CISA Current Activity
Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2021/01/07/google-releases-security-updates-chrome

概要

Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 87.0.4280.141 より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

【2】複数のMozilla製品に解放済みメモリ使用（Use-after-free）の脆弱性

情報源

CISA Current Activity
Mozilla Releases Security Updates for Firefox, Firefox for Android, and Firefox ESR
https://us-cert.cisa.gov/ncas/current-activity/2021/01/07/mozilla-releases-security-updates-firefox-firefox-android-and

概要

複数のMozilla製品には、解放済みメモリ使用（Use-after-free）の脆弱性が
あります。結果として、第三者が任意のコードを実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 84.0.2 より前のバージョン
- Mozilla Firefox ESR 78.6.1 より前のバージョン
- Mozilla Firefox for Android 84.1.3 より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

【3】複数のZyxel製品に認証情報がハードコードされている脆弱性

情報源

CISA Current Activity
MS-ISAC Releases Cybersecurity Advisory on Zyxel Firewalls and AP Controllers
https://us-cert.cisa.gov/ncas/current-activity/2021/01/08/ms-isac-releases-cybersecurity-advisory-zyxel-firewalls-and-ap

概要

複数のZyxel製品には、認証情報がハードコードされている脆弱性があります。
結果として、遠隔の第三者が、管理者権限でファイアウォールの設定を変更し
たり、トラフィックを傍受したりするなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Zyxel Firewall ATP、USG、USG FLEX、VPN バージョン 4.60
- Zyxel AP Controllers NXC2500、NXC5500 バージョン 6.10

この問題は、該当する製品をZyxelが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Zyxelが提供する情報を参照してください。

【4】PHPに入力値検証不備の脆弱性

情報源

The PHP Group
PHP 8.0.1 Released!
https://www.php.net/archive/2021.php#2021-01-07-3

The PHP Group
PHP 7.4.14 Released!
https://www.php.net/archive/2021.php#2021-01-07-1

The PHP Group
PHP 7.3.26 Released!
https://www.php.net/archive/2021.php#2021-01-07-2

概要

PHPには、入力値検証不備の脆弱性があります。結果として、値がURL形式であ
るか確認する「FILTER_VALIDATE_URL」関数が、無効なuserinfoを持つURLを受
け入れる可能性があります。

対象となるバージョンは次のとおりです。

- PHP 8.0.1 より前のバージョン
- PHP 7.4.14 より前のバージョン
- PHP 7.3.26 より前のバージョン

この問題は、PHPを開発者や配布元が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者や配布元が提供する情報を参照してくだ
さい。

【5】GitLabに複数の脆弱性

情報源

GitLab
GitLab Security Release: 13.7.2, 13.6.4, and 13.5.6
https://about.gitlab.com/releases/2021/01/07/security-release-gitlab-13-7-2-released/

概要

GitLabには、複数の脆弱性があります。結果として、遠隔の第三者がサービス
運用妨害（DoS）攻撃を行うなどの可能性があります。

対象となるバージョンは次のとおりです。

- GitLab Community および Enterprise Edition 13.7.2 より前の 13.7 系バージョン
- GitLab Community および Enterprise Edition 13.6.4 より前の 13.6 系バージョン
- GitLab Community および Enterprise Edition 13.5.6 より前の 13.5 系バージョン

なお、GitLabによると、上記に記載されていないバージョンも影響を受けると
のことです。詳細はGitLabが提供する情報を参照してください。

この問題は、該当する製品をGitLabが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、GitLabが提供する情報を参照してください。

【6】IPMI over LANによるRMCP接続を行う日本電気製の複数製品に認証不備の脆弱性

情報源

Japan Vulnerability Notes JVN#38752718
IPMI over LAN による RMCP 接続を行う日本電気製の複数製品に認証不備の脆弱性
https://jvn.jp/jp/JVN38752718/

概要

日本電気製の複数の製品には、IPMI over LANにおいてRMCP接続を使用してBMC
にアクセスする際、不正にセッションを確立することが可能な認証不備の脆弱
性があります。結果として、遠隔の第三者が、当該製品にログインすることで
機器の監視情報を窃取したり、機器を再起動したりするなどの可能性がありま
す。

対象となる製品およびバージョンは次のとおりです。

- Baseboard Management Controller (BMC) ファームウェア Rev1.09 およびそれ以前が適用された以下の製品
  - Express5800/T110j
  - Express5800/T110j-S
  - Express5800/T110j (2nd-Gen)
  - Express5800/T110j-S (2nd-Gen)
  - Express5800/GT110j
  - iStorage NS100Ti

本脆弱性の影響を回避するために、当該製品でのIPMI over LANの使用を停止
してください。なお、当該製品でIPMI over LANを使用する必要がある場合は、
該当する製品に次の回避策を適用することで脆弱性の影響を軽減することが可
能です。

- 本脆弱性を修正したBMCファームウェア Rev1.10以降を適用した上で、ファイアウォールなどで保護された安全なイントラネット内のみで製品を使用し、BMCをインターネットに接続しない

詳細は、日本電気株式会社が提供する情報を参照してください。

【7】UNIVERGE SV9500/SV8500シリーズに複数の脆弱性

情報源

Japan Vulnerability Notes JVN#38784555
UNIVERGE SV9500/SV8500 シリーズにおける複数の脆弱性
https://jvn.jp/jp/JVN38784555/

概要

NECプラットフォームズ株式会社が提供するUNIVERGE SV9500シリーズおよび
UNIVERGE SV8500シリーズには、複数の脆弱性があります。結果として、当該
製品へアクセス可能な第三者が、任意のコマンドを実行したり、サービス運用
妨害（DoS）攻撃を行ったりするなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- UNIVERGE SV9500シリーズ V1 から V7 までのバージョン
- UNIVERGE SV8500シリーズ S6 から S8 までのバージョン

この問題は、該当する製品をNECプラットフォームズ株式会社が提供する修正
済みのバージョンに更新することで解決します。詳細は、NECプラットフォー
ムズ株式会社が提供する情報を参照してください。

【8】InterScan Web Securityシリーズに複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#98351146
トレンドマイクロ製 InterScan Web Security シリーズの管理画面用サービスにおける複数の脆弱性
https://jvn.jp/vu/JVNVU98351146/

概要

トレンドマイクロ株式会社が提供するInterScan Web Securityシリーズの管理
画面用サービスには、複数の脆弱性があります。結果として、遠隔の第三者が
任意のコードを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

- InterScan Web Security Virtual Appliance (IWSVA) 6.5
- InterScan Web Security Suite (IWSS) 6.5 Linux 版

この問題は、該当する製品をトレンドマイクロ株式会社が提供するパッチを適
用することで解決します。パッチが適用できない場合には、回避策を適用する
ことで脆弱性の影響を軽減することが可能です。詳細は、トレンドマイクロ株
式会社が提供する情報を参照してください。

■今週のひとくちメモ

○NISCが「緊急事態宣言を踏まえたテレワーク実施にかかる注意喚起」を公開

2021年1月8日、内閣サイバーセキュリティセンター（NISC）は、1月7日に1都
3県（東京都、千葉県、埼玉県、神奈川県）を対象として緊急事態宣言が発出
されたことを受け、「緊急事態宣言(2021年1月7日)を踏まえたテレワーク実施
にかかる注意喚起」を公開しました。今回の緊急事態宣言では、感染拡大防止
対策として、出勤者数の7割削減を目指すとし、テレワークの実施が推奨され
ています。本注意喚起では、テレワーク実施率の高まりに伴い、テレワークに
関連したサイバー攻撃やサポート詐欺などのリスクが高まることから、セキュ
リティ対策を強く意識してテレワークを行うよう呼びかけています。また、こ
れまでに発出したテレワークに関連するセキュリティ上の留意点に関する注意
喚起がまとめて掲載されていますので、それらを参考に再点検を行うことを推
奨します。

参考文献 (日本語)

内閣サイバーセキュリティセンター（NISC）
緊急事態宣言(2021年1月7日)を踏まえたテレワーク実施にかかる注意喚起
https://www.nisc.go.jp/press/pdf/20210108_caution_press.pdf

■JPCERT/CCからのお願い

本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致します。ただし、JPCERT/CCでは、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下のURLからご利用いただけます。
https://www.jpcert.or.jp/wr/
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下のURLを参照してください。
https://www.jpcert.or.jp/announce.html
JPCERT/CCへのセキュリティインシデントの報告方法については以下のURLを参照してください。
https://www.jpcert.or.jp/form/

Topへ

Weekly Report 2021-01-14号

<<< JPCERT/CC WEEKLY REPORT 2021-01-14 >>>

■01/03(日)〜01/09(土) のセキュリティ関連情報

目 次

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

○NISCが「緊急事態宣言を踏まえたテレワーク実施にかかる注意喚起」を公開

参考文献 (日本語)

■JPCERT/CCからのお願い

目　次