<<< JPCERT/CC WEEKLY REPORT 2022-06-01 >>>

■05/22(日)〜05/28(土) のセキュリティ関連情報

目　次

【1】Google Chromeに複数の脆弱性

【2】複数のMozilla製品に脆弱性

【3】複数のCitrix製品に脆弱性

【4】Spring Securityに認証回避の脆弱性

【5】Drupalのサードパーティライブラリに脆弱性

【6】複数のRevoWorks製品に脆弱性

【7】コンテック製SolarView CompactにOSコマンドインジェクションの脆弱性

【8】WordPress用プラグインWP Statisticsにクロスサイトスクリプティングの脆弱性

【9】トレンドマイクロ製パスワードマネージャーに権限昇格の脆弱性

【10】富士電機製V-SFT、V-ServerおよびV-Server Liteに複数の脆弱性

【11】モバオク-オークション&フリマアプリにサーバー証明書の検証不備の脆弱性

【今週のひとくちメモ】JPCERT/CCが「Locked Shields 2022 参加記」を公開

【1】Google Chromeに複数の脆弱性

情報源

CISA Current Activity
Google Releases Security Updates for Chrome
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/25/google-releases-security-updates-chrome

概要

Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 102.0.5005.61より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)

Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/05/stable-channel-update-for-desktop_24.html

【2】複数のMozilla製品に脆弱性

情報源

CISA Current Activity
Mozilla Releases Security Products for Multiple Firefox Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/23/mozilla-releases-security-products-multiple-firefox-products

概要

複数のMozilla製品には、脆弱性があります。結果として、第三者が任意のスク
リプトを実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Mozilla Firefox 100.0.2より前のバージョン
- Mozilla Firefox ESR 91.9.1より前のバージョン
- Mozilla Firefox for Android 100.3.0より前のバージョン
- Mozilla Thunderbird 91.9.1より前のバージョン

この問題は、該当する製品をMozillaが提供する修正済みのバージョンに更新
することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書 (英語)

Mozilla
Mozilla Foundation Security Advisory 2022-19
https://www.mozilla.org/en-US/security/advisories/mfsa2022-19/

【3】複数のCitrix製品に脆弱性

情報源

CISA Current Activity
Citrix Releases Security Updates for ADC and Gateway
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/26/citrix-releases-security-updates-adc-and-gateway

概要

複数のCitrix製品には、脆弱性があります。結果として、遠隔の第三者がサー
ビス運用妨害（DoS）攻撃を行う可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Citrix ADCおよびCitrix Gateway 13.1-21.50より前の13.1系のバージョン
- Citrix ADCおよびCitrix Gateway 13.0-85.19より前の13.0系のバージョン
- Citrix ADCおよびCitrix Gateway 12.1-64.17より前の12.1系のバージョン
- Citrix ADC 12.1-FIPS 12.1-55.278より前のバージョン
- Citrix ADC 12.1-NDcPP 12.1-55.278より前のバージョン

この問題は、該当する製品をCitrixが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Citrixが提供する情報を参照してください。

関連文書 (英語)

Citrix
Citrix ADC and Citrix Gateway Security Bulletin for CVE-2022-27507 and CVE-2022-27508
https://support.citrix.com/article/CTX457048

【4】Spring Securityに認証回避の脆弱性

情報源

Japan Vulnerability Notes JVNVU#96405576
Spring SecurityのRegexRequestMatcherにおける認証回避の脆弱性
https://jvn.jp/vu/JVNVU96405576/

概要

VMwareが提供するSpring Securityには、認証回避の脆弱性があります。結果
として、遠隔の第三者がWebページの認証を回避し、情報を閲覧するなどの可
能性があります。

対象となるバージョンは次のとおりです。

- Spring Security 5.5.7より前の5.5系のバージョン
- Spring Security 5.6.4より前の5.6系のバージョン

開発者によると、サポートが終了した上記バージョンより前のバージョンも影
響を受けるとのことです。

この問題は、該当する製品をVMwareが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、VMwareが提供する情報を参照してください。

関連文書 (英語)

VMware
CVE-2022-22978: Authorization Bypass in RegexRequestMatcher
https://tanzu.vmware.com/security/cve-2022-22978

【5】Drupalのサードパーティライブラリに脆弱性

情報源

CISA Current Activity
Drupal Releases Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/05/26/drupal-releases-security-updates

概要

Drupalが使用するサードパーティライブラリGuzzleには、脆弱性があります。
結果として、遠隔の第三者が機微な情報を窃取するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- Drupal 9.3.14より前の9.3系バージョン
- Drupal 9.2.20より前の9.2系バージョン

なお、Drupal 9.2系より前の9系のバージョンはサポートが終了しており、今
回のセキュリティに関する情報は提供されていません。また、Drupal 7系は本
脆弱性の影響を受けないとのことです。

この問題は、Drupalを開発者が提供する修正済みのバージョンに更新すること
で解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (英語)

Drupal
Drupal core - Moderately critical - Third-party libraries - SA-CORE-2022-010
https://www.drupal.org/sa-core-2022-010

【6】複数のRevoWorks製品に脆弱性

情報源

Japan Vulnerability Notes JVN#27256219
RevoWorks 製品における不十分な無害化処理の脆弱性
https://jvn.jp/jp/JVN27256219/

概要

ジェイズ・コミュニケーション株式会社が提供するRevoWorks SCVX、RevoWorks
BrowserおよびRevoWorks Desktopには、不十分な無害化処理の脆弱性がありま
す。結果として、ローカル環境に持ち込んだファイルを開くことで、悪意のあ
るマクロが実行されるなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

- RevoWorks SCVX ファイル無害化ライブラリ 1.043およびそれ以前のバージョン
- RevoWorks Browser 2.2.67およびそれ以前のバージョン（ファイル無害化オプションを利用している場合）
- RevoWorks Desktop 2.1.84およびそれ以前のバージョン（ファイル無害化オプションを利用している場合）

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

ジェイズ・コミュニケーション株式会社
【重要】RevoWorks製品におけるファイル無害化処理の脆弱性について
https://jscom.jp/news-20220527/

【7】コンテック製SolarView CompactにOSコマンドインジェクションの脆弱性

情報源

Japan Vulnerability Notes JVNVU#92327282
コンテック製SolarView CompactにおけるOSコマンドインジェクションの脆弱性
https://jvn.jp/vu/JVNVU92327282/

概要

株式会社コンテックが提供するSolarView Compactには、OSコマンドインジェ
クションの脆弱性があります。結果として、設定画面にアクセス可能なユーザー
が任意のOSコマンドを実行する可能性があります。

対象となるバージョンは次のとおりです。

- SolarView Compact
  - SV-CPT-MC310 Ver.7.21より前のバージョン
  - SV-CPT-MC310F Ver.7.21より前のバージョン

この問題は、該当する製品を株式会社コンテックが提供する修正済みのバージョン
に更新することで解決します。詳細は、株式会社コンテックが提供する情報を
参照してください。

関連文書 (日本語)

株式会社コンテック
SolarView Compact(SV-CPT-MC310)の脆弱性について
https://www.contec.com/jp/-/media/contec/jp/support/security-info/contec_security_solarview_220526.pdf/

【8】WordPress用プラグインWP Statisticsにクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#15241647
WordPress 用プラグイン WP Statistics におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN15241647/

概要

WordPress用プラグインWP Statisticsには、クロスサイトスクリプティングの
脆弱性があります。結果として、当該製品を使用しているサイトにログインし
ているユーザーのWebブラウザー上で、任意のスクリプトを実行される可能性
があります。

対象となるバージョンは次のとおりです。

- WP Statistics 13.2.0より前のバージョン

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (英語)

WP Statistics
Changelog
https://wordpress.org/plugins/wp-statistics/#developers

【9】トレンドマイクロ製パスワードマネージャーに権限昇格の脆弱性

情報源

Japan Vulnerability Notes JVNVU#92641706
トレンドマイクロ製パスワードマネージャーにおける権限昇格の脆弱性
https://jvn.jp/vu/JVNVU92641706/

概要

トレンドマイクロ製パスワードマネージャーには、権限昇格の脆弱性がありま
す。結果として、当該製品がインストールされたシステムにログイン可能なユー
ザーが、管理者権限を取得し、任意のコードを実行する可能性があります。

対象となるバージョンは次のとおりです。

- パスワードマネージャー（Windows版）5.0.0.1266およびそれ以前のバージョン

この問題は、該当する製品をトレンドマイクロ株式会社が提供する修正済みの
バージョンに更新することで解決します。詳細は、トレンドマイクロ株式会社
が提供する情報を参照してください。

関連文書 (日本語)

トレンドマイクロ株式会社
アラート/アドバイザリ：パスワードマネージャーの脆弱性について (CVE-2022-30523)
https://helpcenter.trendmicro.com/ja-jp/article/TMKA-11008

【10】富士電機製V-SFT、V-ServerおよびV-Server Liteに複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#93134398
富士電機製V-SFT、V-ServerおよびV-Server Liteにおける複数の脆弱性
https://jvn.jp/vu/JVNVU93134398/

Japan Vulnerability Notes JVNVU#99188133
富士電機製V-SFTにおける複数の脆弱性
https://jvn.jp/vu/JVNVU99188133/

概要

富士電機株式会社が提供するV-SFT、V-ServerおよびV-Server Liteには、複数
の脆弱性があります。結果として、細工された画面データファイルを開くこと
で、情報が漏えいしたり、任意のコードが実行されたりする可能性があります。

対象となる製品およびバージョンは次のとおりです。

- V-SFT v6.1.6.0より前のバージョン
- V-Server v4.0.11.0およびそれ以前のバージョン
- V-Server Lite v4.0.13.0およびそれ以前のバージョン

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

富士電機株式会社／発紘電機株式会社
作画ソフトV-SFT 改善情報 2240H36
https://hakko-elec.co.jp/site/download/09vsft6_inf/Search.php

富士電機株式会社／発紘電機株式会社
遠隔監視ソフトウェアTELLUS and V-Server 改善情報 2250S01
https://hakko-elec.co.jp/site/download/03tellus_inf/index.php

【11】モバオク-オークション&フリマアプリにサーバー証明書の検証不備の脆弱性

情報源

Japan Vulnerability Notes JVN#13878856
iOS アプリ「モバオク-オークション&フリマアプリ」におけるサーバ証明書の検証不備の脆弱性
https://jvn.jp/jp/JVN13878856/

概要

株式会社ディー・エヌ・エーが提供するiOSアプリ「モバオク-オークション&フ
リマアプリ」には、サーバー証明書の検証不備の脆弱性があります。結果とし
て、遠隔の第三者が、中間者攻撃により暗号通信を盗聴するなどの可能性があ
ります。

対象となるバージョンは次のとおりです。

- iOSアプリ「モバオク-オークション&フリマアプリ」 5.5.16より前のバージョン

この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す
ることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

株式会社ディー・エヌ・エー
株式会社ディー・エヌ・エーからの情報
https://jvn.jp/jp/JVN13878856/995314/

■今週のひとくちメモ

○JPCERT/CCが「Locked Shields 2022 参加記」を公開

2022年5月24日、JPCERT/CCは「Locked Shields 2022 参加記」を公開しました。
2022年4月下旬、JPCERT/CCは、NATO Cooperative Cyber Defence Centre（NATO
CCDCOE）が主催したサイバー演習である「Locked Shields」に参加しました。
本ブログでは、Locked Shieldsの概要、JPCERT/CCの貢献、サイバー演習の重
要性、および国際的な協力によるサイバーセキュリティ確保の重要性について
記載しています。

参考文献 (日本語)

JPCERT/CC
Locked Shields 2022 参加記
https://blogs.jpcert.or.jp/ja/2022/05/locked-shields-2022.html

■JPCERT/CCからのお願い