<<< JPCERT/CC WEEKLY REPORT 2023-11-01 >>>

■10/22(日)〜10/28(土) のセキュリティ関連情報

目　次

【1】複数のApple製品に脆弱性

【2】複数のVMware製品に脆弱性

【3】baserCMSに複数の脆弱性

【4】OpenSSLの暗号鍵と初期化ベクトルの長さに関する処理の問題

【5】Movable Typeにクロスサイトスクリプティングの脆弱性

【6】Google Chromeに複数の脆弱性

【7】HP ThinUpdateにサーバー証明書の検証不備の脆弱性

【8】複数のMozilla製品に脆弱性

【9】BIG-IPにリモートコード実行の脆弱性

【10】JPCERT/CCが「フィッシングサイト経由の認証情報窃取とドメイン名ハイジャック事件」を公開

【1】複数のApple製品に脆弱性

情報源

https://www.cisa.gov/news-events/alerts/2023/10/26/apple-releases-security-advisories-multiple-products

概要

AppleからiOSおよびiPadOS、macOS、tvOS、watchOS、Safariに関するセキュリティアップデートが公開されました。Appleは今回修正された脆弱性の一部を悪用する攻撃をすでに確認しているとのことです。詳細は開発者が提供する情報を参照してください。

関連文書

https://support.apple.com/en-us/HT213982

https://support.apple.com/en-us/HT213981

https://support.apple.com/en-us/HT213990

https://support.apple.com/en-us/HT213984

https://support.apple.com/en-us/HT213985

https://support.apple.com/en-us/HT213983

https://support.apple.com/en-us/HT213987

https://support.apple.com/en-us/HT213988

https://support.apple.com/en-us/HT213986

【2】複数のVMware製品に脆弱性

情報源

https://www.cisa.gov/news-events/alerts/2023/10/26/vmware-releases-security-advisory-vcenter-server

概要

VMware vCenter ServerおよびVMware Cloud Foundationには、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

関連文書

https://www.vmware.com/security/advisories/VMSA-2023-0023.html

【3】baserCMSに複数の脆弱性

情報源

https://jvn.jp/jp/JVN45547161/

概要

baserCMSユーザー会が提供するbaserCMSには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

関連文書

https://basercms.net/security/JVN_45547161

【4】OpenSSLの暗号鍵と初期化ベクトルの長さに関する処理の問題

情報源

https://jvn.jp/vu/JVNVU99631663/

概要

OpenSSLには、鍵とIV（Initialization Vector）の長さに関する処理に問題があり、一部の共通鍵暗号の初期化時に切り捨てやオーバーフローが発生する可能性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

関連文書

https://www.openssl.org/news/secadv/20231024.txt

【5】Movable Typeにクロスサイトスクリプティングの脆弱性

情報源

https://jvn.jp/jp/JVN39139884/

概要

シックス・アパート株式会社が提供するMovable Typeには、クロスサイトスクリプティングの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

関連文書

https://www.sixapart.jp/movabletype/news/2023/10/25-1100.html

【6】Google Chromeに複数の脆弱性

情報源

https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_24.html

概要

Google Chromeには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

【7】HP ThinUpdateにサーバー証明書の検証不備の脆弱性

情報源

https://jvn.jp/jp/JVN02058996/

概要

HP Development Company, L.P.が提供するHP ThinUpdateには、サーバー証明書の検証不備の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

関連文書

https://support.hp.com/us-en/document/ish_9440593-9440618-16

【8】複数のMozilla製品に脆弱性

情報源

https://www.cisa.gov/news-events/alerts/2023/10/25/mozilla-releases-security-advisories-multiple-products

概要

複数のMozilla製品には、脆弱性があります。Firefox、Firefox ESR、Firefox for iOS、Thunderbirdが影響を受けます。この問題は、当該製品を開発者が提供する修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参考にしてください。

関連文書

https://www.mozilla.org/en-US/security/advisories/mfsa2023-48/

https://www.mozilla.org/en-US/security/advisories/mfsa2023-47/

https://www.mozilla.org/en-US/security/advisories/mfsa2023-46/

https://www.mozilla.org/en-US/security/advisories/mfsa2023-45/

【9】BIG-IPにリモートコード実行の脆弱性

情報源

https://www.jpcert.or.jp/newsflash/2023102701.html

概要

F5 Networksが提供するBIG-IP Configuration utilityにはリモートコード実行の脆弱性があります。この問題は、当該製品を開発者が提供する修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。

関連文書

https://my.f5.com/manage/s/article/K000137353

【10】JPCERT/CCが「フィッシングサイト経由の認証情報窃取とドメイン名ハイジャック事件」を公開

情報源

https://blogs.jpcert.or.jp/ja/2023/10/domain-hijacking.html

概要

2023年10月25日、JPCERT/CCはブログ「フィッシングサイト経由の認証情報窃取とドメイン名ハイジャック事件」を公開しました。2023年7月上旬に、日本国内で利用されていたドメインが不正に別のレジストラーに移管されるドメインハイジャックの攻撃事例を紹介しています。

■JPCERT/CCからのお願い