カテゴリー: セキュリティ情報

「お知らせ」に掲載するセキュリティ情報です（アプリケーションの脆弱性など）。

複数の VMware 製品にコマンドインジェクションの脆弱性

最終更新日: 2020/12/02

情報源

CISA Current Activity
VMware Releases Workarounds for CVE-2020-4006
https://us-cert.cisa.gov/ncas/current-activity/2020/11/23/vmware-releases-workarounds-cve-2020-4006

概要

複数の VMware 製品には、コマンドインジェクションの脆弱性があります。結果として、遠隔の第三者が任意のコマンドを実行する可能性があります。
対象となる製品は次のとおりです。

– VMware Workspace One Access (Access)
– VMware Workspace One Access Connector (Access Connector)
– VMware Identity Manager (vIDM)
– VMware Identity Manager Connector (vIDM Connector)
– VMware Cloud Foundation
– vRealize Suite Lifecycle Manager

2020年12月2日時点で、修正済みのバージョンは提供されていません。VMwareがこの問題に対する回避策に関する情報を提供しています。詳細は、VMwareの提供する情報を確認してください。

関連文書 (日本語)

JVN
複数の VMware 製品に OS コマンドインジェクションの脆弱性
https://jvn.jp/vu/JVNVU97472624/

関連文書（英語）

VMware Security Advisories

VMSA-2020-0027.1
https://www.vmware.com/security/advisories/VMSA-2020-0027.html

CERT/CC

VMware Workspace ONE Access and related components are vulnerable to command injection
https://kb.cert.org/vuls/id/724367

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-12-02」
https://www.jpcert.or.jp/wr/2020/wr204701.html

 

セイコーエプソン製の複数製品のインストーラに DLL 読み込みの脆弱性

最終更新日: 2020/11/27

情報源

Japan Vulnerability Notes JVN#26835001
セイコーエプソン製の複数製品のインストーラにおける DLL 読み込みに関する脆弱性
https://jvn.jp/jp/JVN26835001/

概要

セイコーエプソン製の複数製品のインストーラには、DLL 読み込みの脆弱性があります。結果として、第三者がインストーラを実行している権限で、任意のコードを実行する可能性があります。
対象となる製品は複数存在します。詳細は、開発者が提供する情報をご確認く
ださい。
この問題は、開発者が提供する最新のインストーラでは、解決しています。なお、既に該当製品をインストールしている場合には、この問題の影響はありません。詳細は、開発者が提供する情報を参照してください。

関連文書（日本語）

セイコーエプソン株式会社

エプソン製ソフトウェアのDLL読み込みに関する脆弱性について
https://www.epson.jp/support/misc_t/201119_oshirase.htm

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-11-26」
https://www.jpcert.or.jp/wr/2020/wr204601.html

 

MELSEC iQ-R シリーズにリソース枯渇の脆弱性

最終更新日: 2020/11/27

情報源

Japan Vulnerability Notes JVNVU#95980140
三菱電機製 MELSEC iQ-R シリーズにおけるリソース枯渇の脆弱性
https://jvn.jp/vu/JVNVU95980140/

概要

MELSEC iQ-R シリーズには、リソース枯渇の脆弱性があります。結果として、遠隔の第三者が、細工した SLMP パケットを送信することで、サービス運用妨害 (DoS) 攻撃を行う可能性があります。
対象となる製品およびバージョンは次のとおりです。

– R00/01/02CPU ファームウェアバージョン “19” およびそれ以前
– R04/08/16/32/120 (EN) CPU ファームウェアバージョン “51” およびそれ以前
– R08/16/32/120SFCPU ファームウェアバージョン “22” およびそれ以前
– R08/16/32/120PCPU すべてのバージョン
– R08/16/32/120PSFCPU すべてのバージョン
– RJ71EN71 ファームウェアバージョン “47” およびそれ以前
– RJ71GF11-T2 ファームウェアバージョン “47” およびそれ以前
– RJ72GF15-T2 ファームウェアバージョン “07” およびそれ以前
– RJ71GP21-SX ファームウェアバージョン “47” およびそれ以前
– RJ71GP21S-SX ファームウェアバージョン “47” およびそれ以前
– RJ71C24 (-R2/R4) すべてのバージョン
– RJ71GN11-T2 すべてのバージョン

この問題は、該当する製品を三菱電機株式会社が提供する修正済みのバージョンに更新することで解決します。なお、対策バージョンがリリースされていない場合や、アップデートが適用できない場合には、次の回避策を適用することで脆弱性の影響を軽減することが可能です。
– 当該製品をインターネットに接続する場合には、ファイアウォールや仮想プライベートネットワーク (VPN) などを使用する

– 当該製品を LAN 内での使用に限定し、信頼できないネットワークやホストからのアクセスを制限する

詳細は、三菱電機株式会社が提供する情報を参照してください。

関連文書（日本語）

三菱電機株式会社

MELSEC iQ-RシリーズのEthernetポートにおけるサービス拒否(DoS)の脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2020-016.pdf

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-11-26」
https://www.jpcert.or.jp/wr/2020/wr204601.html

 

Movable Type Premium にクロスサイトスクリプティングの脆弱性

最終更新日: 2020/11/27

情報源

Japan Vulnerability Notes JVN#94245475
Movable Type Premium におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN94245475/

概要

Movable Type Premium には、クロスサイトスクリプティングの脆弱性があります。結果として、遠隔の第三者が、当該製品にログインした状態のユーザのウェブブラウザ上で、任意のスクリプトを実行する可能性があります。
対象となる製品およびバージョンは次のとおりです。

– Movable Type Premium 1.37 およびそれ以前
– Movable Type Premium Advanced 1.37 およびそれ以前

この問題は、Movable Type Premium をシックス・アパート株式会社が提供する修正済みのバージョンに更新することで解決します。詳細は、シックス・アパート株式会社が提供する情報を参照してください。

関連文書（日本語）

シックス・アパート株式会社

[重要] Movable Type Premium 1.38 / Movable Type Premium (Advanced Edition) 1.38 の提供を開始（セキュリティアップデート）
https://www.sixapart.jp/movabletype/news/2020/11/18-1101.html

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-11-26」
https://www.jpcert.or.jp/wr/2020/wr204601.html

 

ウイルスバスター クラウドに任意のファイルが削除可能な脆弱性

最終更新日: 2020/11/27

情報源

Japan Vulnerability Notes JVNVU#96249940
トレンドマイクロ株式会社製ウイルスバスター クラウドにおける任意のファイルが削除可能な脆弱性
https://jvn.jp/vu/JVNVU96249940/

概要

ウイルスバスター クラウドには、「データ消去ツール」の処理に脆弱性があります。結果として、当該製品にアクセス可能な第三者が任意のファイルやフォルダを消去する可能性があります。
対象となるバージョンは次のとおりです。

– ウイルスバスター クラウド バージョン 16.0

この問題は、ウイルスバスター クラウドをトレンドマイクロ株式会社が提供する修正済みのバージョンに更新することで解決します。詳細は、トレンドマイクロ株式会社が提供する情報を参照してください。

関連文書（日本語）

トレンドマイクロ株式会社

アラート/アドバイザリ：ウイルスバスター クラウドの脆弱性について(CVE-2020-25775)
https://helpcenter.trendmicro.com/ja-jp/article/TMKA-09911

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-11-26」
https://www.jpcert.or.jp/wr/2020/wr204601.html

 

複数の VMware 製品に脆弱性

最終更新日: 2020/11/27

情報源

CISA Current Activity
VMware Releases Security Updates for VMware SD-WAN Orchestrator
https://us-cert.cisa.gov/ncas/current-activity/2020/11/19/vmware-releases-security-updates-vmware-sd-wan-orchestrator

概要

複数の VMware 製品には、脆弱性があります。結果として、第三者が、任意のコードを実行したり、権限を昇格したりするなどの可能性があります。
対象となる製品は次のとおりです。

– VMware SD-WAN Orchestrator
– VMware ESXi
– VMware Workstation Pro / Player
– VMware Fusion Pro / Fusion
– VMware Cloud Foundation

この問題は、該当する製品を VMware が提供する修正済みのバージョンに更新するか、パッチを適用することで解決します。詳細は、VMware が提供する情報を参照してください。

関連文書（英語）

VMware Security Advisories

VMSA-2020-0025
https://www.vmware.com/security/advisories/VMSA-2020-0025.html

VMware Security Advisories

VMSA-2020-0026.1
https://www.vmware.com/security/advisories/VMSA-2020-0026.html

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-11-26」
https://www.jpcert.or.jp/wr/2020/wr204601.html

 

複数の Mozilla 製品に脆弱性

最終更新日: 2020/11/27

情報源

CISA Current Activity
Mozilla Releases Security Updates for Firefox, Firefox ESR, and Thunderbird
https://us-cert.cisa.gov/ncas/current-activity/2020/11/19/mozilla-releases-security-updates-firefox-firefox-esr-and

概要

複数の Mozilla 製品には、脆弱性があります。結果として、第三者が、セキュリティ機能をバイパスしたり、サービス運用妨害 (DoS) 攻撃を行ったりするなどの可能性があります。
対象となる製品およびバージョンは次のとおりです。

– Mozilla Firefox 83 より前のバージョン
– Mozilla Firefox ESR 78.5 より前のバージョン
– Mozilla Thunderbird 78.5 より前のバージョン

この問題は、該当する製品を Mozilla が提供する修正済みのバージョンに更新することで解決します。詳細は、Mozilla が提供する情報を参照してください。

関連文書（英語）

Mozilla

Security Vulnerabilities fixed in Firefox 83
https://www.mozilla.org/en-US/security/advisories/mfsa2020-50/

Mozilla

Security Vulnerabilities fixed in Firefox ESR 78.5
https://www.mozilla.org/en-US/security/advisories/mfsa2020-51/

Mozilla

Security Vulnerabilities fixed in Thunderbird 78.5
https://www.mozilla.org/en-US/security/advisories/mfsa2020-52/

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-11-26」
https://www.jpcert.or.jp/wr/2020/wr204601.html

 

Google Chrome に複数の脆弱性

最終更新日: 2020/11/27

情報源

CISA Current Activity
Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2020/11/19/google-releases-security-updates-chrome

概要

Google Chrome には、複数の脆弱性があります。
対象となるバージョンは次のとおりです。

– Google Chrome 87.0.4280.66 より前のバージョン (Windows版、Linux版)
– Google Chrome 87.0.4280.67 より前のバージョン (Mac版）

この問題は、Google Chrome を Google が提供する修正済みのバージョンに更新することで解決します。詳細は、Google が提供する情報を参照してください。

関連文書（英語）

Google

Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2020/11/stable-channel-update-for-desktop_17.html

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-11-26」
https://www.jpcert.or.jp/wr/2020/wr204601.html

 

複数の Cisco 製品に脆弱性

最終更新日: 2020/11/27

情報源

CISA Current Activity
Cisco Releases Security Updates for Security Manager
https://us-cert.cisa.gov/ncas/current-activity/2020/11/17/cisco-releases-security-updates-security-manager

CISA Current Activity

Cisco Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2020/11/19/cisco-releases-security-updates-multiple-products

概要

複数の Cisco 製品には、脆弱性があります。結果として、遠隔の第三者が任意のコードを実行するなどの可能性があります。
影響度 Critical および High の脆弱性情報に記載されている製品は次のとおりです。

– Cisco Security Manager

– Cisco Integrated Management Controller (IMC) が稼働する次の製品
– 5000 Series Enterprise Network Compute System (ENCS) Platforms
– UCS C-Series Rack Servers in standalone mode
– UCS E-Series Servers
– UCS S-Series Servers in standalone mode

– Cisco DNA Spaces Connector software
– Cisco IoT Field Network Director (FND)
– Cisco AsyncOS for the Secure Web Appliance

※製品によって、影響を受ける条件が異なります。また、上記製品以外にも、影響度 Medium の複数の脆弱性情報が公開されています。詳細は、Cisco が提供する情報を参照してください。
この問題は、該当する製品を Cisco が提供する修正済みのバージョンに更新することで解決します。詳細は、Cisco が提供する情報を参照してください。

関連文書 (日本語)

JPCERT/CC 注意喚起
Cisco Security Manager の複数の脆弱性に関する注意喚起
https://www.jpcert.or.jp/at/2020/at200043.html

関連文書（英語）

Cisco

Cisco Security Manager Path Traversal Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-path-trav-NgeRnqgR

Cisco

Cisco Security Manager Static Credential Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-rce-8gjUz9fW

Cisco

Cisco Security Manager Java Deserialization Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-java-rce-mWJEedcD

Cisco

Cisco Integrated Management Controller Multiple Remote Code Execution Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ucs-api-rce-UXwpeDHd

Cisco

Cisco DNA Spaces Connector Command Injection Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-dna-cmd-injection-rrAYzOwc

Cisco

Cisco IoT Field Network Director Unauthenticated REST API Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-FND-BCK-GHkPNZ5F

Cisco

Cisco Secure Web Appliance Privilege Escalation Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-wsa-prv-esc-nPzWZrQj

Cisco

Cisco IoT Field Network Director SOAP API Authorization Bypass Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-FND-AUTH-vEypBmmR

Cisco

Cisco IoT Field Network Director Missing API Authentication Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-FND-APIA-xZntFS2V

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-11-26」
https://www.jpcert.or.jp/wr/2020/wr204601.html

 

Cisco Security Manager の複数の脆弱性に関する注意喚起

　JPCERT/CCからの「Cisco Security Manager の複数の脆弱性に関する注意喚起」をお知らせします。
各位
JPCERT-AT-2020-0043
JPCERT/CC
2020-11-18
<<< JPCERT/CC Alert 2020-11-18 >>>
Cisco Security Manager の複数の脆弱性に関する注意喚起
https://www.jpcert.or.jp/at/2020/at200043.html

I.概要

2020年11月16日 (現地時間)、Cisco は Cisco Security Manager の複数の脆弱性 (CVE-2020-27125、CVE-2020-27130、CVE-2020-27131) に関する情報を公開しました。本脆弱性が悪用された場合、遠隔の第三者が当該製品上から任意のファイルをダウンロードしたり、任意の Java コードを管理者権限で実行したりする可能性があります。

Cisco

Cisco Security Manager Static Credential Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-rce-8gjUz9fW
※CVE-2020-27125 のアドバイザリ

Cisco

Cisco Security Manager Path Traversal Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-path-trav-NgeRnqgR
※CVE-2020-27130 のアドバイザリ

Cisco

Cisco Security Manager Java Deserialization Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-java-rce-mWJEedcD
※CVE-2020-27131 のアドバイザリ

JPCERT/CC では、本脆弱性を実証するコードが公開されていることを確認しています。本脆弱性を悪用した攻撃に関する情報は確認できていませんが、今後脆弱性を悪用する攻撃が行われる可能性があるため、対象となる製品を利用している場合には、アップデートの適用等を検討してください。詳細についてはCisco が提供する情報を参照してください。

II.対象

本脆弱性の影響を受けるバージョンは次のとおりです。

CVE-2020-27125、CVE-2020-27130

– Cisco Security Manager リリース 4.21 を含む前のバージョン
CVE-2020-27131
– Cisco Security Manager リリース 4.22 を含む前のバージョン

III.対策

Cisco より、本脆弱性を修正したバージョンが公開されています。十分なテストを実施の上、修正済みバージョンへ適用をご検討ください。なお、CVE-2020-27131に対する修正バージョンは、2020年11月18日時点で公開されていません。

IV. 参考情報

Cisco
Cisco Security Manager Static Credential Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-rce-8gjUz9fW
※CVE-2020-27125 のアドバイザリ

Cisco

Cisco Security Manager Path Traversal Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-path-trav-NgeRnqgR
※CVE-2020-27130 のアドバイザリ

Cisco

Cisco Security Manager Java Deserialization Vulnerabilities
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-csm-java-rce-mWJEedcD
※CVE-2020-27131 のアドバイザリ

Tenable

CVE-2020-27125, CVE-2020-27130, CVE-2020-27131: Pre-Authentication Vulnerabilities in Cisco Security Manager Disclosed
https://jp.tenable.com/blog/cve-2020-27125-cve-2020-27130-cve-2020-27131-vulnerabilities-in-cisco-security-manager

 

今回の件につきまして当方まで提供いただける情報がございましたら、ご連絡ください。

一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC)
早期警戒グループ
Email:
https://www.jpcert.or.jp/