カテゴリー: セキュリティ情報

「お知らせ」に掲載するセキュリティ情報です（アプリケーションの脆弱性など）。

Adobe Flash Player の脆弱性 (APSB20-30) に関する注意喚起

　JPCERT/CCからの「Adobe Flash Player の脆弱性 (APSB20-30) に関する注意喚起」をお知らせします。
各位
JPCERT-AT-2020-0025
JPCERT/CC
2020-06-10
<<< JPCERT/CC Alert 2020-06-10 >>>
Adobe Flash Player の脆弱性 (APSB20-30) に関する注意喚起
view-source:https://www.jpcert.or.jp/at/2020/at200025.html

I.概要

アドビから Adobe Flash Player に関する脆弱性の情報 (APSB20-30) が公開されました。脆弱性を悪用したコンテンツをユーザが開いた場合、第三者によって、実行中のユーザ権限で任意のコードが実行される恐れがあります。脆弱性の詳細については、アドビの情報を確認してください。

アドビシステムズ株式会社
Security Bulletin for Adobe Flash Player | APSB20-30
https://helpx.adobe.com/security/products/flash-player/apsb20-30.html

II.対象

対象となる製品とバージョンは次のとおりです。

– Adobe Flash Player Desktop Runtime (32.0.0.371) およびそれ以前 (Windows, macOS および Linux)
– Adobe Flash Player for Google Chrome (32.0.0.371) およびそれ以前 (Windows, macOS, Linux および Chrome OS)
– Adobe Flash Player for Microsoft Edge and Internet Explorer 11 (32.0.0.330) およびそれ以前 (Windows 10 および Windows 8.1)

お使いの Adobe Flash Player のバージョンは、次のページで確認できます。

Flash Player ヘルプ
https://helpx.adobe.com/jp/flash-player.html

III.対策

Adobe Flash Player を次の最新のバージョンに更新してください。

– Adobe Flash Player Desktop Runtime (32.0.0.387) (Windows, macOS および Linux)
– Adobe Flash Player for Google Chrome (32.0.0.387) (Windows, macOS, Linux および Chrome OS)
– Adobe Flash Player for Microsoft Edge and Internet Explorer 11 (32.0.0.387) (Windows 10 および Windows 8.1)

Adobe Flash Player ダウンロード
https://get.adobe.com/jp/flashplayer/

ブラウザに同梱されているなど、アドビ以外の配布元より提供される場合には、配布元からの情報に注意してください。なお、次の製品については、アドビ以外の配布元より Adobe Flash Player のアップデートが提供されます。

– Microsoft Windows 10
– Microsoft Windows 8.1
– Google Chrome

マイクロソフト社からは、Windows Update などで最新の Adobe Flash Playerが更新プログラムとして提供されます。

ADV200010 | 2020 年 6 月の Adobe Flash のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV200010

なお、ブラウザ以外にも Microsoft Office のように、Adobe Flash Player を使用するソフトウエアがあります。ブラウザにて Adobe Flash Player を使用していない場合などでも、アップデートを行ってください。Adobe Flash Player を次の最新のバージョンに更新してください。

– Adobe Flash Player Desktop Runtime (32.0.0.387) (Windows, macOS および Linux)
– Adobe Flash Player for Google Chrome (32.0.0.387) (Windows, macOS, Linux および Chrome OS)
– Adobe Flash Player for Microsoft Edge and Internet Explorer 11 (32.0.0.387) (Windows 10 および Windows 8.1)

Adobe Flash Player ダウンロード
https://get.adobe.com/jp/flashplayer/

ブラウザに同梱されているなど、アドビ以外の配布元より提供される場合には、配布元からの情報に注意してください。なお、次の製品については、アドビ以外の配布元より Adobe Flash Player のアップデートが提供されます。

– Microsoft Windows 10
– Microsoft Windows 8.1
– Google Chrome

マイクロソフト社からは、Windows Update などで最新の Adobe Flash Playerが更新プログラムとして提供されます。

ADV200010 | 2020 年 6 月の Adobe Flash のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV200010

なお、ブラウザ以外にも Microsoft Office のように、Adobe Flash Player を使用するソフトウエアがあります。ブラウザにて Adobe Flash Player を使用していない場合などでも、アップデートを行ってください。

IV. 回避策

アップデートを適用するまでの間は、脆弱性の影響を軽減するため、次に記載する回避策を参考に、Flash を無効にしたり、Flash を使用したコンテンツの表示を制限したりすることも検討してください。なお、回避策を適用することで、一部アプリケーションが動作しなくなるなどの不具合が発生する可能性があります。回避策の適用については、十分に影響範囲を考慮の上、行ってください。

– 信頼できない Flash コンテンツを表示しない
ブラウザ上で Flash を無効に設定してください。または、Click-to-Play 機能を有効にしてください。Microsoft Office では保護モードを有効とすることで影響を回避することができます。

V. 参考情報

アドビシステムズ株式会社
Security Bulletin for Adobe Flash Player | APSB20-30
https://helpx.adobe.com/security/products/flash-player/apsb20-30.html

アドビシステムズ株式会社
Security Bulletins Posted
https://blogs.adobe.com/psirt/?p=1882

マイクロソフト株式会社
Microsoft Edge における Flash Player の有効・無効
https://answers.microsoft.com/ja-JP/windows/wiki/apps_windows_10-msedge/microsoft-edge/248bf728-44f4-4b4a-ae50-8b66ee7a96ca

マイクロソフト株式会社
ADV200010 | 2020 年 6 月の Adobe Flash のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV200010

 

 

今回の件につきまして当方まで提供いただける情報がございましたら、ご連絡ください。

一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC)
早期警戒グループ
TEL:03-6811-0610　Email:
https://www.jpcert.or.jp/

Sales Force Assistant にクロスサイトスクリプティングの脆弱性

最終更新日: 2020/05/25

情報源

Japan Vulnerability Notes JVN#47668991
Sales Force Assistant におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN47668991/

概要

株式会社NIコンサルティングが提供する Sales Force Assistant には、クロ
スサイトスクリプティングの脆弱性があります。結果として、遠隔の第三者が
ユーザのブラウザ上で任意のコードを実行する可能性があります。

対象となるバージョンは次のとおりです。

– Sales Force Assistant 11.2.48 およびそれ以前のバージョン

この問題は、Sales Force Assistant を株式会社NIコンサルティングが提供す
る修正済みのバージョンに更新することで解決します。詳細は、株式会社NIコン
サルティングが提供する情報を参照してください。

関連文書 (日本語)

株式会社NIコンサルティング
【ご報告】Sales Force Assistantアシスタント機能の脆弱性について
http://ni-consul.jp/support/info/2020/20200424_ge.html

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-05-13」
https://www.jpcert.or.jp/wr/2020/wr201801.html

サイボウズ Garoon に複数の脆弱性

最終更新日: 2020/05/25

情報源

Japan Vulnerability Notes JVN#35649781
サイボウズ Garoon における複数の脆弱性
https://jvn.jp/jp/JVN35649781/

概要

サイボウズ Garoon には、複数の脆弱性があります。結果として、遠隔の第三
者が、ユーザのブラウザ上で任意のスクリプトを実行したり、情報を窃取した
りするなどの可能性があります。

対象となるバージョンは次のとおりです。

– サイボウズ Garoon 4.6.0 から 5.0.0 までのバージョン (CVE-2020-5568)
– サイボウズ Garoon 4.0.0 から 4.10.3 までのバージョン
(CVE-2020-5563, CVE-2020-5564, CVE-2020-5565, CVE-2020-5566, CVE-2020-5567)

この問題は、サイボウズ Garoon をサイボウズ株式会社が提供する修正済みの
バージョンに更新することで解決します。詳細は、サイボウズ株式会社が提供
する情報を参照してください。

関連文書 (日本語)

サイボウズ株式会社
パッケージ版 Garoon 脆弱性に関するお知らせ
https://cs.cybozu.co.jp/2020/006874.html

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-05-13」
https://www.jpcert.or.jp/wr/2020/wr201801.html

VLC media player に複数の脆弱性

最終更新日: 2020/05/25

情報源

Video LAN
Security Bulletin VLC 3.0.9
https://www.videolan.org/security/sb-vlc309.html

概要

Video LAN が提供する VLC media player には、複数の脆弱性があります。結
果として、遠隔の第三者が任意のコードを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

– VLC media player 3.0.0 から 3.0.8 までのバージョン

この問題は、VLC media player を Video LAN が提供する修正済みのバージョン
に更新することで解決します。詳細は、Video LAN が提供する情報を参照して
ください。

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-05-13」
https://www.jpcert.or.jp/wr/2020/wr201801.html

Gitlab に複数の脆弱性

最終更新日: 2020/05/25

情報源

GitLab
GitLab Security Release: 12.10.2, 12.9.5, 12.8.10
https://about.gitlab.com/releases/2020/04/30/security-release-12-10-2-released/

概要

GitLab には、複数の脆弱性があります。結果として、第三者がサービス運用
妨害 (DoS) 攻撃をするなどの可能性があります。

対象となるバージョンは次のとおりです。

– GitLab Community および Enterprise Edition 12.10.2 より前の 12.10 系バージョン
– GitLab Community および Enterprise Edition 12.9.5 より前の 12.9 系バージョン
– GitLab Community および Enterprise Edition 12.8.10 より前の 12.8 系バージョン

なお、上記に記載されていないバージョンも影響を受けるとのことです。詳細
は GitLab が提供する情報を参照してください。

この問題は、該当する製品を GitLab が提供する修正済みのバージョンに更新
することで解決します。詳細は、GitLab が提供する情報を参照してください。

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-05-13」
https://www.jpcert.or.jp/wr/2020/wr201801.html

Google Chrome に複数の脆弱性

最終更新日: 2020/05/25

情報源

US-CERT Current Activity
Google Releases Security Updates for Chrome
https://www.us-cert.gov/ncas/current-activity/2020/04/28/google-releases-security-updates-chrome

US-CERT Current Activity
Google Releases Security Updates for Chrome
https://www.us-cert.gov/ncas/current-activity/2020/05/06/google-releases-security-updates-chrome

概要

Google Chrome には、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

– Google Chrome 81.0.4044.138 より前のバージョン

この問題は、Google Chrome を Google が提供する修正済みのバージョンに更
新することで解決します。詳細は、Google が提供する情報を参照してくださ
い。

関連文書（英語）

Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2020/04/stable-channel-update-for-desktop_27.html

Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2020/05/stable-channel-update-for-desktop.html

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-05-13」
https://www.jpcert.or.jp/wr/2020/wr201801.html

複数の Mozilla 製品に脆弱性

最終更新日: 2020/05/25

情報源

US-CERT Current Activity
Mozilla Releases Security Updates for Firefox and Firefox ESR
https://www.us-cert.gov/ncas/current-activity/2020/05/06/mozilla-releases-security-updates-firefox-and-firefox-esr

概要

複数の Mozilla 製品には、脆弱性があります。 結果として、遠隔の第三者が
任意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

– Mozilla Firefox 76 より前のバージョン
– Mozilla Firefox ESR 68.8 より前のバージョン
– Mozilla Thunderbird 68.8 より前のバージョン

この問題は、該当する製品を Mozilla が提供する修正済みのバージョンに更
新することで解決します。詳細は、Mozilla が提供する情報を参照してくださ
い。

関連文書（英語）

Mozilla
Security Vulnerabilities fixed in Firefox 76
https://www.mozilla.org/en-US/security/advisories/mfsa2020-16/

Mozilla
Security Vulnerabilities fixed in Firefox ESR 68.8
https://www.mozilla.org/en-US/security/advisories/mfsa2020-17/

Mozilla
Security Vulnerabilities fixed in Thunderbird 68.8.0
https://www.mozilla.org/en-US/security/advisories/mfsa2020-18/

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-05-13」
https://www.jpcert.or.jp/wr/2020/wr201801.html

複数の Adobe 製品に脆弱性

最終更新日: 2020/05/25

情報源

US-CERT Current Activity
Adobe Releases Security Updates for Multiple Products
https://www.us-cert.gov/ncas/current-activity/2020/04/29/adobe-releases-security-updates-multiple-products

概要

複数の Adobe 製品には、脆弱性があります。結果として、遠隔の第三者が任
意のコードを実行するなどの可能性があります。

対象となる製品およびバージョンは次のとおりです。

– Adobe Bridge 10.0.1 およびそれ以前のバージョン (Windows)
– Adobe Illustrator 2020 24.0.2 およびそれ以前のバージョン (Windows)
– Magento Commerce 2.3.4 およびそれ以前のバージョン
– Magento オープンソース 2.3.4 およびそれ以前のバージョン
– Magento Enterprise Edition 1.14.4.4 およびそれ以前のバージョン
– Magento Community Edition 1.9.4.4 およびそれ以前のバージョン

なお、既にサポートが終了している Magento Commerce および Magento オー
プンソース 2.2 系バージョンも影響を受けるとのことです。

この問題は、該当する製品を Adobe が提供する修正済みのバージョンに更新
することで解決します。詳細は、Adobe が提供する情報を参照してください。

関連文書（英語）

Adobe
Adobe Bridge に関するセキュリティアップデート公開 | APSB20-19
https://helpx.adobe.com/jp/security/products/bridge/apsb20-19.html

Adobe
Adobe Illustrator に関するセキュリティアップデート公開 | APSB20-20
https://helpx.adobe.com/jp/security/products/illustrator/apsb20-20.html

Adobe
Magento に関するセキュリティアップデート公開 | APSB20-22
https://helpx.adobe.com/jp/security/products/magento/apsb20-22.html

JPCERT/CC
複数の Adobe 製品のアップデートについて
https://www.jpcert.or.jp/newsflash/2020043001.html

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-05-13」
https://www.jpcert.or.jp/wr/2020/wr201801.html

Samba に複数の脆弱性

最終更新日: 2020/05/25

情報源

US-CERT Current Activity
Samba Releases Security Updates
https://www.us-cert.gov/ncas/current-activity/2020/04/28/samba-releases-security-updates

概要

Samba には、複数の脆弱性があります。結果として、遠隔の第三者がサービス
運用妨害 (DoS) 攻撃を行うなどの可能性があります。

対象となるバージョンは次のとおりです。

– Samba 4.12.2 より前の 4.12 系バージョン
– Samba 4.11.8 より前の 4.11 系バージョン
– Samba 4.10.15 より前の 4.10 系バージョン

なお、既にサポートが終了している Samba 4.00 系およびそれ以前のバージョン
も影響を受けるとのことです。

この問題は、Samba を The Samba Team が提供する修正済みのバージョンに更
新することで解決します。詳細は、The Samba Team が提供する情報を参照し
てください。

関連文書（英語）

The Samba Team
Use-after-free in Samba AD DC LDAP Server with ASQ
https://www.samba.org/samba/security/CVE-2020-10700.html

The Samba Team
LDAP Denial of Service (stack overflow) in Samba AD DC
https://www.samba.org/samba/security/CVE-2020-10704.html

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-05-13」
https://www.jpcert.or.jp/wr/2020/wr201801.html

WordPress に複数の脆弱性

最終更新日: 2020/05/25

情報源

US-CERT Current Activity
WordPress Releases Security Update
https://www.us-cert.gov/ncas/current-activity/2020/04/30/wordpress-releases-security-update

概要

WordPress には、複数の脆弱性があります。結果として、遠隔の第三者がユー
ザのブラウザ上で任意のスクリプトを実行するなどの可能性があります。

対象となるバージョンは次のとおりです。

– WordPress 5.4.1 より前のバージョン

この問題は、WordPress を WordPress が提供する修正済みのバージョンに更
新することで解決します。詳細は、WordPress が提供する情報を参照してくだ
さい。

関連文書（英語）

WordPress
WordPress 5.4.1

WordPress 5.4.1

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2020-05-13」
https://www.jpcert.or.jp/wr/2020/wr201801.html