<<< JPCERT/CC WEEKLY REPORT 2023-10-12 >>>

■10/01(日)〜10/07(土) のセキュリティ関連情報

目　次

【1】e-Gov電子申請アプリケーションにアクセス制限不備の脆弱性

【2】Atlassian製Confluence Data CenterおよびConfluence Serverにアクセス制御不備の脆弱性

【3】複数のCisco製品に脆弱性

【4】Citadel WebCitのインスタントメッセージング機能にクロスサイトスクリプティングの脆弱性

【5】フルノシステムズ製無線LANアクセスポイント（STモード利用時）に複数の脆弱性

【6】医薬品医療機器等法対応医薬品等電子申請ソフトにXML外部実体参照（XXE）の脆弱性

【7】Apple iOSおよびiPadOSに脆弱性

【1】e-Gov電子申請アプリケーションにアクセス制限不備の脆弱性

情報源

https://jvn.jp/jp/JVN15808274/

概要

デジタル庁が提供するe-Gov電子申請アプリケーションには、Custom URL Schemeの処理にアクセス制限不備の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

関連文書

https://shinsei.e-gov.go.jp/contents/news/2023-03-12t1022040900_1318.html

【2】Atlassian製Confluence Data CenterおよびConfluence Serverにアクセス制御不備の脆弱性

情報源

https://www.cisa.gov/news-events/alerts/2023/10/05/atlassian-releases-security-advisory-confluence-data-center-and-server

概要

Atlassian社が提供するConfluence Data CenterおよびConfluence Serverには、アクセス制御不備の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。開発者は今回修正された脆弱性を悪用する攻撃をすでに確認しているとのことです。詳細は開発者が提供する情報を参照してください。

関連文書

https://confluence.atlassian.com/security/cve-2023-22515-privilege-escalation-vulnerability-in-confluence-data-center-and-server-1295682276.html

【3】複数のCisco製品に脆弱性

情報源

https://www.cisa.gov/news-events/alerts/2023/10/05/cisco-releases-security-advisories-multiple-products

概要

Ciscoは同社製品における脆弱性に関するアドバイザリを計3件（Critical 1件、High 1件、Medium 1件）公開しました。対象は多岐にわたります。影響を受ける製品、バージョンなどの詳細は、開発者が提供する情報を参照してください。

関連文書

https://sec.cloudapps.cisco.com/security/center/publicationListing.x

【4】Citadel WebCitのインスタントメッセージング機能にクロスサイトスクリプティングの脆弱性

情報源

https://jvn.jp/jp/JVN08237727/

概要

Citadel WebCitには、クロスサイトスクリプティングの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

関連文書

https://www.citadel.org/download.html

https://code.citadel.org/citadel/citadel

https://code.citadel.org/citadel/citadel/-/commit/f0dac5ff074ad686fa71ea663c8ead107bd3041e

【5】フルノシステムズ製無線LANアクセスポイント（STモード利用時）に複数の脆弱性

情報源

https://jvn.jp/vu/JVNVU94497038/

概要

株式会社フルノシステムズが提供する無線LANアクセスポイント製品（STモード利用時）には、複数の脆弱性があります。この問題は、当該製品を修正済みのファームウェアにアップデートすることで解決します。なお、開発者によると、本件の影響を受ける製品群の一部は、すでにサポートが終了しているとのことであり、サポートを終了した製品については、製品の使用停止が推奨されています。詳細は開発者が提供する情報を参照してください。

関連文書

https://www.furunosystems.co.jp/news/info/vulner20231002.html

【6】医薬品医療機器等法対応医薬品等電子申請ソフトにXML外部実体参照（XXE）の脆弱性

情報源

https://jvn.jp/jp/JVN39596244/

概要

厚生労働省が提供する医薬品医療機器等法対応医薬品等電子申請ソフトには、XML外部実体参照（XXE）の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

関連文書

https://web.fd-shinsei.mhlw.go.jp/download/software/index.html

【7】Apple iOSおよびiPadOSに脆弱性

情報源

https://www.jpcert.or.jp/newsflash/2023100501.html

概要

Appleが提供するiOSおよびiPadOSには、複数の脆弱性があります。この問題は、当該製品を開発者が提供する修正済みのバージョンに更新することで解決します。Appleは今回修正された脆弱性の内、Kernelの権限昇格の脆弱性（CVE-2023-42824）を悪用する攻撃をすでに確認しているとのことです。詳細は開発者が提供する情報を参照してください。

関連文書

https://support.apple.com/ja-jp/HT213961

https://support.apple.com/ja-jp/HT213972

■JPCERT/CCからのお願い