-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 JPCERT-WR-2023-0315 JPCERT/CC 2023-03-15 <<< JPCERT/CC WEEKLY REPORT 2023-03-15 >>> ―――――――――――――――――――――――――――――――――――――― ■03/05(日)〜03/11(土) のセキュリティ関連情報 ―――――――――――――――――――――――――――――――――――――― == 目 次 ================================================================== 【1】複数のFortinet製品に脆弱性 【2】複数のCisco製品に脆弱性 【3】Apache HTTP Serverに複数の脆弱性 【4】PostgreSQL拡張モジュールpg_ivmに複数の脆弱性 【5】バッファロー製ネットワーク機器に複数の脆弱性 【6】セイコーエプソン製プリンターおよびネットワークインターフェイス製品のWeb Configに複数の脆弱性 【今週のひとくちメモ】「サイバー攻撃被害に係る情報の共有・公表ガイダンス（案）」に対する意見募集の結果及び「サイバー攻撃被害に係る情報の共有・公表ガイダンス」の公表 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※HTML 版および XML版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2023/wr230315.html https://www.jpcert.or.jp/wr/2023/wr230315.xml ============================================================================ 【1】複数のFortinet製品に脆弱性 情報源 CISA Cybersecurity Alerts & Advisories Fortinet Releases March 2023 Vulnerability Advisories https://www.cisa.gov/news-events/alerts/2023/03/09/fortinet-releases-march-2023-vulnerability-advisories 概要 複数のFortinet製品には、脆弱性があります。結果として、遠隔の第三者が任 意のコードを実行したり、サービス運用妨害（DoS）攻撃を行ったりするなど の可能性があります。 影響を受ける製品、バージョンは多岐にわたります。 影響度がCriticalの脆弱性（CVE-2023-25610）の対象製品は次のとおりです。 - FortiOS - FortiProxy - FortiOS-6K7K 対象のバージョンは、Fortinetが提供をする情報を参照してください。また、 対象のOSが動作している製品によって影響が異なります。 この問題は、該当する製品をFortinetが提供する修正済みのバージョンに更新 することで解決します。詳細は、Fortinetが提供する情報を参照してください。 関連文書 (日本語) 情報処理推進機構（IPA） Fortinet 製 FortiOS および FortiProxy の脆弱性対策について(CVE-2023-25610) https://www.ipa.go.jp/security/ciadr/vul/alert20230309.html 関連文書 (英語) Fortinet March 2023 Vulnerability Advisories https://www.fortiguard.com/psirt-monthly-advisory/march-2023-vulnerability-advisories Fortinet FortiOS / FortiProxy - Heap buffer underflow in administrative interface https://www.fortiguard.com/psirt/FG-IR-23-001 Fortinet Analysis of FG-IR-22-369 https://www.fortinet.com/blog/psirt-blogs/fg-ir-22-369-psirt-analysis 【2】複数のCisco製品に脆弱性 情報源 CISA Cybersecurity Alerts & Advisories Cisco Releases Security Advisory for IOS XR Software https://www.cisa.gov/news-events/alerts/2023/03/09/cisco-releases-security-advisory-ios-xr-software 概要 複数のCisco製品には、脆弱性があります。結果として、遠隔の第三者がサー ビス運用妨害（DoS）攻撃を行うなどの可能性があります。 影響を受ける製品、バージョンは多岐にわたります。当該期間中は、計2件の アドバイザリ（High1件、Medium1件）が新たに公開されています。 この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新す ることで解決します。詳細は、Ciscoが提供する情報を参照してください。 関連文書 (英語) Cisco Cisco Security Advisories https://sec.cloudapps.cisco.com/security/center/publicationListing.x Cisco Cisco IOS XR Software for ASR 9000 Series Routers Bidirectional Forwarding Detection Denial of Service Vulnerability https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-bfd-XmRescbT Cisco Cisco IOS XR Software Bootloader Unauthenticated Information Disclosure Vulnerability https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-load-infodisc-9rdOr5Fq 【3】Apache HTTP Serverに複数の脆弱性 情報源 Japan Vulnerability Notes JVNVU#94155938 Apache HTTP Server 2.4における複数の脆弱性に対するアップデート https://jvn.jp/vu/JVNVU94155938/ 概要 Apache HTTP Server 2.4系には、複数の脆弱性があります。結果として、攻撃 者がプロキシサーバーのアクセス制御をバイパスしたり、キャッシュポイズニン グを引き起こすなどの可能性があります。 対象となるバージョンは次のとおりです。 - Apache HTTP Server 2.4.55およびそれ以前 この問題は、該当製品を開発者が提供する修正済みのバージョンに更新するこ とで解決します。詳細は、開発者が提供する情報を参照してください。 関連文書 (英語) The Apache Software Foundation Fixed in Apache HTTP Server 2.4.56 https://httpd.apache.org/security/vulnerabilities_24.html#2.4.56 【4】PostgreSQL拡張モジュールpg_ivmに複数の脆弱性 情報源 Japan Vulnerability Notes JVN#19872280 PostgreSQL 拡張モジュール pg_ivm における複数の脆弱性 https://jvn.jp/jp/JVN19872280/ 概要 IVM Development Groupが提供するpg_ivmには、複数の脆弱性があります。結 果として、行レベルセキュリティで保護されているテーブル内の情報が、本来 アクセス権限のないユーザーに漏えいするなどの可能性があります。 対象となる製品は次のとおりです。 - pg_ivm 1.5.1より前のバージョン この問題は、該当する製品を開発者が提供する修正済みのバージョンに更新す ることで解決します。詳細は、開発者が提供する情報を参照してください。 関連文書 (英語) IVM Development Group IVM (Incremental View Maintenance) implementation as a PostgreSQL extension https://github.com/sraoss/pg_ivm IVM Development Group pg_ivm 1.5.1 (2023-03-02) https://github.com/sraoss/pg_ivm/releases/tag/v1.5.1 【5】バッファロー製ネットワーク機器に複数の脆弱性 情報源 Japan Vulnerability Notes JVNVU#96824262 バッファロー製ネットワーク機器における複数の脆弱性 https://jvn.jp/vu/JVNVU96824262/ 概要 バッファロー製ネットワーク機器には、複数の脆弱性があります。結果として、 当該製品の特定ファイルを窃取され、製品の設定を不正に変更されるなどの可 能性があります。 対象となる製品は多岐にわたります。詳細は、株式会社バッファローが提供す る情報を参照してください。 この問題は、該当する製品を株式会社バッファローが提供する修正済みのバー ジョンに更新することで解決します。詳細は、株式会社バッファローが提供す る情報を参照してください。 関連文書 (日本語) 株式会社バッファロー スイッチの一部商品における複数の脆弱性とその対処方法 https://www.buffalo.jp/news/detail/20230310-01.html 【6】セイコーエプソン製プリンターおよびネットワークインターフェイス製品のWeb Configに複数の脆弱性 情報源 Japan Vulnerability Notes JVN#82424996 セイコーエプソン製プリンターおよびネットワークインターフェイス製品の Web Config における複数の脆弱性 https://jvn.jp/jp/JVN82424996/ 概要 セイコーエプソン株式会社が提供するプリンターおよびネットワークインター フェイス製品のWeb Configには、複数の脆弱性があります。結果として、当該 製品の設定画面にアクセスしたユーザーのWebブラウザー上で、任意のスクリ プトを実行されるなどの可能性があります。 対象となる製品は多岐にわたります。 この問題は、該当する製品をセイコーエプソン株式会社が提供する修正済みの バージョンに更新するまたは回避策を適用することで解決します。なお、対策 ファームウェアは 2023年4月以降順次リリース予定とのことです。詳細は、セ イコーエプソン株式会社が提供する情報を参照してください。 関連文書 (日本語) セイコーエプソン株式会社 プリンターおよびネットワークインターフェイス製品のWeb Configにおける脆弱性について https://www.epson.jp/support/misc_t/230308_oshirase.htm ―――――――――――――――――――――――――――――――――――――― ■今週のひとくちメモ ―――――――――――――――――――――――――――――――――――――― ○「サイバー攻撃被害に係る情報の共有・公表ガイダンス（案）」に対する意見募集の結果及び「サイバー攻撃被害に係る情報の共有・公表ガイダンス」の公表 2023年3月8日、「サイバー攻撃被害に係る情報の共有・公表ガイダンス」が策 定されました。本ガイダンスは、サイバー攻撃を受けた被害組織がサイバーセ キュリティ関係組織とサイバー攻撃被害に係る情報を共有する際の実務上の参 考となるポイントをFAQ形式でまとめたもので、2022年12月26日に公開されたガ イダンス案への意見募集を踏まえて公開されました。 JPCERT/CCは同検討会の共同事務局を務め、ガイダンス素案の作成を行いました。 参考文献 (日本語) 経済産業省 「サイバー攻撃被害に係る情報の共有・公表ガイダンス（案）」に対する意見募集の結果及び「サイバー攻撃被害に係る情報の共有・公表ガイダンス」の公表 https://www.meti.go.jp/press/2022/03/20230308006/20230308006.html ―――――――――――――――――――――――――――――――――――――― ■JPCERT/CCからのお願い ―――――――――――――――――――――――――――――――――――――― ◇本レポートに関するお問い合わせは ew-info@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CCでは、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下のURLからご利用いただけます。 https://www.jpcert.or.jp/wr/ ◇本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下のURLを参照してください。 https://www.jpcert.or.jp/announce.html ◇JPCERT/CCのセキュリティインシデントの報告方法については以下の URL を参照してください。 https://www.jpcert.or.jp/form/ 以上。 __________ -----BEGIN PGP SIGNATURE----- iQIcBAEBCAAGBQJkEQT9AAoJEDoQgdvpn3qqL70P/19eXAZD809vtplbqFQzq0aH 4KtkLnX3uGJiZRZQ/HfmLkL3lGbV5TBEUZaWFyYzsMFcszuRtmNKhgAsxknjIL6B bQHY2Kq1Tm+9iseHTzRnMiNUnDNHd7USM87XuIRV7kAaPyXbsKIO2cnS0yska78T BIqCtdTZTkHZaMNRL7mF1tAHPFXg0dYda0dKooOnmH0ubrA0bhJYuTboOtX2nhj7 IILH/bXk1nYn/3Mzhxkp9cg3y9xNH38SafCR734M4qYpLnE1QBQPUmzxNNd41zUC SOuxZuxIU5KPTmHULTx8SdkZFFcJvUEeI6t7H2TAocbKwq9o1TTwkYOX9xKe8FuF k8nIAHVPQfkfrfT4E3ykcEaGsseDud/0XzT41dKJyazOwOw4JFQ1QiDWORuyyCSf dpthae2gE5gjbluha2KiJnzOEOzHwML61b9qLnruDn2TICmjn/2CEFvIomVkeXNM ug80wwHqvmH7/DwJhc2XMQHEj0uCw2Vowe9xDi3ngsBYv3NKd5SqWXmU1vYdLJKe EsyvvOGrvi8GY3p/f5UvAW1RI4pRLVAEZ/P/MwlUjqrM1A0FcDkpdxvIKSgGYHby kT0amHtox1ZQqiTJPn4CLjV9BSG/pufUcNO11Tb8AG/Snklm/OM7yZFzBkR5y0wa 4jNfwoi9t560dkOoyNiD =Stgj -----END PGP SIGNATURE-----