) JPCERT/CC ISC BIND 9 に対する複数の脆弱性に関する注意喚起 https://www.jpcert.or.jp/at/2020/at200035.html Japan Vulnerability Notes JVNVU#98069467 ISC BIND 9 に複数の脆弱性 https://jvn.jp/vu/JVNVU98069467/ 関連文書 (英語) ISC Knowledge Base CVE-2020-8620: A specially crafted large TCP payload can trigger an assertion failure in tcpdns.c https://kb.isc.org/docs/cve-2020-8620 ISC Knowledge Base CVE-2020-8621: Attempting QNAME minimization after forwarding can lead to an assertion failure in resolver.c https://kb.isc.org/docs/cve-2020-8621 ISC Knowledge Base CVE-2020-8622: A truncated TSIG response can lead to an assertion failure https://kb.isc.org/docs/cve-2020-8622 ISC Knowledge Base CVE-2020-8623: A flaw in native PKCS#11 code can lead to a remotely triggerable assertion failure in pk11.c https://kb.isc.org/docs/cve-2020-8623 ISC Knowledge Base CVE-2020-8624: update-policy rules of type "subdomain" are enforced incorrectly https://kb.isc.org/docs/cve-2020-8624 【2】複数の Cisco 製品に脆弱性 情報源 CISA Current Activity Cisco Releases Security Updates https://us-cert.cisa.gov/ncas/current-activity/2020/08/20/cisco-releases-security-updates 概要 複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が任 意のコードを実行するなどの可能性があります。 影響度 Critical および High の脆弱性情報に記載されている製品は次のとお りです。 - Cisco ENCS 5400-W Series - Cisco CSP 5000-W Series - Cisco Video Surveillance 8000 Series IP Cameras - Cisco Smart Software Manager On-Prem - Cisco Smart Software Manager satellite ※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、 影響度 Medium の複数の脆弱性情報が公開されています。詳細は、Cisco が 提供する情報を参照してください。 この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新 することで解決します。詳細は、Cisco が提供する情報を参照してください。 関連文書 (英語) Cisco Security Advisory Cisco vWAAS for Cisco ENCS 5400-W Series and CSP 5000-W Series Default Credentials Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-waas-encsw-cspw-cred-hZzL29A7 Cisco Security Advisory Cisco Video Surveillance 8000 Series IP Cameras Cisco Discovery Protocol Remote Code Execution and Denial of Service Vulnerabilities https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ipcameras-rce-dos-uPyJYxN3 Cisco Security Advisory Cisco Smart Software Manager On-Prem Privilege Escalation Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-smart-priv-esca-nqwxXWBu 【3】Google Chrome にバッファオーバーフローの脆弱性 情報源 CISA Current Activity Google Releases Security Updates for Chrome https://us-cert.cisa.gov/ncas/current-activity/2020/08/19/google-releases-security-updates-chrome 概要 Google Chrome には、バッファオーバーフローの脆弱性があります。 対象となるバージョンは次のとおりです。 - Google Chrome 84.0.4147.135 より前のバージョン この問題は、Google が提供する修正済みのバージョンに更新することで解決 します。詳細は、Google が提供する情報を参照してください。 関連文書 (英語) Google Stable Channel Update for Desktop https://chromereleases.googleblog.com/2020/08/stable-channel-update-for-desktop_18.html 【4】GitLab にアクセス制御の脆弱性 情報源 GitLab GitLab Critical Security Release: 13.2.6, 13.1.8, 13.0.14 https://about.gitlab.com/releases/2020/08/18/critical-security-release-gitlab-13-2-6-released/ 概要 GitLab には、アクセス制御の脆弱性があります。結果として、許可されてい ない第三者がリポジトリへアクセスする可能性があります。 対象となるバージョンは次のとおりです。 - GitLab EE 10.7 以降のバージョン この問題は、該当する製品を GitLab が提供する修正済みのバージョンに更新 することで解決します。詳細は、GitLab が提供する情報を参照してください。 【5】Exment にクロスサイトスクリプティングの脆弱性 情報源 Japan Vulnerability Notes JVN#88315581 Exment における複数のクロスサイトスクリプティングの脆弱性 https://jvn.jp/jp/JVN88315581/ 概要 株式会社カジトリが提供する Exment には、クロスサイトスクリプティングの 脆弱性が存在します。結果として、遠隔の第三者がユーザのウェブブラウザ上 で、任意のスクリプトを実行する可能性があります。 対象となるバージョンは次のとおりです。 - Exment v3.6.0 より前のバージョン この問題は、該当する製品を株式会社カジトリが提供する修正済みのバージョン に更新することで解決します。詳細は、株式会社カジトリが提供する情報を参 照してください。 関連文書 (日本語) 株式会社カジトリ 脆弱性対応 クロスサイトスクリプティング、ならびに画面入力でのスクリプト実行の方針について https://exment.net/docs/#/ja/weakness/20200819 ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○IPA が「【注意喚起】事業継続を脅かす新たなランサムウェア攻撃について」を公開 2020年8月20日、情報処理推進機構 (IPA) は、「事業継続を脅かす新たなラン サムウェア攻撃について」と題して注意喚起およびレポートを公開しました。 企業や組織の事業継続に関わる近年における深刻な脅威として、「人手による ランサムウェア攻撃」と「二重の脅迫」を挙げ、被害の事例や攻撃手口、推奨 される対策などについて解説しています。 参考文献 (日本語) 情報処理推進機構 (IPA) 【注意喚起】事業継続を脅かす新たなランサムウェア攻撃について https://www.ipa.go.jp/security/announce/2020-ransom.html ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CC からのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL を参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ -----BEGIN PGP SIGNATURE----- iQIcBAEBCAAGBQJfRaaEAAoJEKntH+qu5CT/XfcQAIguRfWUCw/P4MgqLodBeIEG x14rTZ+2H+2VONSsJLY3wVJIUZjj/20GWy+I1z3bAjvP8vTFATqkdPqdS21W1zP3 VbC91+IoSj6FNuotBR6JtKoKhi0Q36U5p2rxPljdF6/cSPbAVSrT1c419Osdw+aM v5cnMf3/UNw8tMuO8dkrnUuwZCBzWK1w9Em5bBC7n66Eh2BHzyA0UI3JaRdFZiot J2YnJGXURlsaM3mnYrEPwOktEwby7pjsKwnM4s53GQ7xIBDtX7E5ev/FiN3Hztpa vBMH9PwEgChxQ5mvHmkT1jVz6DMwoHe3QRAS6HbXnzXfwv80plnec1FcQqBsY9B3 FaNm0M9ag/cmwGKtJ4r+dYRPYcEY7zDlkkgk8Evm8sVVzqhJwJzyTsH2tPhjPuvo kbKLzmj1lFAXCmMcWGWlU8GomTwyL82joKJhMOJ9A7U9Jw945h00UhRR66ebIM7y OGwBclijCsH4Wl7LKo0eUHcNTvb3jYZZwVQiwmwA2cQEzRrmXGsCVlOnEkhFwJGL xBYwEAJ/IiJk7IP+I6vQ8VcFJCehLmaqx1jmHdZBHPA2SPDgZNN+XSsg5AejgQsF MmKg1MMl5wMfU3drYGNiewxnTbkEXlwO9ALrrg6ex7KBefVhjY8Dw8uDOS5ALuhy bvxgwYlbGc8Uf+gWNeM2 =a96G -----END PGP SIGNATURE-----