JPCERT-WR-2021-4601 2021-11-25 2021-11-14 2021-11-20

CISA Current Activity https://us-cert.cisa.gov/ncas/current-activity/2021/11/18/drupal-releases-security-updates

Drupalが使用するサードパーティライブラリCKEditorには、複数のクロスサイ トスクリプティングの脆弱性があります。結果として、当該製品を使用してい るサイトにアクセスしたユーザーのウェブブラウザー上で、任意のスクリプト を実行される可能性があります。 対象となるバージョンは次のとおりです。 - Drupal 9.2.9より前の9.2系バージョン - Drupal 9.1.14より前の9.1系バージョン - Drupal 8.9.20より前の8.9系バージョン この問題は、Drupalを開発者が提供する修正済みのバージョンに更新すること で解決します。詳細は、開発者が提供する情報を参照してください。

Drupal https://www.drupal.org/sa-core-2021-011

CISA Current Activity https://us-cert.cisa.gov/ncas/current-activity/2021/11/16/google-releases-security-updates-chrome

Google Chromeには、複数の脆弱性があります。 対象となるバージョンは次のとおりです。 - Google Chrome 96.0.4664.45より前のバージョン この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新 することで解決します。詳細は、Googleが提供する情報を参照してください。

Google https://chromereleases.googleblog.com/2021/11/stable-channel-update-for-desktop.html

Japan Vulnerability Notes JVN#22515597 https://jvn.jp/jp/JVN22515597/

Zack Schollが提供するコンテンツ管理システムであるrwtxtには、クロスサイ トスクリプティングの脆弱性があります。結果として、当該製品を使用してい るサイトにアクセスしたユーザーのウェブブラウザー上で、任意のスクリプト を実行される可能性があります。 対象となるバージョンは次のとおりです。 - rwtxt v1.8.6より前のバージョン この問題は、開発者が提供するアップデートを適用することで解決します。詳 細は、開発者が提供する情報を参照してください。

Zack Scholl https://github.com/schollz/rwtxt

Japan Vulnerability Notes JVN#85492429 https://jvn.jp/jp/JVN85492429/

Delite Studioが提供するWordPress用プラグインPush Notifications for WordPress (Lite)には、クロスサイトリクエストフォージェリの脆弱性があり ます。結果として、当該製品にログインした状態の管理者権限を持つユーザー が細工されたページにアクセスした場合、意図しない操作を行う可能性があり ます。 対象となるバージョンは次のとおりです。 - Push Notifications for WordPress (Lite) 6.0.1より前のバージョン この問題は、開発者が提供するアップデートを適用することで解決します。詳 細は、開発者が提供する情報を参照してください。

Delite Studio https://ja.wordpress.org/plugins/push-notifications-for-wp/ Delite Studio https://delitestudio.com/en/

CISA Current Activity https://us-cert.cisa.gov/ncas/current-activity/2021/11/12/cisa-releases-advisory-vulnerabilities-multiple-data-distribution

Object Management Groupが提供するData Distribution Service（DDS）を実 装しているソフトウェアには、複数の脆弱性があります。結果として、遠隔の 第三者が任意のコードを実行するなどの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - Eclipse：CycloneDDS 0.8.0より前のバージョン - eProsima：Fast DDS 2.4.0より前のバージョン - GurumNetworks：GurumDDSすべてのバージョン - Object Computing, Inc. (OCI)：OpenDDS 3.18.1より前のバージョン - Real-Time Innovations (RTI)：Connext DDS Professional、Connext DDS Secure バージョン4.2系から6.1.0 - Real-Time Innovations (RTI)：Connext DDS Micro 3.0.0以降のバージョン - TwinOaks：Computing CoreDX DDS 5.9.1より前のバージョン この問題は、各開発者が提供するアップデートを適用することで解決します。 ただしGurumDDSは、2021年11月25日現在アップデートは提供されていません。 詳細は、各開発者が提供する情報を参照してください。

ICS Advisory (ICSA-21-315-02) https://us-cert.cisa.gov/ics/advisories/icsa-21-315-02

2021年11月19日、フィッシング対策協議会は、先日オンラインで実施された フィッシング対策セミナー2021の講演資料を公開しました。 「暗号資産を狙うフィッシングの事例紹介と対策」や「フィッシング対策技術 とPKI」などの講演資料が公開されています。フィッシングの報告件数は、年 々増加傾向にあります。現状の把握や対策の実施にご参考ください。 フィッシング対策協議会 https://www.antiphishing.jp/news/info/antiphishing_seminar2021.html