-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2022-4901 JPCERT/CC 2022-12-14 <<< JPCERT/CC WEEKLY REPORT 2022-12-14 >>> ―――――――――――――――――――――――――――――――――――――― ■12/04(日)〜12/10(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】Cisco IP Phone に複数の脆弱性 【2】複数のVMware製品に脆弱性 【3】FortiOSおよびFortiProxyに認証バイパスの脆弱性 【4】バッファロー製ネットワーク機器に複数の脆弱性 【今週のひとくちメモ】JPCERT/CC ベストレポーター賞 2022 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2022/wr224901.html https://www.jpcert.or.jp/wr/2022/wr224901.xml ============================================================================ 【1】Cisco IP Phone に複数の脆弱性 情報源 CISA Current Activity Cisco Releases Security Advisory for IP Phone 7800 and 8800 Series https://www.cisa.gov/uscert/ncas/current-activity/2022/12/09/cisco-releases-security-advisory-ip-phone-7800-and-8800-series 概要 Cisco IP Phone には脆弱性があります。結果として、隣接するネットワーク 上の第三者が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行っ たりする可能性があります。 対象となる製品およびバージョンは次のとおりです。 - Cisco IP Phone 7800 シリーズ ファームウェアバージョン14.2およびそれ以前 - Cisco IP Phone 8800 シリーズ ファームウェアバージョン14.2およびそれ以前（Wireless IP Phone 8821を除く） この問題に関し、Ciscoは修正済みのバージョンの提供を予定しており、2022 年12月14日時点では一定の条件を満たす環境にて実施可能となる緩和策を提供 しています。詳細は、Ciscoが提供する情報を参照してください。 関連文書 (英語) Cisco Security Advisory Cisco IP Phone 7800 and 8800 Series Cisco Discovery Protocol Stack Overflow Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ipp-oobwrite-8cMF5r7U 【2】複数のVMware製品に脆弱性 情報源 VMware VMSA-2022-0030 https://www.vmware.com/security/advisories/VMSA-2022-0030.html 概要 複数のVMware製品には、脆弱性があります。このうち、メモリ破壊の脆弱性 が悪用されると、ESXiにローカル環境からアクセスできる攻撃者が、ESXiサン ドボックスから脱出するなどの可能性があります。 対象となる製品は次のとおりです。対象となるバージョンは多岐にわたります。 詳細はVMwareが提供するアドバイザリ情報を参照してください。 - VMware ESXi - VMware vCenter Server (vCenter Server) - VMware Cloud Foundation (Cloud Foundation) この問題は、該当する製品をVMwareが提供する修正済みのバージョンに更新す るか、回避策を適用することで解決します。詳細は、VMwareが提供する情報を 参照してください。 【3】FortiOSおよびFortiProxyに認証バイパスの脆弱性 情報源 Fortinet FortiOS & FortiProxy - SSH authentication bypass when RADIUS authentication is used https://www.fortiguard.com/psirt/FG-IR-22-255 概要 FortiOSおよびFortiProxyには、認証バイパスの脆弱性があります。結果とし て、遠隔の第三者が、特別に細工した応答をRADIUSサーバーから送信すること で、認証を迂回してログインする可能性があります。 対象となる製品およびバージョンは次のとおりです。 - FortiOS バージョン7.2.0から7.2.1まで - FortiOS バージョン7.0.0から7.0.7まで - FortiOS バージョン6.4.0から6.4.9まで - FortiOS バージョン6.2系のすべてのバージョン - FortiOS バージョン6.0系のすべてのバージョン - FortiProxy バージョン7.0.0から7.0.6まで - FortiProxy バージョン2.0.0から2.0.10まで - FortiProxy バージョン1.2.0系のすべてのバージョン この問題は、該当する製品をFortinetが提供する修正済みのバージョンに更新 することで解決します。詳細は、Fortinetが提供する情報を参照してください。 【4】バッファロー製ネットワーク機器に複数の脆弱性 情報源 Japan Vulnerability Notes JVNVU#97099584 バッファロー製ネットワーク機器における複数の脆弱性 https://jvn.jp/vu/JVNVU97099584/ 概要 バッファロー製ネットワーク機器には、複数の脆弱性があります。結果として、 隣接するネットワーク上から当該機器の管理画面にログイン可能な第三者が、 デバッグ機能を不正に有効化し、任意のコマンドを実行するなどの可能性があ ります。 対象となる製品は多岐にわたります。詳細は、株式会社バッファローが提供す る情報を参照してください。 この問題は、該当する製品を株式会社バッファローが提供する修正済みのバー ジョンに更新することで解決します。詳細は、株式会社バッファローが提供す る情報を参照してください。 関連文書 (日本語) 株式会社バッファロー ルーター等の一部商品における複数の脆弱性とその対処方法 https://www.buffalo.jp/news/detail/20221205-01.html ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○JPCERT/CC ベストレポーター賞 2022 JPCERT/CCは12月8日、ベストレポーター賞2022の受賞者を発表しました。 ベストレポーター賞は、インシデント報告と脆弱性報告のそれぞれの部門に おいて、情報提供によりJPCERT/CCの活動に顕著な貢献をいただいた方に年1回、 記念品の贈呈とともに感謝の意を表するものです。 JPCERT/CCは、多くの報告者の方々に日々ご協力いただいております。 JPCERT/CCに報告をくださったすべての方々に、この場を借りて感謝申し上げ ます。引き続きJPCERT/CCの活動にご協力いただければと存じます。 参考文献 (日本語) JPCERT/CC JPCERT/CC ベストレポーター賞 2022 https://www.jpcert.or.jp/award/best-reporter-award/2022.html ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CCからのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CCでは、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下のURLからご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下のURLを参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CCのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ -----BEGIN PGP SIGNATURE----- iQIcBAEBCAAGBQJjmQZ5AAoJEDoQgdvpn3qqqL8QAKqFCwRFrYgqrjDntJeBAgXu NLSiCYbJjoQGExA+szHZl0aSXoEvmpDoVJ56lLn8hByWq4r1C9R+8TY61fDtz3nv PaqIzHha4b3CanItmyJaUSTV3PuFrc+iftyCkWkCMwgYfdp5QEEzEJGjosHTnUl+ NpmNdMwOYa0CMdgwIfWpsbefvM2JdeNHxFxdEKh9dPWfJ5n9hLXq9Kj7yKBOdv13 +MBhz3MNVNe3yOHAejo6xFTkiVX264o+fDungrBjByiEwUUlrrD2LGNr937kqD8a St55jCwzzkDkv7L4q9QbsMMv8Wm9eoEtAteOS+iazmEcdiUNC2mChxZQvCS5jfex LJW0GuXxWjiR1+wbTUWGm4M5PvA8gMkKv4mdxcTLebiyTlKQ5m81q2ZyG3Bh+Nr+ VGB7B0jORtM7G/JcwpSg5da/jiPftWsxtuxHoA7wnOU78P1FEs9An7oXGb/7u5Vq iTlDp478q1BSbsw5mIdXHLLb6zZFtODjFQ4xdHheu85ExfSMWLQfxCo09QsZ32RX 4TlVpi19bbi2GTOznaW7N3NvPmfHH3c46Rs66P7WCOcYrCHKHtimy6a1Bzem246g LNkffKHOospzvnytwkS3LEXZlDRx+qfD9uxP5jq5VsAM8GDcNi4vBJlLOJdeuxb6 LYlqJqvDlMt6TLIsRZdl =68WI -----END PGP SIGNATURE-----