-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2021-3501 JPCERT/CC 2021-09-08 <<< JPCERT/CC WEEKLY REPORT 2021-09-08 >>> ―――――――――――――――――――――――――――――――――――――― ■08/29(日)〜09/04(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】Confluence ServerおよびData CenterにOGNLインジェクションの脆弱性 【2】複数のCisco製品に脆弱性 【3】Google Chromeに複数の脆弱性 【4】GitLabに複数の脆弱性 【5】ウイルスバスター クラウドにディレクトリジャンクションの取り扱い不備の脆弱性 【6】ジェイテクト製TOYOPUCシリーズに制限またはスロットリング無しのリソースの割り当ての脆弱性 【今週のひとくちメモ】JPCERT/CC Eyes「定点観測友の会という名のコミュニティー活動について」を公開 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2021/wr213501.html https://www.jpcert.or.jp/wr/2021/wr213501.xml ============================================================================ 【1】Confluence ServerおよびData CenterにOGNLインジェクションの脆弱性 情報源 JPCERT/CC 注意喚起 Confluence ServerおよびData Centerの脆弱性（CVE-2021-26084）に関する注意喚起 https://www.jpcert.or.jp/at/2021/at210037.html 概要 Confluence ServerおよびData Centerには、OGNLインジェクションの脆弱性が あります。結果として、認証されていない遠隔の第三者が任意のコードを実行 する可能性があります。 対象となるバージョンは次のとおりです。 - Confluence ServerおよびData Center 7.12.5より前の7.12系のバージョン - Confluence ServerおよびData Center 7.11.6より前の7.11系のバージョン - Confluence ServerおよびData Center 7.10系から7.5系のバージョン - Confluence ServerおよびData Center 7.4.11より前の7.4系のバージョン - Confluence ServerおよびData Center 7.3系から7.0系のバージョン - Confluence ServerおよびData Center 6.15系、6.14系のバージョン - Confluence ServerおよびData Center 6.13.23より前の6.13系のバージョン この問題は、該当する製品をAtlassianが提供する修正済みのバージョンに更 新することで解決します。詳細は、Atlassianが提供する情報を参照してくだ さい。 関連文書 (日本語) Atlassian Confluence セキュリティ勧告 - 2021-08-25 https://ja.confluence.atlassian.com/doc/confluence-security-advisory-2021-08-25-1077906215.html 関連文書 (英語) CISA Current Activity Atlassian Releases Security Updates for Confluence Server and Data Center https://us-cert.cisa.gov/ncas/current-activity/2021/09/03/atlassian-releases-security-updates-confluence-server-and-data 【2】複数のCisco製品に脆弱性 情報源 CISA Current Activity Cisco Releases Security Updates for Cisco Enterprise NFVIS https://us-cert.cisa.gov/ncas/current-activity/2021/09/02/cisco-releases-security-updates-cisco-enterprise-nfvis 概要 複数のCisco製品には、複数の脆弱性があります。結果として、遠隔の第三者 が認証を回避し、管理者として機器を操作するなどの可能性があります。 影響度Criticalの脆弱性情報に記載されている製品およびバージョンは次のと おりです。 - Cisco Enterprise NFVIS 4.6.1より前のバージョン この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す ることで解決します。詳細は、Ciscoが提供するアドバイザリ情報を参照して ください。 関連文書 (英語) Cisco Cisco Security Advisories https://tools.cisco.com/security/center/publicationListing.x Cisco Cisco Enterprise NFV Infrastructure Software Authentication Bypass Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-nfvis-g2DMVVh 【3】Google Chromeに複数の脆弱性 情報源 CISA Current Activity Google Releases Security Updates for Chrome https://us-cert.cisa.gov/ncas/current-activity/2021/09/01/google-releases-security-updates-chrome 概要 Google Chromeには、複数の脆弱性があります。 対象となるバージョンは次のとおりです。 - Google Chrome 93.0.4577.63より前のバージョン この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新 することで解決します。詳細は、Googleが提供する情報を参照してください。 関連文書 (英語) Google Stable Channel Update for Desktop https://chromereleases.googleblog.com/2021/08/stable-channel-update-for-desktop_31.html 【4】GitLabに複数の脆弱性 情報源 GitLab GitLab Security Release: 14.2.2, 14.1.4, and 14.0.9 https://about.gitlab.com/releases/2021/08/31/security-release-gitlab-14-2-2-released/ 概要 GitLabには、複数の脆弱性があります。結果として、第三者が権限昇格したり、 サービス運用妨害（DoS）攻撃を行なったりするなどの可能性があります。 対象となるバージョンは次のとおりです。 - GitLab Community EditionおよびEnterprise Edition 14.2.2より前の14.2系バージョン - GitLab Community EditionおよびEnterprise Edition 14.1.4より前の14.1系バージョン - GitLab Community EditionおよびEnterprise Edition 14.0.9より前の14.0系バージョン この問題は、該当する製品をGitLabが提供する修正済みのバージョンに更新す ることで解決します。詳細は、GitLabが提供する情報を参照してください。 【5】ウイルスバスター クラウドにディレクトリジャンクションの取り扱い不備の脆弱性 情報源 Japan Vulnerability Notes JVNVU#94699053 トレンドマイクロ製ウイルスバスター クラウドにおけるディレクトリジャンクションの取り扱い不備の脆弱性 https://jvn.jp/vu/JVNVU94699053/ 概要 ウイルスバスター クラウドには権限昇格の脆弱性があります。結果として、 第三者が権限昇格し、サービス運用妨害 (DoS) 攻撃をする可能性があります。 対象となるバージョンは次のとおりです。 - ウイルスバスター クラウド バージョン17.0 - ウイルスバスター クラウド バージョン16.0 - ウイルスバスター クラウド バージョン15.0 この問題は、トレンドマイクロ株式会社が提供する情報をもとに、修正プログ ラムを適用することで解決します。詳細はトレンドマイクロ株式会社が提供す る情報を参照してください。 関連文書 (日本語) トレンドマイクロ株式会社 アラート/アドバイザリ：ウイルスバスター クラウドの脆弱性について(CVE-2021-36744) https://helpcenter.trendmicro.com/ja-jp/article/TMKA-10565 【6】ジェイテクト製TOYOPUCシリーズに制限またはスロットリング無しのリソースの割り当ての脆弱性 情報源 Japan Vulnerability Notes JVNVU#95792804 ジェイテクト製TOYOPUCシリーズにおける制限またはスロットリング無しのリソースの割り当ての脆弱性 https://jvn.jp/vu/JVNVU95792804/ 概要 株式会社ジェイテクトが提供するTOYOPUC PLCには制限またはスロットリング 無しのリソースの割り当ての脆弱性があります。結果として、第三者が当該 製品間のEthernet通信を遮断する可能性があります。 対象となる製品は多岐に渡ります。詳細は株式会社ジェイテクトが提供する情 報を参照してください。 この問題は、株式会社ジェイテクトが提供するワークアラウンドを適用するこ とで本脆弱性の影響を軽減することが可能とのことです。詳細は、株式会社ジェ イテクトが提供する情報を参照してください。 関連文書 (日本語) 株式会社ジェイテクト TOYOPUC 製品のイーサネット機能におけるサービス拒否（DoS）の脆弱性について https://toyoda.jtekt.co.jp/products/pdf/vulnerability/toyopuc/MTTT181701.pdf ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○JPCERT/CC Eyes「定点観測友の会という名のコミュニティー活動について」を公開 JPCERT/CC Eyesにて、「定点観測友の会」と呼称しているコミュニティー活動 の紹介について公開しました。本コミュニティーでは、国内のインターネット 定点観測を行う組織を対象に、観測動向などの情報共有を目的としたメーリン グリストの運用や会議を開催しています。JPCERT/CCのインターネット定点観測 システム「TSUBAME」の観測データや、各参加組織の定点観測の結果をもとに、 観測データの傾向や背景を議論し、注意喚起など各組織の活動につなげていま す。 参考文献 (日本語) JPCERT/CC Eyes 定点観測友の会という名のコミュニティー活動について https://blogs.jpcert.or.jp/ja/2021/09/sigmon72.html ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CCからのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CCでは、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下のURLからご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下のURLを参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CCのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ -----BEGIN PGP SIGNATURE----- iQIcBAEBCAAGBQJhN/p8AAoJEKntH+qu5CT/ucMP/i9Uq+z0cDKdbvHpqazcpDFt 2VcjeZgEYC8xoahh10lgQialgctjtaLSljUjN4+LGHOIe/AGABDytksXjgVJA6q3 dRXF45PuuwowyPxjOsMfRJQt0Hgo47TMI3G3CAlNxzExNNNTPm+RIRh14+5538hs je8ElkdkEJFtezJLjhPFy10hjxYpzHevAdN9kzbB6ktb36Ay2vJ12yay6T3yPya9 w+Drxbpt6rvwJb9qIcJVvugN4ifQXx5iN9/VeUNRKFzImuXLZAC1i3tFIytqmsZi 0HAlps31zAHIoBaMgGw7+QELlHvhLQ6SIvDbbH8c9Y/SvmfRlw/GwmMfOuauwRuH EjXvPDWql7KxH7/nmL8gfIBm4GzgIsdoROLGLvamq64KSlvsPm1hgSw7MemcVB5S bjJH8iy1h+CBX8mReXz9Rgtea+XulM2BtTgDpNEJLe+KTqXVVLUzzzkksC9AKSQF 5p1i7LdiqttWrup3eCc7uu0WC0HcVrAPcQfJMNERpSGR7bjDxdW5XRFt7j6DHhxx S9hiWgT4Pzrp8dZLgqwLA9wojsOjsdfs/5aYyMpbCS4Pcdkje4V3MG+NAINSLy+O 1cz0gmr9m3QBllpbr7v/67/+Z3FD/qcpmqGHN4BjwIZea8cv73iQMKVlgO0XChCa CECnbptHGEPn5LXaoi4o =qLBK -----END PGP SIGNATURE-----