カテゴリー: セキュリティ情報

「お知らせ」に掲載するセキュリティ情報です（アプリケーションの脆弱性など）。

Ghostscriptの任意のコマンド実行が可能な脆弱性（CVE-2021-3781）に関する注意喚起

　JPCERT/CCからの「Ghostscriptの任意のコマンド実行が可能な脆弱性（CVE-2021-3781）に関する注意喚起」をお知らせします。
各位
JPCERT-AT-2021-0039
JPCERT/CC
2021-09-13(新規)
2021-09-29(更新)
<<< JPCERT/CC Alert 2021-09-13 >>>
Ghostscriptの任意のコマンド実行が可能な脆弱性（CVE-2021-3781）に関する注意喚起
https://www.jpcert.or.jp/at/2021/at210039.html

I.概要

2021年9月9日（現地時間）、Ghostscriptの提供元であるArtifex Software社が、Ghostscriptにおける任意のコマンド実行が可能な脆弱性（CVE-2021-3781）に関するセキュリティアドバイザリを公開しました。Ghostscriptが動作するサーバーにおいて、攻撃者が本脆弱性を悪用するコンテンツを処理させることで、任意のコマンドを実行する可能性があります。

Artifex Software

SECURITY ADVISORY SEPTEMBER 9, 2021 – CVE-2021-3781
https://ghostscript.com/CVE-2021-3781.html

JPCERT/CCは、本脆弱性の詳細を解説するとみられる資料や、脆弱性を悪用する実証コードがすでに公開されていることを確認しています。
GhostscriptあるいはGhostscriptに依存するソフトウェアを使用している場合、Artifex Software社や各ディストリビューターなどの情報を確認し、速やかに対策を適用することを推奨します。

II.対象

対象となる製品とバージョンは次のとおりです。

– Ghostscript/GhostPDL 9.54.0

– Ghostscript/GhostPDL 9.53.3
– Ghostscript/GhostPDL 9.52
– Ghostscript/GhostPDL 9.50

Ghostscriptに依存するソフトウェアや、ディストリビューターが提供しているGhostscriptを利用している場合は、ソフトウェアの提供元やディストリビューターからの情報も参照してください。

III.対策

Artifex Software社から、本脆弱性を修正するパッチが公開されています。

また、本脆弱性を修正するGhostscript/GhostPDL 9.55.0は、2021年9月末頃に公開される予定とのことです。
** 更新: 2021年9月29日追記 *******************************************

2021年9月27日（現地時間）、Artifex Software社から本脆弱性を修正したバージョンが公開されました。公開された情報を参照のうえ、修正バージョンの適用をご検討ください。

Artifex Software

Version 9.55.0 (2021-09-27)
https://www.ghostscript.com/doc/9.55.0/News.htm
**********************************************************************

IV. 緩和策

本脆弱性への早期の対策実施が難しい場合、脆弱性を悪用する攻撃の影響を軽減するため、ImageMagickなどのGhostscriptを呼び出すプログラムにおいて、フィルター設定の見直しを検討することを推奨します。

これまでに公開されている情報では、悪性なSVG形式のファイルを読み込ませることで脆弱性を悪用できることが確認されています。なお、設定変更によりSVG形式のファイルの処理ができなくなるなどの影響が発生する可能性があるため、状況に応じて、実施を検討してください。
ImageMagick Studio LLC

Security Policy
https://imagemagick.org/script/security-policy.php

V. 参考情報

Artifex Software
SECURITY ADVISORY SEPTEMBER 9, 2021 – CVE-2021-3781
https://ghostscript.com/CVE-2021-3781.html

今回の件につきまして当方まで提供いただける情報がございましたら、ご連絡ください。
________

改訂履歴
2021-09-13 初版
2021-09-29 「III. 対策」の更新

 

一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC)
早期警戒グループ
Email:
https://www.jpcert.or.jp/

「フィッシング対策セミナー 2021（オンライン）」開催のお知らせ

最終更新日: 2021/10/04

フィッシング対策協議会は、増加が続くフィッシング詐欺の対策として、特に事業者側の効果的な対策促進を目的とした「フィッシング対策セミナー 2021（オンライン）」を開催します。本セミナーでは、フィッシング詐欺に関連する法執行機関、金融機関、学術機関、セキュリティ対策事業者から有識者を招き、最新のフィッシング詐欺の傾向とその対応策などを紹介します。

開催日程：2021年11月5日（金）10:00 – 16:45（オンライン開始：9:45から）
参加費は無料ですが、事前に参加申し込みが必要となります。申し込みの締切は2021年10月28日（木）17:00までです。詳細は、フィッシング対策協議会が提供する情報を参照してください。

参考文献 (日本語)

フィッシング対策協議会
フィッシング対策セミナー 2021（オンライン）開催のご案内
https://www.antiphishing.jp/news/event/antiphishing_seminar2021.html

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2021-09-29」
https://www.jpcert.or.jp/wr/2021/wr213801.html

 

複数のNETGEAR製品に脆弱性

最終更新日: 2021/10/04

情報源

CISA Current Activity
NETGEAR Releases Security Updates for RCE Vulnerability
https://us-cert.cisa.gov/ncas/current-activity/2021/09/21/netgear-releases-security-updates-rce-vulnerability

概要

複数のNETGEAR製品には、脆弱性があります。結果として、遠隔の第三者が任意のコードを実行する可能性があります。
対象となる製品は、多岐にわたります。詳細はNETGEARが提供するアドバイザリ情報を参照してください。
この問題は、該当する製品をNETGEARが提供する修正済みのバージョンに更新することで解決します。詳細は、NETGEARが提供する情報を参照してください。

関連文書 (英語)

NETGEAR
Security Advisory for Remote Code Execution on Some Routers, PSV-2021-0204
https://kb.netgear.com/000064039/Security-Advisory-for-Remote-Code-Execution-on-Some-Routers-PSV-2021-0204

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2021-09-29」
https://www.jpcert.or.jp/wr/2021/wr213801.html

 

複数のVMware製品に脆弱性

最終更新日: 2021/10/04

情報源

CISA Current Activity
VMware Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/09/21/vmware-releases-security-updates

概要

複数のVMware製品には、脆弱性があります。結果として、遠隔の第三者が任意
のコードを実行するなどの可能性があります。
対象となる製品は次のとおりです。
– vCenter Server 7.0系 7.0 U2dより前のバージョン
– vCenter Server 6.7系 6.7 U3oより前のバージョン
– vCenter Server 6.5系 6.5 U3qより前のバージョン
– Cloud Foundation (vCenter Server) 4系 4.3.1より前のバージョン
– Cloud Foundation (vCenter Server) 3系 3.10.2.2より前のバージョン
この問題は、該当する製品をVMwareが提供する修正済みのバージョンに更新するか、回避策を適用することで解決します。詳細は、VMwareが提供する情報を参照してください。

関連文書 (英語)

VMware
VMSA-2021-0020.1
https://www.vmware.com/security/advisories/VMSA-2021-0020.html

CISA Current Activity

VMware vCenter Server Vulnerability CVE-2021-22005 Under Active Exploit
https://us-cert.cisa.gov/ncas/current-activity/2021/09/24/vmware-vcenter-server-vulnerability-cve-2021-22005-under-active

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2021-09-29」
https://www.jpcert.or.jp/wr/2021/wr213801.html

 

複数のCisco製品に脆弱性

最終更新日: 2021/10/04

情報源

CISA Current Activity
Cisco Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2021/09/23/cisco-releases-security-updates-multiple-products

概要

複数のCisco製品には、影響度CriticalおよびHighを含む複数の脆弱性があります。結果として、遠隔の第三者が任意のコードを実行するなどの可能性があります。
対象となる製品は、多岐にわたります。詳細はCiscoが提供するアドバイザリ
情報を参照してください。
この問題は、該当する製品をCiscoが提供する修正済みのバージョンに更新することで解決します。詳細は、Ciscoが提供するアドバイザリ情報を参照してください。

関連文書 (英語)

Cisco
Cisco Security Advisories
https://tools.cisco.com/security/center/publicationListing.x

Cisco Security Advisory

Cisco IOS XE SD-WAN Software Buffer Overflow Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxesdwan-rbuffover-vE2OB6tp

Cisco Security Advisory

Cisco IOS XE Software for Catalyst 9000 Family Wireless Controllers CAPWAP Remote Code Execution Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ewlc-capwap-rce-LYgj8Kf

Cisco Security Advisory

Cisco IOS XE Software NETCONF and RESTCONF Authentication Bypass Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-aaa-Yx47ZT8Q

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2021-09-29」
https://www.jpcert.or.jp/wr/2021/wr213801.html

 

Google Chromeに複数の脆弱性

最終更新日: 2021/10/04

情報源

CISA Current Activity
Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2021/09/22/google-releases-security-updates-chrome

CISA Current Activity

Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2021/09/24/google-releases-security-updates-chrome

概要

Google Chromeには、複数の脆弱性があります。
対象となるバージョンは次のとおりです。

– Google Chrome 94.0.4606.61より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新することで解決します。詳細は、Googleが提供する情報を参照してください。

関連文書 (英語)

Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2021/09/stable-channel-update-for-desktop_21.html

Google

Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2021/09/stable-channel-update-for-desktop_24.html

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2021-09-29」
https://www.jpcert.or.jp/wr/2021/wr213801.html

 

複数のApple製品に脆弱性

最終更新日: 2021/10/04

情報源

CISA Current Activity
Apple Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2021/09/21/apple-releases-security-updates-multiple-products

CISA Current Activity

Apple Releases Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/09/23/apple-releases-security-updates

概要

複数のApple製品には、脆弱性があります。結果として、第三者が、任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可能性があります。
対象となる製品およびバージョンは次のとおりです。

– iOS 15より前のバージョン
– iOS 12.5.5より前のバージョン
– iPadOS 15より前のバージョン
– watchOS 8より前のバージョン
– tvOS 15より前のバージョン
– Xcode 13より前のバージョン
– Safari 15より前のバージョン
– iTunes for Windows 12.12より前のバージョン
– macOS Catalina（セキュリティアップデート 2021-006未適用）

この問題は、該当する製品をAppleが提供する修正済みのバージョンに更新することで解決します。詳細は、Appleが提供する情報を参照してください。

関連文書 (日本語)

JPCERT/CC CyberNewsFlash
Apple製品のアップデートについて（2021年9月）
https://www.jpcert.or.jp/newsflash/2021091401.html

Apple

iOS 15 および iPadOS 15 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212814

Apple

iOS 12.5.5 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212824

Apple

watchOS 8 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212819

Apple

tvOS 15 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212815

Apple

Xcode 13 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212818

Apple

Safari 15 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212816

Apple

iTunes for Windows 12.12 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212817

Apple

セキュリティアップデート 2021-006 Catalina のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT212825

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2021-09-29」
https://www.jpcert.or.jp/wr/2021/wr213801.html

 

シャープNECディスプレイソリューションズ製パブリックディスプレイに複数の脆弱性

最終更新日: 2021/09/28

情報源

Japan Vulnerability Notes JVN#42866574
シャープNECディスプレイソリューションズ製パブリックディスプレイにおける複数の脆弱性
https://jvn.jp/jp/JVN42866574/

概要

シャープNECディスプレイソリューションズ製パブリックディスプレイには、複数の脆弱性があります。結果として、遠隔の第三者が任意のコードを実行する可能性があります。
対象となる製品は、多岐にわたります。詳細はシャープNECディスプレイソリューションズ株式会社が提供するアドバイザリ情報を参照してください。
この問題は、該当する製品のファームウェアをシャープNECディスプレイソリューションズ株式会社が提供する修正済みのバージョンに更新することで解決します。詳細は、シャープNECディスプレイソリューションズ株式会社が提供する情報を参照してください。

関連文書 (日本語)

シャープNECディスプレイソリューションズ株式会社
パブリックディスプレイにおける複数の脆弱性
https://www.nec-display.com/jp/support/info/A5-1_vulnerability.html

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2021-09-24」
https://www.jpcert.or.jp/wr/2021/wr213701.html

 

Apache Tomcatにサービス運用妨害（DoS）の脆弱性

最終更新日: 2021/09/28

情報源

Japan Vulnerability Notes JVNVU#92089088
Apache Tomcatにおけるサービス運用妨害（DoS）の脆弱性
https://jvn.jp/vu/JVNVU92089088/

概要

Apache Tomcatには、脆弱性があります。結果として、遠隔の第三者がサービス運用妨害（DoS）攻撃を行う可能性があります。
対象となるバージョンは次のとおりです。
– Apache Tomcat 10.0.0-M1から10.0.2までのバージョン
– Apache Tomcat 9.0.0-M1から9.0.43までのバージョン
– Apache Tomcat 8.5.0から8.5.63までのバージョン
この問題は、該当する製品をThe Apache Software Foundationが提供する修正済みのバージョンに更新することで解決します。詳細は、The Apache Software Foundationが提供する情報を参照してください。

関連文書 (英語)

The Apache Software Foundation
Fixed in Apache Tomcat 10.0.4
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.0.4

The Apache Software Foundation

Fixed in Apache Tomcat 9.0.44
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.44

The Apache Software Foundation

Fixed in Apache Tomcat 8.5.64
https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.64

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2021-09-24」
https://www.jpcert.or.jp/wr/2021/wr213701.html

 

Drupalに複数の脆弱性

最終更新日: 2021/09/28

情報源

CISA Current Activity
Drupal Releases Multiple Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/09/16/drupal-releases-multiple-security-updates

概要

Drupalには、複数の脆弱性があります。結果として、ユーザーのブラウザー上で任意のスクリプトが実行されるなどの可能性があります。
対象となるバージョンは次のとおりです。
– Drupal 9.2.6より前の9.2系のバージョン
– Drupal 9.1.13より前の9.1系のバージョン
– Drupal 8.9.19より前の8.9系のバージョン
なお、Drupal 8.9系より前の8系と9.1系より前の9系のバージョンは、サポートが終了しており、今回のセキュリティに関する情報は提供されていません。
この問題は、該当する製品をDrupalが提供する修正済みのバージョンに更新することで解決します。詳細は、Drupalが提供する情報を参照してください。

関連文書 (英語)

Drupal
Drupal core – Moderately critical – Cross Site Request Forgery – SA-CORE-2021-006
https://www.drupal.org/sa-core-2021-006

Drupal

Drupal core – Moderately critical – Cross Site Request Forgery – SA-CORE-2021-007
https://www.drupal.org/sa-core-2021-007

Drupal

Drupal core – Moderately critical – Access bypass – SA-CORE-2021-008
https://www.drupal.org/sa-core-2021-008

Drupal

Drupal core – Moderately critical – Access bypass – SA-CORE-2021-009
https://www.drupal.org/sa-core-2021-009

Drupal

Drupal core – Moderately critical – Access Bypass – SA-CORE-2021-010
https://www.drupal.org/sa-core-2021-010

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2021-09-24」
https://www.jpcert.or.jp/wr/2021/wr213701.html