-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2021-0301 JPCERT/CC 2021-01-20 <<< JPCERT/CC WEEKLY REPORT 2021-01-20 >>> ―――――――――――――――――――――――――――――――――――――― ■01/10(日)〜01/16(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】複数のマイクロソフト製品に脆弱性 【2】複数のアドビ製品に脆弱性 【3】複数のCisco製品に脆弱性 【4】複数のJuniper製品に脆弱性 【5】複数のSAP製品に脆弱性 【6】Apache Tomcatに情報漏えいの脆弱性 【7】Mozilla Thunderbirdに解放済みメモリ使用（use-after-free）の脆弱性 【8】SKYSEA Client ViewにDLL読み込みに関する脆弱性 【9】acmailerに複数の脆弱性 【10】ウイルスバスタービジネスセキュリティシリーズに複数の脆弱性 【11】Apex One およびウイルスバスター コーポレートエディションに複数の脆弱性 【今週のひとくちメモ】アドビはFlash PlayerにおけるFlashコンテンツの実行をブロックしました ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2021/wr210301.html https://www.jpcert.or.jp/wr/2021/wr210301.xml ============================================================================ 【1】複数のマイクロソフト製品に脆弱性 情報源 CISA Current Activity Microsoft Releases January 2021 Security Updates https://us-cert.cisa.gov/ncas/current-activity/2021/01/12/microsoft-releases-january-2021-security-updates CISA Current Activity RCE Vulnerability Affecting Microsoft Defender https://us-cert.cisa.gov/ncas/current-activity/2021/01/14/rce-vulnerability-affecting-microsoft-defender CISA Current Activity Microsoft Releases Security Updates for Edge https://us-cert.cisa.gov/ncas/current-activity/2021/01/11/microsoft-releases-security-updates-edge 概要 複数のマイクロソフト製品には、脆弱性があります。結果として、遠隔の第三 者が任意のコードを実行するなどの可能性があります。 対象となる製品は次のとおりです。 - Microsoft Windows - Microsoft Edge（EdgeHTMLベース) - Microsoft Edge（Chromiumベース） - Microsoft Office、Microsoft Office Services、およびWeb Apps - Microsoft Windows Codecs Library - Visual Studio - SQL Server - Microsoft Malware Protection Engine - .NET Core - .NET Repository - ASP .NET - Azure - Windows Defender この問題は、Microsoft Updateなどを用いて、更新プログラムを適用すること で解決します。詳細は、マイクロソフトが提供する情報を参照してください。 関連文書 (日本語) マイクロソフト株式会社 2021 年 1 月のセキュリティ更新プログラム https://portal.msrc.microsoft.com/ja-JP/security-guidance/releasenotedetail/2021-Jan マイクロソフト株式会社 Microsoft Edge (Chromium ベース) 用の Chromium のセキュリティ更新プログラム https://msrc.microsoft.com/update-guide/vulnerability/ADV200002 マイクロソフト株式会社 Microsoft Defender のリモートでコードが実行される脆弱性 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647 JPCERT/CC 注意喚起 2021年1月マイクロソフトセキュリティ更新プログラムに関する注意喚起 https://www.jpcert.or.jp/at/2021/at210001.html 【2】複数のアドビ製品に脆弱性 情報源 CISA Current Activity Adobe Releases Security Updates for Multiple Products https://us-cert.cisa.gov/ncas/current-activity/2021/01/12/adobe-releases-security-updates-multiple-products 概要 複数のアドビ製品には、脆弱性があります。結果として、第三者が任意のコー ドを実行するなどの可能性があります。 対象となる製品は次のとおりです。 - Adobe Photoshop - Adobe Illustrator - Adobe Animate - Adobe Campaign Classic - Adobe InCopy - Adobe Captivate - Adobe Bridge この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す ることで解決します。詳細は、アドビが提供する情報を参照してください。 関連文書 (日本語) JPCERT/CC CyberNewsFlash 複数のアドビ製品のアップデートについて https://www.jpcert.or.jp/newsflash/2021011301.html 関連文書 (英語) アドビ Security Bulletins Posted https://blogs.adobe.com/psirt/?p=1960 アドビ Security updates available for Adobe Photoshop | APSB21-01 https://helpx.adobe.com/security/products/photoshop/apsb21-01.html アドビ Security Updates Available for Adobe Illustrator | APSB21-02 https://helpx.adobe.com/security/products/illustrator/apsb21-02.html アドビ Security updates available for Adobe Animate | APSB21-03 https://helpx.adobe.com/security/products/animate/apsb21-03.html アドビ Security updates available for Adobe Campaign Classic | APSB21-04 https://helpx.adobe.com/security/products/campaign/apsb21-04.html アドビ Security Update Available for Adobe InCopy | APSB21-05 https://helpx.adobe.com/security/products/incopy/apsb21-05.html アドビ Security hotfix available for Adobe Captivate | APSB21-06 https://helpx.adobe.com/security/products/captivate/apsb21-06.html アドビ Security Updates Available for Adobe Bridge | APSB21-07 https://helpx.adobe.com/security/products/bridge/apsb21-07.html 【3】複数のCisco製品に脆弱性 情報源 CISA Current Activity Cisco Releases Security Updates for Multiple Products https://us-cert.cisa.gov/ncas/current-activity/2021/01/14/cisco-releases-security-updates-multiple-products 概要 複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者が任意 のコードを実行するなどの可能性があります。 影響度CriticalおよびHighの脆弱性情報に記載されている製品は次のとおりで す。 - Cisco AnyConnect Secure Mobility Client for Windows 4.9.04043より前のバージョン - Cisco Small Business routers RV110W Wireless-N VPN Firewall RV130 VPN Router RV130W Wireless-N Multifunction VPN Router RV215W Wireless-N VPN Router - Cisco CMX releases 10.6.0、10.6.1、および10.6.2 ※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、 影響度Mediumの複数の脆弱性情報が公開されています。詳細は、Ciscoが提 供する情報を参照してください。 この問題の解決策は次の通りです。該当する製品のうちサポート対象の製品は Ciscoが提供する修正済みのバージョンに更新してください。EOL製品は代替品 への置き換えを検討してください。 関連文書 (英語) Cisco Cisco Small Business RV110W, RV130, RV130W, and RV215W Routers Management Interface Remote Command Execution and Denial of Service Vulnerabilities https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv-overflow-WUnUgv4U Cisco Cisco AnyConnect Secure Mobility Client for Windows DLL Injection Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-anyconnect-dll-injec-pQnryXLf Cisco Cisco Small Business RV110W, RV130, RV130W, and RV215W Routers Management Interface Command Injection Vulnerabilities https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-rv-command-inject-LBdQ2KRN Cisco Cisco Connected Mobile Experiences Privilege Escalation Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cmxpe-75Asy9k 【4】複数のJuniper製品に脆弱性 情報源 CISA Current Activity Juniper Networks Releases Security Updates for Multiple Products https://us-cert.cisa.gov/ncas/current-activity/2021/01/14/juniper-networks-releases-security-updates-multiple-products 概要 複数のJuniper製品には、脆弱性があります。結果として、遠隔の第三者が サービス運用妨害（DoS）攻撃を行ったりするなどの可能性があります。 対象となる製品は、多岐に渡ります。詳細は、Juniperが提供する情報を参照 してください。 関連文書 (英語) Juniper Networks Security Advisories https://kb.juniper.net/InfoCenter/index?page=content&channel=SECURITY_ADVISORIES 【5】複数のSAP製品に脆弱性 情報源 CISA Current Activity SAP Releases January 2021 Security Updates https://us-cert.cisa.gov/ncas/current-activity/2021/01/12/sap-releases-january-2021-security-updates 概要 複数のSAP製品には、脆弱性があります。結果として、遠隔の第三者がSQLイン ジェクション攻撃を実施するなどの可能性があります。 対象となる製品は、多岐に渡ります。詳細はSAPが提供するアドバイザリ情報 を参照してください。 この問題は、該当する製品を SAPが提供する修正済みのバージョンに更新する ことで解決します。詳細は、SAPが提供する情報を参照してください。 関連文書 (英語) SAP SAP Security Patch Day - January 2021 https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=564760476 【6】Apache Tomcatに情報漏えいの脆弱性 情報源 CISA Current Activity Apache Releases Security Advisory for Tomcat https://us-cert.cisa.gov/ncas/current-activity/2021/01/15/apache-releases-security-advisory-tomcat 概要 Apache Tomcatには、情報漏えいの脆弱性があります。結果としてJSPのソース コードが漏えいするなどの可能性があります。 対象となる製品は以下のとおりです。 - Apache Tomcat 10.0.0-M1から10.0.0-M9 - Apache Tomcat 9.0.0.M1から9.0.39 - Apache Tomcat 8.5.0から8.5.59 - Apache Tomcat 7.0.0から7.0.106 この問題は、Apache Tomcatを開発者が提供する修正済みのバージョンに更新 することで解決します。詳細は、開発者が提供する情報を参照してください。 関連文書 (日本語) Japan Vulnerability Notes JVNVU#96136392 Apache Tomcat における Java API の実装不備に起因する情報漏えいの脆弱性 https://jvn.jp/vu/JVNVU96136392/ JPCERT/CC 注意喚起 Apache Tomcatの脆弱性（CVE-2021-24122）に関する注意喚起 https://www.jpcert.or.jp/at/2021/at210002.html 関連文書 (英語) Apache Software Foundation CVE-2021-24122 Apache Tomcat Information Disclosure https://lists.apache.org/thread.html/r1595889b083e05986f42b944dc43060d6b083022260b6ea64d2cec52%40%3Cannounce.tomcat.apache.org%3E Apache Software Foundation Fixed in Apache Tomcat 10.0.0-M10 https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.0.0-M10 Apache Software Foundation Fixed in Apache Tomcat 9.0.40 https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.40 Apache Software Foundation Fixed in Apache Tomcat 8.5.60 https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.60 Apache Software Foundation Fixed in Apache Tomcat 7.0.107 https://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.107 【7】Mozilla Thunderbirdに解放済みメモリ使用（use-after-free）の脆弱性 情報源 CISA Current Activity Mozilla Releases Security Update for Thunderbird https://us-cert.cisa.gov/ncas/current-activity/2021/01/12/mozilla-releases-security-update-thunderbird 概要 Mozilla Thunderbirdには、解放済みメモリ使用（use-after-free）の脆弱性 があります。結果として、第三者が任意のコードを実行するなどの可能性があ ります。 対象となるバージョンは次のとおりです。 - Mozilla Thunderbird 78.6.1より前のバージョン この問題は、Mozilla ThunderbirdをMozillaが提供する修正済みのバージョン に更新することで解決します。詳細は、Mozillaが提供する情報を参照してく ださい。 関連文書 (英語) Mozilla Mozilla Foundation Security Advisory 2021-02 https://www.mozilla.org/en-US/security/advisories/mfsa2021-02/ 【8】SKYSEA Client ViewにDLL読み込みに関する脆弱性 情報源 Japan Vulnerability Notes JVN#69635538 SKYSEA Client View のインストーラにおける DLL 読み込みに関する脆弱性 https://jvn.jp/jp/JVN69635538/ 概要 Sky株式会社が提供するSKYSEA Client Viewには、DLL読み込みに関する脆弱性 があります。結果として、第三者がインストーラを実行している権限で任意の コードを実行する可能性があります。 対象となるバージョンは次のとおりです。 - SKYSEA Client View Ver.1.020.05bから16.001.01gまで この問題は最新のインストーラを使用することで解決します。詳細はSky株式 会社が提供する情報を参照してください。 関連文書 (日本語) Sky株式会社 【重要】DLLプリロードの脆弱性に関する注意喚起（CVE-2021-20616） https://www.skyseaclientview.net/news/210112_01/ 【9】acmailerに複数の脆弱性 情報源 Japan Vulnerability Notes JVN#35906450 acmailer における複数の脆弱性 https://jvn.jp/jp/JVN35906450/ 概要 株式会社シーズが提供するacmailerには、複数の脆弱性があります。結果とし て第三者が管理者権限を取得し、サーバ上の機微な情報を窃取するなどの可能 性があります。 対象となる製品は以下のとおりです。 - acmailer ver. 4.0.2およびそれ以前 - acmailer DB ver. 1.1.4およびそれ以前 この問題は、該当する製品を株式会社シーズが提供する修正済みのバージョン に更新することで解決します。詳細は、株式会社シーズが提供する情報を参照 してください。 関連文書 (日本語) 株式会社シーズ acmailerおよびacmailer DBの脆弱性につきまして https://www.acmailer.jp/info/de.cgi?id=98 株式会社シーズ acmailerおよびacmailer DBの脆弱性につきまして（２） https://www.acmailer.jp/info/de.cgi?id=101 【10】ウイルスバスタービジネスセキュリティシリーズに複数の脆弱性 情報源 Japan Vulnerability Notes JVNVU#99904867 ウイルスバスタービジネスセキュリティシリーズにおける複数の脆弱性 https://jvn.jp/vu/JVNVU99904867/ 概要 ウイルスバスタービジネスセキュリティシリーズには、複数の脆弱性がありま す。結果として遠隔の第三者が認証を回避し、管理サーバ上の任意のファイル を変更や削除するなどの可能性があります。 対象となる製品は以下のとおりです。 - ウイルスバスタービジネスセキュリティ 9.5および10.0SP1 - ウイルスバスタービジネスセキュリティサービス 6.7 この問題は、該当する製品をトレンドマイクロ株式会社が提供するパッチを適 用する、または最新版にアップグレードすることで解決します。なお、ウイル スバスタービジネスセキュリティサービスは2020年8月15日のメンテナンスで 修正されています。詳細は開発者のサイトを確認してください。 関連文書 (日本語) トレンドマイクロ株式会社 アラート/アドバイザリ：ウイルスバスタービジネスセキュリティとウイルスバスタービジネスセキュリティサービスで 確認された複数の脆弱性について（2020年11月） https://success.trendmicro.com/jp/solution/000281958 【11】Apex One およびウイルスバスター コーポレートエディションに複数の脆弱性 情報源 Japan Vulnerability Notes JVNVU#92683420 Apex One およびウイルスバスター コーポレートエディションにおける複数の脆弱性 https://jvn.jp/vu/JVNVU92683420/ 概要 Apex Oneおよびウイルスバスター コーポレートエディションには、複数の脆 弱性があります。結果として管理者権限を持たない第三者が管理サーバ上で任 意のコードを実行するなどの可能性があります。 対象となる製品は以下のとおりです。 - Apex One 2019 CP8422（Build 8400）より前のバージョン - Apex One SaaS - ウイルスバスター コーポレートエディション XG SP1 CP 5702より前のバージョン この問題は、該当する製品を開発者が提供するパッチを適用することで解決し ます。なお、Apex One SaaSは2020年8月Updateで修正されています。詳細は開 発者のサイトを確認してください。 関連文書 (日本語) トレンドマイクロ株式会社 アラート/アドバイザリ：Trend Micro Apex Oneとウイルスバスターコーポレートエディションで 確認された複数の脆弱性について（2020年11月） https://success.trendmicro.com/jp/solution/000273338 ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○アドビはFlash PlayerにおけるFlashコンテンツの実行をブロックしました アドビは2020年12月31日でFlash Playerのサポートを終了したため、2021年1 月12日以降、Flash PlayerにおけるFlashコンテンツの実行をブロックしまし た。アドビはすべてのユーザーにFlash Playerを直ちにアンインストールする ことを推奨しています。 参考文献 (日本語) アドビ Adobe Flash Playerサポート終了情報ページ https://www.adobe.com/jp/products/flashplayer/end-of-life.html ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CCからのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CCでは、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下のURLからご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下のURLを参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CCのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ -----BEGIN PGP SIGNATURE----- iQIcBAEBCAAGBQJgB25KAAoJEKntH+qu5CT/3lcQAIzzPVhlyANlFD9e09oPmSFg V2gcKVJEnHP0lgBfd/18S3PHKE4NuK4441M68Dv4Y4iYZPl8n7nD+fmJLxf79W6A ilEYMEvqnFXn7iOVhgPw1Xtz5tpFRtZdU7zkQCc5UlkESP0uTZx6EiJxHK2fJXg7 dF2/5yoe0ovi5+nchlR7KL9ngZoFOmeelZeMfW1v4tt5Deh3IKRFKBjd12kACtfu eaiKREjHhNcCHq/u3qxGqf3MUx0mkf6EU81OLKgD0E+nXczd1M6hE6AUhmvNRVCH 5/IU0XMJvl9fCDNaHEzqd9Iecqp1Pau7mPybmAW91v1vYhYTmIarBsU2oTX83Nm4 gxJZUBcjqRR9tc5FuPw7Pod/5Fb+3X0AIG3bjikk4XrLCsQddNNpOPHARgt9M9my 8969HoOvkpwcW5IESNyxLH1UmtbZ8VYH8d7Ti9Fov0exKkWKkpdhu9G2fJhD3gX0 cbV5PqAcgVA90BF9AZ35+UPYI3Cy/LGDra1u+iRM88riuURmrAiJvaP+UTQDXxUN m/uHyijGg0krLOg3M3/OVFB+QLX9mCmS9SF1stZJARW+MTKHFu05eZTZqNLAcllI O2zOkXBqb8TA2cow8sxD316Jla2lLXUUkAL49l1vCiOYXewVztlJvORhYNlbeLCd rgrIh5tqQf394aZCARA0 =n6kN -----END PGP SIGNATURE-----