-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2021-1801 JPCERT/CC 2021-05-12 <<< JPCERT/CC WEEKLY REPORT 2021-05-12 >>> ―――――――――――――――――――――――――――――――――――――― ■04/25(日)〜05/08(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】ISC BIND 9に複数の脆弱性 【2】複数のCisco製品に脆弱性 【3】Google Chromeに複数の脆弱性 【4】複数のApple製品に脆弱性 【5】複数のMozilla製品に脆弱性 【6】VMware vRealize Business for Cloudにリモートコード実行の脆弱性 【7】Sambaに境界外読み取りの脆弱性 【8】Eximに複数の脆弱性 【9】GitLabに複数の脆弱性 【10】スマートフォンアプリ「ホットペッパーグルメ」にアクセス制限不備の脆弱性 【11】バッファロー製の複数のネットワーク機器にデバッグ機能を有効化される問題 【12】バッファロー製ルーターに複数の脆弱性 【13】WordPress用プラグインWP Fastest Cacheにディレクトリトラバーサルの脆弱性 【今週のひとくちメモ】経済産業省が「サイバーセキュリティ体制構築・人材確保の手引き」(第1.1版)を公開 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2021/wr211801.html https://www.jpcert.or.jp/wr/2021/wr211801.xml ============================================================================ 【1】ISC BIND 9に複数の脆弱性 情報源 CISA Current Activity ISC Releases Security Advisory for BIND https://us-cert.cisa.gov/ncas/current-activity/2021/04/29/isc-releases-security-advisory-bind 概要 ISC BIND 9には、複数の脆弱性があります。結果として、遠隔の第三者がサー ビス運用妨害(DoS)攻撃を行うなどの可能性があります。 対象となるバージョンは次のとおりです。 - BIND 9.16系9.16.0から9.16.13まで - BIND 9.11系9.11.0から9.11.29まで - BIND 9 Supported Preview Edition 9.16.8-S1から9.16.11-S3まで - BIND 9 Supported Preview Edition 9.11.3-S1から9.11.29-S1まで なお、すでにサポートが終了しているBIND 9.10系以前や9.12系、9.13系、 9.15系および開発版の9.17系についても本脆弱性の影響を受けます。 この問題は、ISC BINDをISCが提供する修正済みのバージョンに更新すること で解決します。詳細は、ISCが提供する情報を参照してください。 関連文書 (日本語) JPCERT/CC 注意喚起 ISC BIND 9の複数の脆弱性に関する注意喚起 https://www.jpcert.or.jp/at/2021/at210021.html 株式会社日本レジストリサービス(JPRS) BIND 9.xの脆弱性(DNSサービスの停止)について(CVE-2021-25214)- セカンダリサーバーのみ対象、バージョンアップを推奨 - https://jprs.jp/tech/security/2021-04-30-bind9-vuln-ixfr.html 株式会社日本レジストリサービス(JPRS) (緊急)BIND 9.xの脆弱性(DNSサービスの停止)について(CVE-2021-25215)- バージョンアップを強く推奨 - https://jprs.jp/tech/security/2021-04-30-bind9-vuln-dname.html 株式会社日本レジストリサービス(JPRS) (緊急)BIND 9.xの脆弱性(DNSサービスの停止・リモートコード実行)について(CVE-2021-25216)- GSS-TSIGが有効に設定されている場合のみ対象、バージョンアップを強く推奨 - https://jprs.jp/tech/security/2021-04-30-bind9-vuln-gsstsig.html Japan Vulnerability Notes JVNVU#94179101 ISC BIND における複数の脆弱性 https://jvn.jp/vu/JVNVU94179101/ 関連文書 (英語) Internet Systems Consortium, Inc.(ISC) CVE-2021-25214: A broken inbound incremental zone update (IXFR) can cause named to terminate unexpectedly https://kb.isc.org/docs/cve-2021-25214 Internet Systems Consortium, Inc.(ISC) CVE-2021-25215: An assertion check can fail while answering queries for DNAME records that require the DNAME to be processed to resolve itself https://kb.isc.org/docs/cve-2021-25215 Internet Systems Consortium, Inc.(ISC) CVE-2021-25216: A second vulnerability in BIND's GSSAPI security policy negotiation can be targeted by a buffer overflow attack https://kb.isc.org/docs/cve-2021-25216 【2】複数のCisco製品に脆弱性 情報源 CISA Current Activity Cisco Releases Security Updates for Multiple Products https://us-cert.cisa.gov/ncas/current-activity/2021/04/29/cisco-releases-security-updates-multiple-products CISA Current Activity Cisco Releases Security Updates for Multiple Products https://us-cert.cisa.gov/ncas/current-activity/2021/05/06/cisco-releases-security-updates-multiple-products 概要 複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者が、任 意のコードを実行したり、サービス運用妨害(DoS)攻撃を行ったりするなど の可能性があります。 対象となる製品は、多岐にわたります。詳細はCiscoが提供するアドバイザリ 情報を参照してください。 この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す ることで解決します。詳細は、Ciscoが提供する情報を参照してください。 関連文書 (英語) Cisco Cisco Security Advisories https://tools.cisco.com/security/center/publicationListing.x 【3】Google Chromeに複数の脆弱性 情報源 CISA Current Activity Google Releases Security Updates for Chrome https://us-cert.cisa.gov/ncas/current-activity/2021/04/27/google-releases-security-updates-chrome 概要 Google Chromeには、複数の脆弱性があります。 対象となるバージョンは次のとおりです。 - Google Chrome 90.0.4430.93より前のバージョン この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新 することで解決します。詳細は、Googleが提供する情報を参照してください。 関連文書 (英語) Google Stable Channel Update for Desktop https://chromereleases.googleblog.com/2021/04/stable-channel-update-for-desktop_26.html 【4】複数のApple製品に脆弱性 情報源 CISA Current Activity Apple Releases Security Updates https://us-cert.cisa.gov/ncas/current-activity/2021/04/27/apple-releases-security-updates CISA Current Activity Apple Releases Security Updates https://us-cert.cisa.gov/ncas/current-activity/2021/05/04/apple-releases-security-updates 概要 複数のApple製品には、脆弱性があります。結果として、第三者が任意のコー ドを実行するなどの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - iTunes for Windows 12.11.3より前のバージョン - Xcode 12.5より前のバージョン - iCloud for Windows 12.3より前のバージョン - tvOS 14.5より前のバージョン - macOS Catalina(Security Update 2021-002 未適用) - macOS Mojave(Security Update 2021-003 未適用) - macOS Big Sur 11.3.1より前のバージョン - iOS 14.5.1より前のバージョン - iPadOS 14.5.1より前のバージョン - watchOS 7.4.1より前のバージョン - Safari 14.1より前のバージョン - iOS 12.5.3より前のバージョン この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す ることで解決します。詳細は、Appleが提供する情報を参照してください。 関連文書 (日本語) JPCERT/CC CyberNewsFlash 複数のApple製品のアップデートについて https://www.jpcert.or.jp/newsflash/2021042701.html JPCERT/CC CyberNewsFlash 複数のApple製品のアップデートについて https://www.jpcert.or.jp/newsflash/2021050601.html Apple iTunes for Windows 12.11.3 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT212319 Apple Xcode 12.5 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT212320 Apple tvOS 14.5 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT212323 Apple セキュリティアップデート 2021-002 Catalina のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT212326 Apple セキュリティアップデート 2021-003 Mojave のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT212327 Apple macOS Big Sur 11.3.1 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT212335 Apple iOS 14.5.1 および iPadOS 14.5.1 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT212336 Apple watchOS 7.4.1 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT212339 Apple Safari 14.1 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT212340 Apple iOS 12.5.3 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT212341 関連文書 (英語) Apple About the security content of iCloud for Windows 12.3 https://support.apple.com/en-us/HT212321 【5】複数のMozilla製品に脆弱性 情報源 CISA Current Activity Mozilla Releases Security Updates for Firefox https://us-cert.cisa.gov/ncas/current-activity/2021/05/06/mozilla-releases-security-updates-firefox 概要 複数のMozilla製品には、脆弱性があります。結果として、第三者が任意のコー ドを実行するなどの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - Mozilla Firefox 88.0.1より前のバージョン - Mozilla Firefox for Android 88.1.3より前のバージョン - Mozilla Firefox ESR 78.10.1より前のバージョン - Mozilla Thunderbird 78.10.1より前のバージョン この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新 することで解決します。詳細は、Mozillaが提供する情報を参照してください。 関連文書 (英語) Mozilla Security Vulnerabilities fixed in Firefox ESR 78.10.1 https://www.mozilla.org/en-US/security/advisories/mfsa2021-18/ Mozilla Security Vulnerabilities fixed in Thunderbird 78.10.1 https://www.mozilla.org/en-US/security/advisories/mfsa2021-19/ Mozilla Security Vulnerabilities fixed in Firefox 88.0.1, Firefox for Android 88.1.3 https://www.mozilla.org/en-US/security/advisories/mfsa2021-20/ 【6】VMware vRealize Business for Cloudにリモートコード実行の脆弱性 情報源 CISA Current Activity VMware Releases Security Update https://us-cert.cisa.gov/ncas/current-activity/2021/05/06/vmware-releases-security-update 概要 VMware vRealize Business for Cloudには、リモートコード実行の脆弱性があ ります。結果として、遠隔の第三者が任意のコードを実行する可能性がありま す。 対象となるバージョンは次のとおりです。 - VMware vRealize Business for Cloud 7.6より前のバージョン この問題は、該当する製品をVMwareが提供する修正済みのバージョンに更新す ることで解決します。詳細は、VMwareが提供する情報を参照してください。 関連文書 (英語) VMware Security Advisories VMSA-2021-0007 https://www.vmware.com/security/advisories/VMSA-2021-0007.html 【7】Sambaに境界外読み取りの脆弱性 情報源 CISA Current Activity Samba Releases Security Updates https://us-cert.cisa.gov/ncas/current-activity/2021/04/30/samba-releases-security-updates 概要 Sambaには、境界外読み取りの脆弱性があります。結果として、第三者が許可 されていないファイルへアクセスするなどの可能性があります。 対象となるバージョンは次のとおりです。 - Samba 4.14.4より前の4.14系バージョン - Samba 4.13.8より前の4.13系バージョン - Samba 4.12.15より前の4.12系バージョン この問題は、SambaをThe Samba Teamが提供する修正済みのバージョンに更新 することで解決します。詳細は、The Samba Teamが提供する情報を参照してく ださい。 関連文書 (英語) The Samba Team Negative idmap cache entries can cause incorrect group entries in the Samba file server process token https://www.samba.org/samba/security/CVE-2021-20254.html 【8】Eximに複数の脆弱性 情報源 CISA Current Activity Exim Releases Security Update https://us-cert.cisa.gov/ncas/current-activity/2021/05/07/exim-releases-security-update 概要 Eximには、複数の脆弱性があります。結果として、遠隔の第三者がroot権限で 任意のコマンドを実行するなどの可能性があります。 対象となるバージョンは次のとおりです。 - Exim 4.94.2より前のバージョン この問題は、Eximを開発者や配布元が提供する修正済みのバージョンに更新す ることで解決します。詳細は、開発者や配布元が提供する情報を参照してくだ さい。 関連文書 (英語) Center for Internet Security Multiple Vulnerabilities in Exim Could Allow for Remote Code Execution https://www.cisecurity.org/advisory/multiple-vulnerabilities-in-exim-could-allow-for-remote-code-execution_2021-064/ Exim [exim] Exim 4.94.2 - security update released https://lists.exim.org/lurker/message/20210504.134007.ce022df3.en.html 【9】GitLabに複数の脆弱性 情報源 GitLab GitLab Security Release: 13.11.2, 13.10.4, and 13.9.7 https://about.gitlab.com/releases/2021/04/28/security-release-gitlab-13-11-2-released/ 概要 GitLabには、複数の脆弱性があります。結果として、遠隔の第三者が、認証情 報を窃取したり、サービス運用妨害(DoS)攻撃を行ったりするなどの可能性 があります。 対象となるバージョンは次のとおりです。 - GitLab Community EditionおよびEnterprise Edition 13.11.2より前の13.11系バージョン - GitLab Community EditionおよびEnterprise Edition 13.10.4より前の13.10系バージョン - GitLab Community EditionおよびEnterprise Edition 13.9.7より前の13.9系バージョン なお、GitLabによると、上記に記載されていないバージョンも影響を受けると のことです。 この問題は、該当する製品をGitLabが提供する修正済みのバージョンに更新す ることで解決します。詳細は、GitLabが提供する情報を参照してください。 【10】スマートフォンアプリ「ホットペッパーグルメ」にアクセス制限不備の脆弱性 情報源 Japan Vulnerability Notes JVN#97434260 スマートフォンアプリ「ホットペッパーグルメ」におけるアクセス制限不備の脆弱性 https://jvn.jp/jp/JVN97434260/ 概要 スマートフォンアプリ「ホットペッパーグルメ」には、アクセス制限不備の脆 弱性があります。結果として、遠隔の第三者が、当該製品を経由してユーザー を任意のWebサイトにアクセスさせる可能性があります。 対象となるバージョンは次のとおりです。 - Androidアプリ「ホットペッパーグルメ」 ver.4.111.0およびそれ以前 - iOSアプリ「ホットペッパーグルメ」 ver.4.111.0およびそれ以前 この問題は、該当する製品を株式会社リクルートが提供する修正済みのバー ジョンに更新することで解決します。詳細は、株式会社リクルートが提供する 情報を参照してください。 関連文書 (日本語) 株式会社リクルート 株式会社リクルートからの情報 https://jvn.jp/jp/JVN97434260/995838/ 【11】バッファロー製の複数のネットワーク機器にデバッグ機能を有効化される問題 情報源 Japan Vulnerability Notes JVNVU#90274525 バッファロー製の複数のネットワーク機器においてデバッグ機能を有効化される問題 https://jvn.jp/vu/JVNVU90274525/ 概要 株式会社バッファローが提供する複数のネットワーク機器には、第三者により デバッグ機能を有効化される問題があります。結果として、隣接するネットワー ク上の第三者が、任意のOSコマンドを実行したり、サービス運用妨害(DoS) 攻撃を行ったりするなどの可能性があります。 対象となる製品は多岐にわたります。詳細は株式会社バッファローが提供する 情報を参照してください。 当該製品のサポートは終了しており、修正アップデートは提供されません。株 式会社バッファローは製品の使用を停止し、代替製品へ移行することを推奨し ています。詳細は、株式会社バッファローが提供する情報を参照してください。 関連文書 (日本語) 株式会社バッファロー 【更新】ルーター等の一部商品におけるデバッグオプションの脆弱性とその対処方法 https://www.buffalo.jp/news/detail/20210427-02.html 【12】バッファロー製ルーターに複数の脆弱性 情報源 Japan Vulnerability Notes JVNVU#99235714 バッファロー製ルータにおける複数の脆弱性 https://jvn.jp/vu/JVNVU99235714/ 概要 株式会社バッファローが提供するルーター製品には、複数の脆弱性があります。 結果として、隣接するネットワーク上の第三者が、当該機器の設定情報などを 窃取したり、root権限で任意のOSコマンドを実行したりするなどの可能性があ ります。 対象となる製品は多岐にわたります。詳細は株式会社バッファローが提供する 情報を参照してください。 この問題は、該当する製品を株式会社バッファローが提供する修正済みのバー ジョンに更新することで解決します。詳細は、株式会社バッファローが提供す る情報を参照してください。 関連文書 (日本語) 株式会社バッファロー 一部ルーター商品における複数の脆弱性とその対処方法 https://www.buffalo.jp/news/detail/20210427-01.html 【13】WordPress用プラグインWP Fastest Cacheにディレクトリトラバーサルの脆弱性 情報源 Japan Vulnerability Notes JVN#35240327 WordPress 用プラグイン WP Fastest Cache におけるディレクトリトラバーサルの脆弱性 https://jvn.jp/jp/JVN35240327/ 概要 WordPress用プラグインWP Fastest Cacheには、ディレクトリトラバーサルの 脆弱性があります。結果として、当該製品に管理者権限でログイン可能な第三 者が、任意のファイルを削除する可能性があります。 対象となるバージョンは次のとおりです。 - WP Fastest Cache 0.9.1.7より前のバージョン この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す ることで解決します。詳細は、開発者が提供する情報を参照してください。 関連文書 (英語) Emre Vona WP Fastest Cache https://wordpress.org/plugins/wp-fastest-cache/ Emre Vona WP Fastest Cache Premium | The Fastest WordPress Cache Plugin https://www.wpfastestcache.com/ ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○経済産業省が「サイバーセキュリティ体制構築・人材確保の手引き」(第1.1版)を公開 2021年4月26日、経済産業省は「サイバーセキュリティ体制構築・人材確保の 手引き」(第1.1版)を公開しました。本手引きは企業がサイバーセキュリティ 経営ガイドラインに基づいてサイバーセキュリティの体制を構築し、人材を確 保するための要点がまとめられています。第1.1版では、サイバーセキュリティ 対策に従事する人材の確保方法、ユーザー企業で必要となるスキルの習得に活 用可能な資格制度、ユーザー企業でサイバーセキュリティ対策に従事する人材 育成のイメージなどが追加されています。 参考文献 (日本語) 経済産業省 「サイバーセキュリティ体制構築・人材確保の手引き」(第1.1版)を取りまとめました https://www.meti.go.jp/press/2021/04/20210426002/20210426002.html ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CCからのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CCでは、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下のURLからご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下のURLを参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CCのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ -----BEGIN PGP SIGNATURE----- iQIcBAEBCAAGBQJgmxkuAAoJEKntH+qu5CT/hfQQAJ2QjHepOBlU96PWq7z0abCt i2I7nUtlx+FNyjIdhBZZbyHr7elIb7Zf+RyH99vZ1DFRdKab5G24payUFpLoeWzO dfPHnQbQV4uyz9jomNgLb8BRkudljxAIzfR+8MU/Hngq5tGqo5JXMsuFq43C09o4 iRFrMh3nlwcjgVi+OT8YCx/aVlHmzOKAGLo5NCzSE9E8tePecC7lWET9sLASUT7Q jdIb8MZJ8cMveu27WKYlE2dTlMwruaRqg2bqZo3bO6DMX/PufUB1HLinoRyJ/V/M 98kLT8m0X/bhNLxLmUfUZH/CU7fYdAX20RX8lHaMMnetXxH0PVPeRwwWJJmnIzbo yYZLEkhkYybnkXtfFKuA29mI5gVDCd2oVea8rMYPRAoRCRDQgsFIHxcETanrejm6 3AHwmt4ZzpNLcuU1IqmNo+qRJDSuk6g4g0K4uV1ngs3UKgTJYwS6yho8zp+GBc5c r2zm00YhXBXDw7C7lFQas7RMuSF4e36+j/Hpmwz9sSmEO7kjxcFo4XhSeSZ5pvq9 CqPXW1i1oCSPgRn34WA75LdI47GaGaIc7ztKfz7fiE7ROmmH0+FuVXTAIhIVCkDB JnrjOZ4ZmQdMTFhvyEwga7JYgijvxyMi4S18ByoyYxZErqtizrVZQbxaAfdZEoOH GV8raonyaEMb/MRE05i0 =eDjI -----END PGP SIGNATURE-----