JPCERT-WR-2024-0417
JPCERT/CC
2024-04-17
<<< JPCERT/CC WEEKLY REPORT 2024-04-17 >>>
■04/07(日)〜04/13(土) のセキュリティ関連情報
目 次
【1】XenServerおよびCitrix Hypervisorに複数の脆弱性
【2】複数のJuniper Networks製品に脆弱性
【3】複数のプログラミング言語にWindows環境でのコマンドインジェクションの脆弱性
【4】a-blog cmsに複数の脆弱性
【5】複数のアドビ製品に脆弱性
【6】複数のFortinet製品に脆弱性
【7】複数のHTTP/2実装にCONTINUATIONフレームの取り扱い不備
【8】OpenSSLにサービス運用妨害（DoS）の脆弱性
【9】WordPress用プラグインNinja Formsに複数の脆弱性
【10】Palo Alto Networks社製PAN-OS GlobalProtect機能にOSコマンドインジェクションの脆弱性（CVE-2024-3400）
【11】複数のマイクロソフト製品に脆弱性
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
【1】XenServerおよびCitrix Hypervisorに複数の脆弱性
情報源
概要
Cloud Software Groupが提供するXenServerおよびCitrix Hypervisorには、複数の脆弱性があります。当該製品の修正済みのバージョン、またはHotfixの提供状況など詳細について、開発者が提供するアドバイザリを参照して対処をご検討ください。
関連文書
【2】複数のJuniper Networks製品に脆弱性
情報源
概要
Juniper Networksは同社製品における脆弱性に関するアドバイザリを複数公開しました（Critical 3件を含む）。対象は多岐にわたります。影響を受ける製品、バージョンなどの詳細は、開発者が提供する情報を参照してください。
関連文書
【3】複数のプログラミング言語にWindows環境でのコマンドインジェクションの脆弱性
情報源
概要
複数のプログラミング言語において、Microsoft Windows環境で任意のコマンドが実行可能となる脆弱性が指摘されています。幾つかの製品ベンダーは、この問題への対策に関する情報を提供しています。CERT/CCは、この問題に関して製品ベンダーの対応状況を横断的に示していますので、ご確認のうえ対処をご検討ください。
関連文書
https://flatt.tech/research/posts/batbadbut-you-cant-securely-execute-commands-on-windows/
【4】a-blog cmsに複数の脆弱性
情報源
概要
有限会社アップルップルが提供するa-blog cmsには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
【5】複数のアドビ製品に脆弱性
情報源
概要
複数のアドビ製品に関する脆弱性が公開されています。対象となる製品およびバージョンは多岐にわたります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
【6】複数のFortinet製品に脆弱性
情報源
概要
Fortinetは同社製品における脆弱性に関するアドバイザリを複数公開しました（Critical 1件含む）。対象は多岐にわたります。影響を受ける製品、バージョンなどの詳細は、開発者が提供する情報を参照してください。
関連文書
【7】複数のHTTP/2実装にCONTINUATIONフレームの取り扱い不備
情報源
概要
複数のHTTP/2実装において、CONTINUATIONフレームの取り扱い不備によりサービス運用妨害（DoS）攻撃が可能となる問題が指摘されています。幾つかの製品ベンダーは、この問題への対策に関する情報を提供しています。各製品ベンダーの対応状況については、JVNおよびCERT/CCの情報を参照してください。
関連文書
https://kb.cert.org/vuls/id/421644
https://nowotarski.info/http2-continuation-flood-technical-details/
【8】OpenSSLにサービス運用妨害（DoS）の脆弱性
情報源
概要
OpenSSLには、TLSv1.3セッションの処理時にメモリを多量に消費し、サービス運用妨害（DoS）状態を引き起こす脆弱性があります。2024年4月17日現在、修正版は提供されていませんが、今後公開されるバージョンにおいて修正される予定です。 詳細は開発者が提供する情報を参照してください。
関連文書
【9】WordPress用プラグインNinja Formsに複数の脆弱性
情報源
概要
Saturday Driveが提供するWordPress用プラグインNinja Formsには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
【10】Palo Alto Networks社製PAN-OS GlobalProtect機能にOSコマンドインジェクションの脆弱性（CVE-2024-3400）
情報源
概要
Palo Alto Networksは、PAN-OSのGlobalProtect機能におけるOSコマンドインジェクションの脆弱性（CVE-2024-3400）のアドバイザリを公開しました。GlobalProtectはリモートアクセス（VPN）などを提供する機能です。同社は本脆弱性を悪用する攻撃を確認しているとのことです。バージョンにより提供時期は異なりますが、同社は本脆弱性を修正するHotfixの提供を開始しています。最新の情報を確認の上、推奨される対策を適用してください。
関連文書
【11】複数のマイクロソフト製品に脆弱性
情報源
概要
複数のマイクロソフト製品に関する脆弱性（一部悪用あり）が公開されています。対象となる製品およびバージョンは多岐にわたります。この問題は、Microsoft Updateなどを用いて、更新プログラムを適用することで解決します。詳細は開発者が提供する情報を参照してください。
関連文書
https://www.cisa.gov/news-events/alerts/2024/04/09/microsoft-releases-april-2024-security-updates
■JPCERT/CCからのお願い
-
本レポートに関するお問い合わせは
ew-info@jpcert.or.jp 宛
にお願い致します。ただし、JPCERT/CCでは、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下のURLからご利用いただけます。
https://www.jpcert.or.jp/wr/ -
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下のURLを参照してください。
https://www.jpcert.or.jp/announce.html -
JPCERT/CCへのセキュリティインシデントの報告方法については以下のURLを参照してください。
https://www.jpcert.or.jp/form/
