<<< JPCERT/CC WEEKLY REPORT 2022-02-02 >>>

■01/23(日)〜01/29(土) のセキュリティ関連情報

目　次

【1】複数のApple製品に脆弱性

【2】トレンドマイクロ製Deep Security及びCloud One Workload SecurityのLinux版Agentに複数の脆弱性

【3】Apache TomcatにTime-of-check Time-of-use（TOCTOU）競合状態による権限昇格の脆弱性

【4】TransmitMailに複数の脆弱性

【今週のひとくちメモ】NISCが「東京2020大会におけるサイバーセキュリティ対策結果報告（総括）」を公開

【1】複数のApple製品に脆弱性

情報源

CISA Current Activity
Apple Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/01/27/apple-releases-security-updates-multiple-products

概要

複数のApple製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコマンドを実行するなどの可能性があります。

対象となる製品及びバージョンは次のとおりです。

- iOS 15.3より前のバージョン
- iPadOS 15.3より前のバージョン
- macOS Monterey 12.2より前のバージョン
- macOS Big Sur 11.6.3より前のバージョン
- macOS Catalina（Security Update 2022-001 未適用）
- tvOS 15.3より前のバージョン
- Safari 15.3より前のバージョン
- watchOS 8.4より前のバージョン

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)

JPCERT/CC CyberNewsFlash
Apple製品のアップデートについて（2022年1月）
https://www.jpcert.or.jp/newsflash/2022011701.html

Apple
iOS 15.3 および iPadOS 15.3 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213053

Apple
macOS Monterey 12.2 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213054

Apple
macOS Big Sur 11.6.3 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213055

Apple
セキュリティアップデート 2022-001 Catalina のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213056

Apple
tvOS 15.3 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213057

Apple
Safari 15.3 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213058

Apple
watchOS 8.4 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT213059

【2】トレンドマイクロ製Deep Security及びCloud One Workload SecurityのLinux版Agentに複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#95024141
トレンドマイクロ製Deep SecurityおよびCloud One Workload SecurityのLinux版Agentにおける複数の脆弱性
https://jvn.jp/vu/JVNVU95024141/

概要

トレンドマイクロ株式会社が提供する、Deep Security及びCloud One Workload
SecurityのLinux版Agentには複数の脆弱性があります。結果として、当該製品
にログイン可能な第三者が権限昇格し、root権限で任意のコードを実行するな
どの可能性があります。

対象となる製品及びバージョンは次のとおりです。

- Deep Security Agent Linux版 バージョン10.0、11.0、12.0、20.0
- Cloud One Workload Security

この問題は、該当する製品をトレンドマイクロ株式会社が提供するパッチを適
用することで解決します。詳細は、トレンドマイクロ株式会社が提供する情報
を参照してください。

関連文書 (日本語)

トレンドマイクロ株式会社
アラート/アドバイザリ：Deep Security および Cloud One Workload Security の Linux版Agentにおける ディレクトリトラバーサルおよびコードインジェクションの脆弱性について
https://success.trendmicro.com/jp/solution/000290304

【3】Apache TomcatにTime-of-check Time-of-use（TOCTOU）競合状態による権限昇格の脆弱性

情報源

Japan Vulnerability Notes JVNVU#93604797
Apache TomcatにTime-of-check Time-of-use（TOCTOU）競合状態による権限昇格の脆弱性
https://jvn.jp/vu/JVNVU93604797/

概要

Apache Tomcatには、Time-of-check Time-of-use（TOCTOU）競合状態による権
限昇格の脆弱性があります。結果として、ローカルの攻撃者が、Tomcatプロセ
スが使用しているユーザーの権限でアクションを実行する可能性があります。

対象となるバージョンは次のとおりです。

- Apache Tomcat 10.1.0-M1から10.1.0-M8までのバージョン
- Apache Tomcat 10.0.0-M5から10.0.14までのバージョン
- Apache Tomcat 9.0.35から9.0.56までのバージョン
- Apache Tomcat 8.5.55から8.5.73までのバージョン

この問題は、Apache TomcatをThe Apache Software Foundationが提供する修
正済みのバージョンに更新することで解決します。詳細は、The Apache Software
Foundationが提供する情報を参照してください。

関連文書 (英語)

The Apache Software Foundation
Fixed in Apache Tomcat 10.1.0-M10
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.0-M10

The Apache Software Foundation
Fixed in Apache Tomcat 10.0.16
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.0.16

The Apache Software Foundation
Fixed in Apache Tomcat 9.0.58
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.58

The Apache Software Foundation
Fixed in Apache Tomcat 8.5.75
https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.75

【4】TransmitMailに複数の脆弱性

情報源

Japan Vulnerability Notes JVN#70100915
TransmitMail における複数の脆弱性
https://jvn.jp/jp/JVN70100915/

概要

TransmitMailには、複数の脆弱性があります。結果として、遠隔の第三者が、
サーバー上の任意のファイルを取得するなどの可能性があります。

対象となるバージョンは次のとおりです。

- TransmitMail 2.5.0から2.6.1まで

この問題は、TransmitMailを開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

多川 貴郎
TransmitMail (v2.5.0 v2.6.1) の脆弱性について
https://dounokouno.com/2022/01/25/about-the-vulnerability-of-transmitmail-v2-5-0-v2-6-1/

■今週のひとくちメモ

○NISCが「東京2020大会におけるサイバーセキュリティ対策結果報告（総括）」を公開

2022年1月28日、内閣サイバーセキュリティセンター（NISC）は「東京2020大
会におけるサイバーセキュリティ対策結果報告（総括）」を公開しました。
2021年に開催された東京オリンピック・パラリンピックのサイバーセキュリティ
確保に向けた組織体制づくりや取組についてまとめられています。また、大会
期間中に観測された攻撃試行の概要も紹介されています。

参考文献 (日本語)

内閣サイバーセキュリティセンター
東京大会におけるサイバーセキュリティ対策と今後の取組方針
https://www.nisc.go.jp/active/2020/pdf/Tokyo2020houkoku.pdf

■JPCERT/CCからのお願い