-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2022-1701 JPCERT/CC 2022-04-27 <<< JPCERT/CC WEEKLY REPORT 2022-04-27 >>> ―――――――――――――――――――――――――――――――――――――― ■04/17(日)〜04/23(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】2022年4月Oracle Critical Patch Updateについて 【2】複数のCisco製品に脆弱性 【3】Drupalに複数の脆弱性 【4】JiraおよびJira Service Managementに認証回避の脆弱性 【今週のひとくちメモ】JPCERT/CCがサイバー攻撃被害に係る情報の共有・公表ガイダンス検討会に事務局として参加 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2022/wr221701.html https://www.jpcert.or.jp/wr/2022/wr221701.xml ============================================================================ 【1】2022年4月Oracle Critical Patch Updateについて 情報源 CISA Current Activity Oracle Releases April 2022 Critical Patch Update https://www.cisa.gov/uscert/ncas/current-activity/2022/04/19/oracle-releases-april-2022-critical-patch-update 概要 Oracleから複数の製品およびコンポーネントに含まれる脆弱性に対応した Oracle Critical Patch Update Advisoryが公開されました。 詳細は、Oracleが提供する情報を参照してください。 関連文書 (日本語) JPCERT/CC 注意喚起 2022年4月Oracle製品のクリティカルパッチアップデートに関する注意喚起 https://www.jpcert.or.jp/at/2022/at220012.html 関連文書 (英語) Oracle Oracle Critical Patch Update Advisory - April 2022 https://www.oracle.com/security-alerts/cpuapr2022.html 【2】複数のCisco製品に脆弱性 情報源 CISA Current Activity Cisco Releases Security Updates for Multiple Products https://www.cisa.gov/uscert/ncas/current-activity/2022/04/21/cisco-releases-security-updates-multiple-products-0 概要 複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者がサー ビス運用妨害（DoS）攻撃を行うなどの可能性があります。 影響度Highの脆弱性情報に記載されている製品は次のとおりです。 - Cisco Virtualized Infrastructure Manager - Cisco Umbrella Virtual Appliance for both VMWare ESXi and Hyper-V - Cisco RoomOS Software in Cloud-Aware On-Premises operation - Cisco TelePresence CE Software 上記製品以外にも、影響度Mediumの複数の脆弱性情報が公開されています。詳 細はCiscoが提供する情報を参照してください。 この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す ることで解決します。詳細は、Ciscoが提供するアドバイザリ情報を参照して ください。 関連文書 (英語) Cisco Cisco Security Advisories https://tools.cisco.com/security/center/publicationListing.x 【3】Drupalに複数の脆弱性 情報源 CISA Current Activity Drupal Releases Security Updates https://www.cisa.gov/uscert/ncas/current-activity/2022/04/21/drupal-releases-security-updates 概要 Drupalには複数の脆弱性があります。結果として、第三者が許可されていない 値を注入したり、データを上書きするなどの可能性があります。 対象となるバージョンは次のとおりです。 - Drupal 9.3.12より前の9.3系バージョン - Drupal 9.2.18より前の9.2系バージョン この問題は、Drupalが提供する修正済みのバージョンに更新することで解決し ます。詳細は、Drupalが提供する情報を参照してください。 関連文書 (英語) Drupal Drupal core - Moderately critical - Improper input validation - SA-CORE-2022-008 https://www.drupal.org/sa-core-2022-008 Drupal Drupal core - Moderately critical - Access bypass - SA-CORE-2022-009 https://www.drupal.org/sa-core-2022-009 【4】JiraおよびJira Service Managementに認証回避の脆弱性 情報源 Atlassian Jira Security Advisory 2022-04-20 https://confluence.atlassian.com/jira/jira-security-advisory-2022-04-20-1115127899.html 概要 JiraおよびJira Service Managementには、認証回避の脆弱性があります。結 果として、遠隔の第三者が認証を回避するなどの可能性があります。 対象となるバージョンは次のとおりです。 - Jira Core Server、Jira Software ServerおよびJira Software Data Centerの次のバージョン - 8.13.18より前のバージョン - 8.14.系 - 8.15.系 - 8.16.系 - 8.17.系 - 8.18.系 - 8.19.系 - 8.20.6より前の8.20.x系 - 8.21.系 - Jira Service Management ServerおよびJira Service Management Data Centerの次のバージョン - 4.13.18より前のバージョン - 4.14.系 - 4.15.系 - 4.16.系 - 4.17.系 - 4.18.系 - 4.19.系 - 4.20.6より前の4.20.x系 - 4.21.系 この問題は、該当する製品をAtlassianが提供する修正済みのバージョンに更 新することで解決します。詳細は、Atlassianが提供するアドバイザリ情報を 参照してください。 ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○JPCERT/CCがサイバー攻撃被害に係る情報の共有・公表ガイダンス検討会に事務局として参加 2022年4月20日、総務省、経済産業省、警察庁、内閣サイバーセキュリティ センターから、「サイバー攻撃被害に係る情報の共有・公表ガイダンス検討会 の開催について」と題する報道発表がなされました。当検討会の発足の運びは、 2020年度総務省調査研究事業としてJPCERT/CCが「サイバー攻撃被害情報の共 有と公表のあり方について」と題する調査・検討を行い、報告書にてサイバー 攻撃被害情報の共有と公表に係る目安となるガイダンスの必要性について提言 したもので、このたびJPCERT/CCが検討会の事務局を担うことになりました。 この提言を行うまでの過程などは、JPCERT/CCブログ「サイバー攻撃被害情報 の共有と公表のあり方について」として公開しています。 参考文献 (日本語) JPCERT/CC JPCERT/CCがサイバー攻撃被害に係る情報の共有・公表ガイダンス検討会に事務局として参加 https://www.jpcert.or.jp/press/2022/20220421-sharing_and_disclosure.html JPCERT/CC サイバー攻撃被害情報の共有と公表のあり方について https://blogs.jpcert.or.jp/ja/2022/04/sharing_and_disclosure.html ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CCからのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CCでは、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下のURLからご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下のURLを参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CCのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ -----BEGIN PGP SIGNATURE----- iQIcBAEBCAAGBQJiaIPMAAoJEKntH+qu5CT/gycP/0g6D7aNf/NEoMjkqbZpItwG BGDS1N26ZAPqgjKmpm6DjV5h0luPQpWvmwI5KafynMPNtPV0Ks8E86XW5s4o0Hzi z8jGkTI3VDOxvNGQJty0cx/VOsRXs24mAqeivnu3B7SKRbvJ0EprT1h8VsRdjrOB NgHuNVXQyXV0lUDela0R2KCL7Tj89fDc+ao+wfOnbE26oAoPdbW78SzY4dZw4D6G uO2RVRh7SHugFEWK+f5YrMJOlRnoWb/uwzpLl4oPlgmpdhiPpAUD7kasdWYAN9ca M1EV2Mob+aLs+dlEch4DDyGsT6hHDDFMghyYae1CpIWOVM2oIkLsxAe2yfmTiEE6 sSRzW9YcduVg85GaD19EqszKCNO0GZGt0pgvBvkYY7TFTRKj6Xs3BRoJA6/AUfAf jdG6IWRYono7vgSPu3TkEvkAw395T3yGLE9C5sfinvm30zY4QhiQTVJgzd7pw4xq o4LizK6VYM936WNh7DJipci6/RKjYMz3sTEFJC7P9+QQgoWc1ZzNmu7PAIfFDhi4 9vnj7+suMPtlzekjk/7x/6bLM3D7EjYEuueRfmTsIgZM8V+0GNTQZ0Ll797v/Jrq zlouGkvE8gGgyK54TwrQ/avYMvEgMw5qkn1uR6ROATobkuvj+GwqZ10Phu5irK5e pHOaPw83XhQmJJLEZBkM =gce7 -----END PGP SIGNATURE-----