-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2022-2901 JPCERT/CC 2022-07-27 <<< JPCERT/CC WEEKLY REPORT 2022-07-27 >>> ―――――――――――――――――――――――――――――――――――――― ■07/17(日)〜07/23(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】2022年7月Oracle Critical Patch Updateについて 【2】Google Chromeに複数の脆弱性 【3】Drupalに複数の脆弱性 【4】複数のApple製品に脆弱性 【5】複数のCisco製品に脆弱性 【6】Confluence ServerおよびData Center用のQuestions for Confluenceアプリに脆弱性 【7】三菱電機製GENESIS64およびMC Works64に複数の脆弱性 【8】サイボウズ Officeに複数の脆弱性 【9】U-Bootのsquashfsファイルシステム実装にヒープベースのバッファオーバーフローの脆弱性 【10】Bookedにオープンリダイレクトの脆弱性 【今週のひとくちメモ】「製品セキュリティインシデント対応チーム（PSIRT）成熟度ドキュメント」の日本語訳が公開 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2022/wr222901.html https://www.jpcert.or.jp/wr/2022/wr222901.xml ============================================================================ 【1】2022年7月Oracle Critical Patch Updateについて 情報源 CISA Current Activity Oracle Releases July 2022 Critical Patch Update https://www.cisa.gov/uscert/ncas/current-activity/2022/07/20/oracle-releases-july-2022-critical-patch-update 概要 Oracleから複数の製品およびコンポーネントに含まれる脆弱性に対応した Oracle Critical Patch Update Advisoryが公開されました。 詳細は、Oracleが提供する情報を参照してください。 関連文書 (日本語) JPCERT/CC 注意喚起 2022年7月Oracle製品のクリティカルパッチアップデートに関する注意喚起 https://www.jpcert.or.jp/at/2022/at220019.html 関連文書 (英語) Oracle Oracle Critical Patch Update Advisory - July 2022 https://www.oracle.com/security-alerts/cpujul2022.html 【2】Google Chromeに複数の脆弱性 情報源 CISA Current Activity Google Releases Security Updates for Chrome https://www.cisa.gov/uscert/ncas/current-activity/2022/07/21/google-releases-security-updates-chrome 概要 Google Chromeには、複数の脆弱性があります。 対象となるバージョンは次のとおりです。 - Google Chrome 103.0.5060.134より前のバージョン この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新 することで解決します。詳細は、Googleが提供する情報を参照してください。 関連文書 (英語) Google Stable Channel Update for Desktop https://chromereleases.googleblog.com/2022/07/stable-channel-update-for-desktop_19.html 【3】Drupalに複数の脆弱性 情報源 CISA Current Activity Drupal Releases Security Update https://www.cisa.gov/uscert/ncas/current-activity/2022/07/21/drupal-releases-security-update 概要 Drupalには、複数の脆弱性があります。結果として、遠隔の第三者が任意のコー ドを実行するなどの可能性があります。 対象となるバージョンは次のとおりです。 - Drupal 9.4.3より前の9.4系バージョン - Drupal 9.3.19より前の9.3系バージョン - Drupal 7.91より前の7系バージョン なお、Drupal 9.3系より前の9系および8系のバージョンはサポートが終了して おり、今回のセキュリティに関する情報は提供されていません。脆弱性ごとの 対象バージョンや条件についてはDrupalが提供する情報をご確認ください。 この問題は、Drupalが提供する修正済みのバージョンに更新することで解決し ます。詳細は、Drupalが提供する情報を参照してください。 関連文書 (英語) Drupal Drupal core - Moderately critical - Information Disclosure - SA-CORE-2022-012 https://www.drupal.org/sa-core-2022-012 Drupal Drupal core - Moderately critical - Access Bypass - SA-CORE-2022-013 https://www.drupal.org/sa-core-2022-013 Drupal Drupal core - Critical - Arbitrary PHP code execution - SA-CORE-2022-014 https://www.drupal.org/sa-core-2022-014 Drupal Drupal core - Moderately critical - Multiple vulnerabilities - SA-CORE-2022-015 https://www.drupal.org/sa-core-2022-015 【4】複数のApple製品に脆弱性 情報源 CISA Current Activity Apple Releases Security Updates for Multiple Products https://www.cisa.gov/uscert/ncas/current-activity/2022/07/22/apple-releases-security-updates-multiple-products 概要 複数のApple製品には、脆弱性があります。結果として、遠隔の第三者が任意 のコードを実行するなどの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - iOS 15.6より前のバージョン - iPadOS 15.6より前のバージョン - tvOS 15.6より前のバージョン - macOS Monterey 12.5より前のバージョン - macOS Big Sur 11.6.8より前のバージョン - macOS Catalina（Security Update 2022-005 未適用） - watchOS 8.7より前のバージョン - Safari 15.6より前のバージョン この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新す ることで解決します。詳細は、Appleが提供する情報を参照してください。 関連文書 (日本語) Apple iOS 15.6 および iPadOS 15.6 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT213346 Apple tvOS 15.6 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT213342 Apple macOS Monterey 12.5 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT213345 Apple macOS Big Sur 11.6.8 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT213344 Apple セキュリティアップデート 2022-005 Catalina のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT213343 Apple watchOS 8.7 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT213340 Apple Safari 15.6 のセキュリティコンテンツについて https://support.apple.com/ja-jp/HT213341 【5】複数のCisco製品に脆弱性 情報源 CISA Current Activity Cisco Releases Security Updates for Multiple Products https://www.cisa.gov/uscert/ncas/current-activity/2022/07/22/cisco-releases-security-updates-multiple-products 概要 複数のCisco製品には、影響度Criticalを含む複数の脆弱性があります。結果 として、遠隔の第三者が任意のコマンドを実行するなどの可能性があります。 対象となる製品は、多岐にわたります。詳細や最新の情報については、Cisco が提供する情報を参照してください。 関連文書 (英語) Cisco Cisco Security Advisories https://tools.cisco.com/security/center/publicationListing.x 【6】Confluence ServerおよびData Center用のQuestions for Confluenceアプリに脆弱性 情報源 CISA Current Activity Atlassian Releases Security Advisory for Questions for Confluence App, CVE-2022-26138 https://www.cisa.gov/uscert/ncas/current-activity/2022/07/22/atlassian-releases-security-advisory-questions-confluence-app-cve 概要 Confluence ServerおよびData Center用のQuestions for Confluenceアプリに は、ハードコードされた認証情報の使用の脆弱性があります。結果として、遠 隔の第三者が機微な情報を窃取するなどの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - 次のアプリを使用していたConfluence ServerおよびData Center - Questions for Confluence 3.0.2 - Questions for Confluence 2.7.34および2.7.35 なお、上記バージョン以外にも影響を受ける可能性があるとのことです。 この問題は、当該アプリをAtlassianが提供する修正済みのバージョンに更新 または回避策を適用することで解決します。詳細は、Atlassianが提供する情 報を参照してください。 関連文書 (日本語) Atlassian Questions for Confluence のセキュリティ勧告 2022-07-20 https://ja.confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html 【7】三菱電機製GENESIS64およびMC Works64に複数の脆弱性 情報源 Japan Vulnerability Notes JVNVU#96480474 三菱電機製GENESIS64およびMC Works64における複数の脆弱性 https://jvn.jp/vu/JVNVU96480474/ 概要 三菱電機株式会社が提供するGENESIS64およびMC Works64には、複数の脆弱性 があります。結果として、第三者が悪意のあるプログラムを実行するなどの可 能性があります。 対象となる製品およびバージョンは次のとおりです。 - GENESIS64 Version 10.97から10.97.1まで - MC Works64 Version 4.04Eおよびそれ以前の全バージョン この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す ることで解決します。詳細は、開発者が提供する情報を参照してください。 関連文書 (日本語) 三菱電機株式会社 GENESIS64 および MC Works64 における複数の脆弱性 https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2022-008.pdf 【8】サイボウズ Officeに複数の脆弱性 情報源 Japan Vulnerability Notes JVN#20573662 サイボウズ Office に複数の脆弱性 https://jvn.jp/jp/JVN20573662/ 概要 サイボウズ Officeには、複数の脆弱性があります。結果として、遠隔の第三 者が、当該製品の情報を窃取したり、改ざんしたりするなどの可能性がありま す。 対象となるバージョンは次のとおりです。 - サイボウズ Office 10.0.0から10.8.5まで この問題は、サイボウズ Officeを開発者が提供する修正済みのバージョンに 更新することで解決します。詳細は、開発者が提供する情報を参照してくださ い。 関連文書 (日本語) サイボウズ株式会社 サイボウズ Office 10 脆弱性に関するお知らせ https://cs.cybozu.co.jp/2022/007584.html 【9】U-Bootのsquashfsファイルシステム実装にヒープベースのバッファオーバーフローの脆弱性 情報源 Japan Vulnerability Notes JVNVU#97846460 U-Bootのsquashfsファイルシステム実装にヒープベースのバッファオーバーフローの脆弱性 https://jvn.jp/vu/JVNVU97846460/ 概要 U-Bootのsquashfsファイルシステム実装には、ヒープベースのバッファオーバー フローの脆弱性があります。結果として、細工されたsquashfsイメージをロー ドすることで、任意のコードを実行されたり、サービス運用妨害（DoS）攻撃を 受けたりする可能性があります。 対象となるバージョンは次のとおりです。 - U-Boot バージョン v2020.10-rc2からv2022.07-rc5まで この問題は、U-Bootを開発者が提供する修正済みのバージョンに更新すること で解決します。詳細は、開発者が提供する情報を参照してください。 【10】Bookedにオープンリダイレクトの脆弱性 情報源 Japan Vulnerability Notes JVN#75063798 Booked におけるオープンリダイレクトの脆弱性 https://jvn.jp/jp/JVN75063798/ 概要 Twinkle Toes Softwareが提供するBookedには、オープンリダイレクトの脆弱 性があります。結果として、細工されたURLにアクセスすることで、任意のWeb サイトにリダイレクトされる可能性があります。 対象となるバージョンは次のとおりです。 - Booked 3.3より前のバージョン この問題は、Bookedを開発者が提供する修正済みのバージョンに更新すること で解決します。詳細は、開発者が提供する情報を参照してください。 ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○「製品セキュリティインシデント対応チーム（PSIRT）成熟度ドキュメント」の日本語訳が公開 2022年7月、FIRSTの製品セキュリティコミュニティによってまとめられた「製 品セキュリティインシデント対応チーム（PSIRT）成熟度ドキュメント 運用能 力と成熟度レベル」の日本語訳が公開されました。日本語訳は日本シーサート 協議会とSoftware ISACによって翻訳された後、JPCERT/CCとPanasonic PSIRT とTOSHIBA-SIRTによってレビューされました。本ドキュメントでは、PSIRTが 成熟度レベルごとに選択する一連のユースケースとサービスの概要を紹介して います。 参考文献 (日本語) 日本シーサート協議会 PSIRT Maturity Document 日本語版 https://www.nca.gr.jp/ttc/first_psirt_maturity_document.html FIRST Product Security Incident Response Team (PSIRT) Maturity Document（日本語訳） https://www.first.org/standards/frameworks/psirts/FIRST_PSIRT_Maturity_Document_ja.pdf ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CCからのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CCでは、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下のURLからご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下のURLを参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CCのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ -----BEGIN PGP SIGNATURE----- iQIcBAEBCAAGBQJi4HixAAoJEDoQgdvpn3qqx04QAL5on4Mos2BjkDuJtvTS1+TU RyJjqXw2D89ldD/IydUUJWaS/U9YXma04FMbbmWmX9iSj6Uq3zPiBDCFy5wxi5hI rr7AHLrn3w5ZkGm3IcQiCj7HJMVVbffG2kSq8tL+RSdnMuL3b4TvhSUbCf3dHxEZ 9e4532GOUXNBptW7tH8jrhz5MhODpl17wsmseN0JYVibARh5asSyzrYL0qfQ2+X7 jxqL4WOZqkdxaNIPLR9kLVsKHqVPEVZrx+HGQm+vxJ2uI4AOIFG5iarOcD3tPs+H kDM1vyQ5IxOVdoljJB3LGY2+k3eT/H77/WQqcOVb6ljsOVdD7FW4lqRcwiwLnci+ s0V+V2vJNJzIfTeOo/Q1sAGOSkQn+NlmQvxHuAS9hfCE36yiuBed11AS5daJSj5S dVMUAMsZuYMgjb0n0eGMOUKRWCywBKyff50+JP+4tRPUk/oQnYDIyL64P84vzeyB BAaQjcXZqlnjoA8yemN4jxQzQ46aDi8QMPHm6XFe7lvG6TZ0o9Kzzyzm1Kr5uqf8 dkDhiAuQpgY1ObE1XwhbvUEJEcDaTT09hP8GmbltsJ9ybT8zd8CcwtJxrs6UJ2/O NN1XSvUFWB/1FuMP9deApqJoO1pg5x6loz8KlkmNONxsDJsMx5zTTKTllwcpbTZy H1WfaiORO5vkFTf3hLGa =d5MG -----END PGP SIGNATURE-----