JPCERT-WR-2021-3201 2021-08-18 2021-08-08 2021-08-14

CISA Current Activity https://us-cert.cisa.gov/ncas/current-activity/2021/08/10/microsoft-releases-august-2021-security-updates

複数のマイクロソフト製品には、脆弱性があります。結果として、リモート からの攻撃によって任意のコードが実行されるなどの可能性があります。 対象となる製品は、多岐にわたります。詳細はマイクロソフトが提供するアド バイザリ情報を参照してください。 この問題は、Microsoft Updateなどを用いて、更新プログラムを適用すること で解決します。詳細は、マイクロソフトが提供する情報を参照してください。

マイクロソフト株式会社 https://msrc.microsoft.com/update-guide/ja-JP/releaseNote/2021-Aug マイクロソフト株式会社 https://msrc-blog.microsoft.com/2021/08/10/202108-security-updates/ JPCERT/CC 注意喚起 https://www.jpcert.or.jp/at/2021/at210034.html

CISA Current Activity https://us-cert.cisa.gov/ncas/current-activity/2021/08/10/adobe-releases-security-updates-multiple-products

複数のアドビ製品には、脆弱性があります。結果として、第三者が任意のコー ドを実行するなどの可能性があります。 対象となる製品は次のとおりです。 - Adobe Commerce - Magento Open Source - Adobe Connect この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新す ることで解決します。詳細は、アドビが提供する情報を参照してください。

JPCERT/CC CyberNewsFlash https://www.jpcert.or.jp/newsflash/2021081101.html アドビ https://helpx.adobe.com/security/products/magento/apsb21-64.html アドビ https://helpx.adobe.com/security/products/connect/apsb21-66.html

CISA Current Activity https://us-cert.cisa.gov/ncas/current-activity/2021/08/10/intel-releases-multiple-security-updates Japan Vulnerability Notes JVNVU#91826524 https://jvn.jp/vu/JVNVU91826524/ JPCERT/CC CyberNewsFlash https://www.jpcert.or.jp/newsflash/2021081102.html

Intelから複数の製品に含まれる脆弱性に対応したIntel Product Security Center Advisoriesが公開されました。 詳細は、Intelが提供する情報を参照してください。

Intel https://www.intel.com/content/www/us/en/security-center/default.html

US-CERT Current Activity https://us-cert.cisa.gov/ncas/current-activity/2021/08/10/mozilla-releases-security-updates-firefox US-CERT Current Activity https://us-cert.cisa.gov/ncas/current-activity/2021/08/12/mozilla-releases-security-updates-thunderbird

複数のMozilla製品には、脆弱性があります。結果として、第三者が任意のコー ドを実行するなどの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - Mozilla Firefox 91より前のバージョン - Mozilla Firefox ESR 78.13より前のバージョン - Mozilla Thunderbird 91より前のバージョン - Mozilla Thunderbird 78.13より前のバージョン この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新 することで解決します。詳細は、Mozillaが提供する情報を参照してください。

Mozilla https://www.mozilla.org/en-US/security/advisories/mfsa2021-33/ Mozilla https://www.mozilla.org/en-US/security/advisories/mfsa2021-34/ Mozilla https://www.mozilla.org/en-US/security/advisories/mfsa2021-36/ Mozilla https://www.mozilla.org/en-US/security/advisories/mfsa2021-35/

CISA Current Activity https://us-cert.cisa.gov/ncas/current-activity/2021/08/10/sap-releases-august-2021-security-updates

複数のSAP製品には、脆弱性があります。 対象となる製品は、多岐にわたります。詳細はSAPが提供するアドバイザリ情 報を参照してください。 この問題は、該当する製品をSAPが提供する修正済みのバージョンに更新する ことで解決します。詳細は、SAPが提供する情報を参照してください。

SAP https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=582222806

CERT/CC Vulnerability Note VU#608209 https://kb.cert.org/vuls/id/608209

HCC Embeddedが開発したTCP/IPプロトコルスタックであるNicheStackには、複 数の脆弱性があります。結果として、遠隔の第三者が任意のコードを実行する などの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - NicheStack 4.3より前のすべてのバージョン - NicheLite 4.3より前のすべてのバージョン この問題は、該当する製品をHCC Embeddedが提供する修正済みのバージョン に更新することで解決します。詳細は、HCC Embeddedが提供する情報を参照 してください。

Japan Vulnerability Notes JVNVU#98488549 https://jvn.jp/vu/JVNVU98488549/ HCC Embedded https://www.hcc-embedded.com/support/security-advisories

Apple https://support.apple.com/ja-jp/HT212609 Apple https://support.apple.com/ja-jp/HT212607

Appleから複数の製品に関するセキュリティアドバイザリが公開されました。 対象となる製品およびバージョンは次のとおりです。 - iTunes for Windows 12.11.4より前のバージョン - iCloud for Windows 12.5より前のバージョン この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す ることで解決します。詳細は、Appleが提供する情報を参照してください。

JPCERT/CC CyberNewsFlash https://www.jpcert.or.jp/newsflash/2021081103.html

CISA Current Activity https://us-cert.cisa.gov/ncas/current-activity/2021/08/10/citrix-releases-security-update-sharefile-storage-zones-controller

Citrix ShareFile storage zones controllerには、ファイル暗号化オプション が意図せずに無効化される脆弱性があります。 対象となるバージョンは次のとおりです。 - Citrix ShareFile storage zones controller 5.11.19より前のバージョン この問題は、該当する製品をCitrixが提供する修正済みのバージョンに更新す ることで解決します。詳細は、Citrixが提供する情報を参照してください。

Citrix https://support.citrix.com/article/CTX322787

CISA Current Activity https://us-cert.cisa.gov/ncas/current-activity/2021/08/12/drupal-releases-security-updates

Drupalが使用するCKEditorライブラリには、クロスサイトスクリプティング の脆弱性があります。結果として、第三者が任意のスクリプトを実行する可 能性があります。 対象となるバージョンは次のとおりです。 - Drupal 9.2.4より前の9.2系のバージョン - Drupal 9.1.12より前の9.1系のバージョン - Drupal 8.9.18より前の8.9系のバージョン なお、Drupal 9.1系より前の9系およびDrupal 8.9系より前の8系のバージョン はサポートが終了しており、今回のセキュリティに関する情報は提供されてい ません。 この問題は、Drupalが提供する修正済みのバージョンに更新することで解決し ます。詳細は、Drupalが提供する情報を参照してください。

Drupal https://www.drupal.org/sa-core-2021-005 CKSource https://ckeditor.com/blog/ckeditor-4.16.2-with-browser-improvements-and-security-fixes/

CERT/CC Vulnerability Note VU#357312 https://kb.cert.org/vuls/id/357312

HTTP/2をサポートするHTTP WebプロキシやWebアクセラレータには、HTTP/1へ の変換処理の実装不備に起因した、HTTPリクエストスマグリング攻撃が可能に なる脆弱性があります。結果として、細工したHTTPリクエストを送信した第三 者が、機微な情報を窃取するなどの可能性があります。 対象となる製品は次のとおりです。 - HTTP/2からHTTP/1への変換を行うシステム 詳細についてはCERT/CCが提供する情報を参照してください。 この問題に対して、複数のベンダーから対策に関する情報が公開されています。 各製品のベンダーから提供される修正済みのバージョンに更新するなどの対応 を実施してください。

Japan Vulnerability Notes JVNVU#99039870 https://jvn.jp/vu/JVNVU99039870/ Portswigger Research https://portswigger.net/research/http2

Japan Vulnerability Notes JVN#65388002 https://jvn.jp/jp/JVN65388002/

ExpressTechが提供するWordPress用プラグインQuiz And Survey Masterには、 クロスサイトスクリプティングの脆弱性があります。結果として、第三者が任 意のスクリプトを実行する可能性があります。 対象となる製品およびバージョンは次のとおりです。 - Quiz And Survey Master 7.1.14より前のバージョン この問題は、本プラグインをExpressTechが提供する修正済みのバージョンに 更新することで解決します。詳細は、ExpressTechが提供する情報を参照して ください。

ExpressTech https://ja.wordpress.org/plugins/quiz-master-next/

Japan Vulnerability Notes JVN#50804280 https://jvn.jp/jp/JVN50804280/

Plone Foundationが提供するPloneには、オープンリダイレクトの脆弱性があ ります。結果として、遠隔の第三者が、細工したURLにユーザーをアクセスさ せることで、任意のwebサイトにリダイレクトさせる可能性があります。 対象となる製品およびバージョンは次のとおりです。 - Plone 5.2.5より前のバージョンで、パッケージProducts.isurlinportalが1.2.0より前の製品 この問題は、本製品にPlone Foundationが提供するパッチを適用することで解 決します。詳細は、Plone Foundationが提供する情報を参照してください。

Plone Foundation https://github.com/plone/Products.isurlinportal/security/advisories/GHSA-q3m9-9fj2-mfwr Plone Foundation https://community.plone.org/t/security-fix-products-isurlinportal-1-2-0/14152

2021年7月、総務省が開催するサイバーセキュリティタスクフォース（第33回） の会合において、JPCERT/CCは、サイバー攻撃被害情報の共有と公表のあり方 に係る調査検討の結果を報告し、後日、報告書が公表されました。 社会全体におけるサイバー攻撃対処のベースとなる情報共有活動が円滑に行わ れるためには、どのようにサイバー攻撃被害情報の共有や公表が行われるべき か、JPCERT/CCにおけるこれまでのインシデント対応支援の経験を踏まえた問 題意識をもとに検討したものです。 総務省 https://www.soumu.go.jp/main_sosiki/kenkyu/cybersecurity_taskforce/02cyber01_04000001_00191.html 総務省（JPCERT/CC資料） https://www.soumu.go.jp/main_content/000762950.pdf 総務省（JPCERT/CC資料） https://www.soumu.go.jp/main_content/000762951.pdf