-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2022-3901 JPCERT/CC 2022-10-05 <<< JPCERT/CC WEEKLY REPORT 2022-10-05 >>> ―――――――――――――――――――――――――――――――――――――― ■09/25(日)〜10/01(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】Google Chromeに複数の脆弱性 【2】Apache TomcatにHttp11Processorインスタンスにおける競合状態による情報漏えいの脆弱性 【3】複数のCisco製品に脆弱性 【4】Drupal coreに情報漏えいの脆弱性 【5】Mozilla Thunderbirdに複数の脆弱性 【今週のひとくちメモ】IPAが「ビジネスメール詐欺（BEC）対策特設ページ」を公開 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2022/wr223901.html https://www.jpcert.or.jp/wr/2022/wr223901.xml ============================================================================ 【1】Google Chromeに複数の脆弱性 情報源 Google Stable Channel Update for Desktop https://chromereleases.googleblog.com/2022/09/stable-channel-update-for-desktop_27.html 概要 Google Chromeには、複数の脆弱性があります。 対象となる製品は次のとおりです。 - Google Chrome 106.0.5249.61より前のバージョン この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新 することで解決します。詳細は、Googleが提供する情報を参照してください。 【2】Apache TomcatにHttp11Processorインスタンスにおける競合状態による情報漏えいの脆弱性 情報源 Japan Vulnerability Notes JVNVU#98868043 Apache TomcatにHttp11Processorインスタンスにおける競合状態による情報漏えいの脆弱性 https://jvn.jp/vu/JVNVU98868043/ 概要 Apache Tomcatには、Http11Processorインスタンスにて競合状態が発生し、情 報漏えいに繋がる脆弱性があります。結果として、複数のクライアントから接 続された場合、レスポンスのすべてまたはその一部を誤ったクライアントに送 信することで、情報が漏えいする可能性があります。 対象となるバージョンは次のとおりです。 - Apache Tomcat 10.1.0-M1から10.1.0-M12までのバージョン - Apache Tomcat 10.0.0-M1から10.0.18までのバージョン - Apache Tomcat 9.0.0-M1から9.0.60までのバージョン - Apache Tomcat 8.5.0から8.5.77までのバージョン この問題は、Apache TomcatをThe Apache Software Foundationがが提供する 修正済みのバージョンに更新することで解決します。詳細は、開発者が提供す る情報を参照してください。 関連文書 (英語) The Apache Software Foundation Fixed in Apache Tomcat 10.0.20 https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.0.20 The Apache Software Foundation Fixed in Apache Tomcat 10.1.0-M14 https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.0-M14 The Apache Software Foundation Fixed in Apache Tomcat 9.0.62 https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.62 The Apache Software Foundation Fixed in Apache Tomcat 8.5.78 https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.78 【3】複数のCisco製品に脆弱性 情報源 CISA Current Activity Cisco Releases Security Updates for Multiple Products https://www.cisa.gov/uscert/ncas/current-activity/2022/09/30/cisco-releases-security-updates-multiple-products 概要 複数のCisco製品には、複数の脆弱性があります。結果として、遠隔の第三者 が、サービス運用妨害（DoS）攻撃を行うなどの可能性があります。 影響を受ける製品、バージョンは多岐にわたります。詳細は、Ciscoが提供す るアドバイザリ情報を参照してください。 この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す ることで解決します。詳細は、Ciscoが提供する情報を参照してください。 関連文書 (英語) Cisco Cisco Security Advisories https://tools.cisco.com/security/center/publicationListing.x 【4】Drupal coreに情報漏えいの脆弱性 情報源 CISA Current Activity Drupal Releases Security Update https://www.cisa.gov/uscert/ncas/current-activity/2022/09/30/drupal-releases-security-update 概要 Drupal coreには情報漏えいの脆弱性があります。結果として、Twigコードの 書き込み権限を持つ第三者が、当該システムのファイルの内容やデータベース の資格情報を窃取する可能性があります 対象となるバージョンは次のとおりです。 - Drupal 9.4.7より前のバージョン - Drupal 9.3.22より前のバージョン - Drupal 8系バージョン なお、Drupal 9.3系より前の9系および8系のバージョンはサポートが終了して おり、セキュリティに関する情報は提供されていません。脆弱性ごとの対象 バージョンや条件についてはDrupalが提供する情報をご確認ください。 この問題は、Drupalが提供する修正済みのバージョンに更新することで解決し ます。詳細は、Drupalが提供する情報を参照してください。 関連文書 (英語) Drupal Drupal core - Critical - Multiple vulnerabilities - SA-CORE-2022-016 https://www.drupal.org/sa-core-2022-016 【5】Mozilla Thunderbirdに複数の脆弱性 情報源 CISA Current Activity Mozilla Releases Security Update for Thunderbird https://www.cisa.gov/uscert/ncas/current-activity/2022/09/30/mozilla-releases-security-update-thunderbird 概要 Thunderbirdは複数の脆弱性があります。結果として、攻撃者がメッセージを 他者になりすまして送信するなどの可能性があります。 対象となるバージョンは次のとおりです。 - Mozilla Thunderbird 102.3.1より前のバージョン この問題は、Mozilla ThunderbirdをMozillaが提供する修正済みのバージョン に更新することで解決します。詳細は、Mozillaが提供する情報を参照してく ださい。 関連文書 (英語) Mozilla Mozilla Foundation Security Advisory 2022-43 https://www.mozilla.org/en-US/security/advisories/mfsa2022-43/ ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○IPAが「ビジネスメール詐欺（BEC）対策特設ページ」を公開 2022年9月28日、IPAは「ビジネスメール詐欺（BEC）対策特設ページ」を公開 しました。本ページでは、今後もさらなるビジネスメール詐欺の脅威が考えら れることから、ビジネスメール詐欺の対策に必要となる情報を集約しています。 参考文献 (日本語) 情報処理推進機構（IPA） ビジネスメール詐欺（BEC）対策特設ページ https://www.ipa.go.jp/security/bec/ ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CCからのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CCでは、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下のURLからご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下のURLを参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CCのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ -----BEGIN PGP SIGNATURE----- iQIcBAEBCAAGBQJjPMd4AAoJEDoQgdvpn3qqYMwQAJwCGo4deIs9N3DZxWzf6KLV ulZYcpS7A2Aez56XKIZ00zPwXTd/3dVOjcP1IuenIfZmuPEZIMYe89vh+P2PtFDl Jt+m8TVJ6l7j7mERt3tbjRul001M8TMFmfYmYKIHs9T1H/mEwcBGGIDdUZy3igQd 3lOkef4qCxOBnFuYYEp090a0+7lACw/nMP6eam1TOnuOjh98ARUfxAJZTL4rVuOc q575vcTkqg05TZnBdeyswvuoinVIBjPYCjGqxN3ura9OoHjCsl1s4XsKgEgDL31j 4cmaemgKJLtl3svAj7c09YCNo+NxdCdbBuqTfMNDUi+D8UlgAbf/miTATJqaiB2I ajh8c2TeD7XdF5USlaG1P/oY9T8+K5PKzV3MmeB1n388eTvhGf6yXM3fEvq2vyQN xsvujIa+Rml98QbEbG46TpRrukVwaFmX/UsJKLfndSDgAp6v+u6u88q4WMucZecU 538rdVxCegZ+QNnYHGAPsNg0xAsBLGbG2lItyBVaMAx4fJjgsbBdADCOVJxl+dMa hw3+rmnGMOvCyS8lLO7j9I27aBoXMUTZpvhd5uJekqN5ZvTNaLRb2e/0JGZ0nwef hSq7D009+2/JPu6MRrgQjmY1Bdqcp4kSp28t9klsi1T2Y7CCnZGVvDfOPzgC4Oa1 HqL/CJQHSsHG+qxbk4VV =gGo9 -----END PGP SIGNATURE-----