<<< JPCERT/CC WEEKLY REPORT 2022-10-05 >>>

■09/25(日)〜10/01(土) のセキュリティ関連情報

目　次

【1】Google Chromeに複数の脆弱性

【2】Apache TomcatにHttp11Processorインスタンスにおける競合状態による情報漏えいの脆弱性

【3】複数のCisco製品に脆弱性

【4】Drupal coreに情報漏えいの脆弱性

【5】Mozilla Thunderbirdに複数の脆弱性

【今週のひとくちメモ】IPAが「ビジネスメール詐欺（BEC）対策特設ページ」を公開

【1】Google Chromeに複数の脆弱性

情報源

Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/09/stable-channel-update-for-desktop_27.html

概要

Google Chromeには、複数の脆弱性があります。

対象となる製品は次のとおりです。

- Google Chrome 106.0.5249.61より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

【2】Apache TomcatにHttp11Processorインスタンスにおける競合状態による情報漏えいの脆弱性

情報源

Japan Vulnerability Notes JVNVU#98868043
Apache TomcatにHttp11Processorインスタンスにおける競合状態による情報漏えいの脆弱性
https://jvn.jp/vu/JVNVU98868043/

概要

Apache Tomcatには、Http11Processorインスタンスにて競合状態が発生し、情
報漏えいに繋がる脆弱性があります。結果として、複数のクライアントから接
続された場合、レスポンスのすべてまたはその一部を誤ったクライアントに送
信することで、情報が漏えいする可能性があります。

対象となるバージョンは次のとおりです。

- Apache Tomcat 10.1.0-M1から10.1.0-M12までのバージョン
- Apache Tomcat 10.0.0-M1から10.0.18までのバージョン
- Apache Tomcat 9.0.0-M1から9.0.60までのバージョン
- Apache Tomcat 8.5.0から8.5.77までのバージョン

この問題は、Apache TomcatをThe Apache Software Foundationがが提供する
修正済みのバージョンに更新することで解決します。詳細は、開発者が提供す
る情報を参照してください。

関連文書 (英語)

The Apache Software Foundation
Fixed in Apache Tomcat 10.0.20
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.0.20

The Apache Software Foundation
Fixed in Apache Tomcat 10.1.0-M14
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.0-M14

The Apache Software Foundation
Fixed in Apache Tomcat 9.0.62
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.62

The Apache Software Foundation
Fixed in Apache Tomcat 8.5.78
https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.78

【3】複数のCisco製品に脆弱性

情報源

CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/09/30/cisco-releases-security-updates-multiple-products

概要

複数のCisco製品には、複数の脆弱性があります。結果として、遠隔の第三者
が、サービス運用妨害（DoS）攻撃を行うなどの可能性があります。

影響を受ける製品、バージョンは多岐にわたります。詳細は、Ciscoが提供す
るアドバイザリ情報を参照してください。

この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す
ることで解決します。詳細は、Ciscoが提供する情報を参照してください。

関連文書 (英語)

Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

【4】Drupal coreに情報漏えいの脆弱性

情報源

CISA Current Activity
Drupal Releases Security Update
https://www.cisa.gov/uscert/ncas/current-activity/2022/09/30/drupal-releases-security-update

概要

Drupal coreには情報漏えいの脆弱性があります。結果として、Twigコードの
書き込み権限を持つ第三者が、当該システムのファイルの内容やデータベース
の資格情報を窃取する可能性があります

対象となるバージョンは次のとおりです。

- Drupal 9.4.7より前のバージョン
- Drupal 9.3.22より前のバージョン
- Drupal 8系バージョン

なお、Drupal 9.3系より前の9系および8系のバージョンはサポートが終了して
おり、セキュリティに関する情報は提供されていません。脆弱性ごとの対象
バージョンや条件についてはDrupalが提供する情報をご確認ください。

この問題は、Drupalが提供する修正済みのバージョンに更新することで解決し
ます。詳細は、Drupalが提供する情報を参照してください。

関連文書 (英語)

Drupal
Drupal core - Critical - Multiple vulnerabilities - SA-CORE-2022-016
https://www.drupal.org/sa-core-2022-016

【5】Mozilla Thunderbirdに複数の脆弱性

情報源

CISA Current Activity
Mozilla Releases Security Update for Thunderbird
https://www.cisa.gov/uscert/ncas/current-activity/2022/09/30/mozilla-releases-security-update-thunderbird

概要

Thunderbirdは複数の脆弱性があります。結果として、攻撃者がメッセージを
他者になりすまして送信するなどの可能性があります。

対象となるバージョンは次のとおりです。

- Mozilla Thunderbird 102.3.1より前のバージョン

この問題は、Mozilla ThunderbirdをMozillaが提供する修正済みのバージョン
に更新することで解決します。詳細は、Mozillaが提供する情報を参照してく
ださい。

関連文書 (英語)

Mozilla
Mozilla Foundation Security Advisory 2022-43
https://www.mozilla.org/en-US/security/advisories/mfsa2022-43/

■今週のひとくちメモ

○IPAが「ビジネスメール詐欺（BEC）対策特設ページ」を公開

2022年9月28日、IPAは「ビジネスメール詐欺（BEC）対策特設ページ」を公開
しました。本ページでは、今後もさらなるビジネスメール詐欺の脅威が考えら
れることから、ビジネスメール詐欺の対策に必要となる情報を集約しています。

参考文献 (日本語)

情報処理推進機構（IPA）
ビジネスメール詐欺（BEC）対策特設ページ
https://www.ipa.go.jp/security/bec/

■JPCERT/CCからのお願い