カテゴリー: セキュリティ情報

「お知らせ」に掲載するセキュリティ情報です（アプリケーションの脆弱性など）。

複数のVMware製品に脆弱性

最終更新日: 2022/12/14

情報源

VMware
VMSA-2022-0030
https://www.vmware.com/security/advisories/VMSA-2022-0030.html

概要

複数のVMware製品には、脆弱性があります。このうち、メモリ破壊の脆弱性が悪用されると、ESXiにローカル環境からアクセスできる攻撃者が、ESXiサンドボックスから脱出するなどの可能性があります。
対象となる製品は次のとおりです。対象となるバージョンは多岐にわたります。詳細はVMwareが提供するアドバイザリ情報を参照してください。

– VMware ESXi
– VMware vCenter Server (vCenter Server)
– VMware Cloud Foundation (Cloud Foundation)

この問題は、該当する製品をVMwareが提供する修正済みのバージョンに更新するか、回避策を適用することで解決します。詳細は、VMwareが提供する情報を参照してください。

引用元：JPCERT/CC
「JPCERT/CC WEEKLY REPORT 2022-12-14」
https://www.jpcert.or.jp/wr/2022/wr224901.html

 

Cisco IP Phone に複数の脆弱性

最終更新日: 2022/12/14

情報源

CISA Current Activity
Cisco Releases Security Advisory for IP Phone 7800 and 8800 Series
https://www.cisa.gov/uscert/ncas/current-activity/2022/12/09/cisco-releases-security-advisory-ip-phone-7800-and-8800-series

概要

Cisco IP Phone には脆弱性があります。結果として、隣接するネットワーク上の第三者が任意のコードを実行したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があります。
対象となる製品およびバージョンは次のとおりです。

– Cisco IP Phone 7800 シリーズ ファームウェアバージョン14.2およびそれ以前
– Cisco IP Phone 8800 シリーズ ファームウェアバージョン14.2およびそれ以前（Wireless IP Phone 8821を除く）

この問題に関し、Ciscoは修正済みのバージョンの提供を予定しており、2022年12月14日時点では一定の条件を満たす環境にて実施可能となる緩和策を提供しています。詳細は、Ciscoが提供する情報を参照してください。

関連文書（英語）

Cisco Security Advisory

Cisco IP Phone 7800 and 8800 Series Cisco Discovery Protocol Stack Overflow Vulnerability
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ipp-oobwrite-8cMF5r7U

 

引用元：JPCERT/CC
「JPCERT/CC WEEKLY REPORT 2022-12-14」
https://www.jpcert.or.jp/wr/2022/wr224901.html

 

学術関係者・シンクタンク研究員等を標的としたサイバー攻撃について（注意喚起）(NISC・警察庁)

最終更新日: 2022/12/07

2022年11月30日、内閣サイバーセキュリティセンター（NISC）と警察庁は「学術関係者・シンクタンク研究員等を標的としたサイバー攻撃について（注意喚起）」を公開しました。本注意喚起では実在する組織の社員・職員をかたり、イベントの講師、講演、取材等の依頼メールや資料・原稿等の紹介メールを装った攻撃事例を取り上げています。

参考文献 (日本語)

内閣サイバーセキュリティセンター
学術関係者・シンクタンク研究員等を標的としたサイバー攻撃について（注意喚起）
https://www.nisc.go.jp/pdf/press/20221130NISC_press.pdf

内閣サイバーセキュリティセンター

標的型サイバー攻撃、不審メールにご注意ください！
https://www.nisc.go.jp/pdf/press/20221130NISC_gaiyou.pdf

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2022-12-07」
https://www.jpcert.or.jp/wr/2022/wr224801.html

 

Google Chromeに複数の脆弱性

最終更新日: 2022/12/07

情報源

Google
Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/12/stable-channel-update-for-desktop.html

Google

Stable Channel Update for Desktop
https://chromereleases.googleblog.com/2022/11/stable-channel-update-for-desktop_29.html

概要

Google Chromeには、複数の脆弱性があります。
対象となるバージョンは次のとおりです。

– Google Chrome 108.0.5359.94/95（Windows版）より前のバージョン
– Google Chrome 108.0.5359.94（Mac版、Linux版）より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新することで解決します。詳細は、Googleが提供する情報を参照してください。

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC WEEKLY REPORT 2022-12-07」
https://www.jpcert.or.jp/wr/2022/wr224801.html

 

RICOH IPSiO SP 4210にクロスサイトスクリプティングの脆弱性

最終更新日: 2022/11/24

情報源

Japan Vulnerability Notes JVN#24659622
RICOH IPSiO SP 4210 におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN24659622/

概要

株式会社リコーが提供するIPSiO SP 4210には、Web Image Monitorにクロスサイトスクリプティングの脆弱性があります。結果として、管理者権限でログインしているユーザのウェブブラウザ上で、任意のスクリプトを実行される可能性があります。
対象となるバージョンは次のとおりです。

– IPSiO SP 4210 Web Support 1.05より前のファームウェアバージョン

この問題は、該当する製品のファームウェアを最新版へアップデートすることで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書（日本語）

株式会社リコー

IPSiO SP 4210用 RICOH Firmware Update Tool Ver.1.01
https://support.ricoh.com/bbv2/html/dr_ut_d/ipsio/history/w/bb/pub_j/dr_ut_d/4101044/4101044791/V101/5236968/redirect_CLUTool_DOM/history.htm

 

引用元：JPCERT/CC
「JPCERT/CC WEEKLY REPORT 2022-11-24」
https://www.jpcert.or.jp/wr/

 

Cisco Identity Services Engineに複数の脆弱性

最終更新日: 2022/11/24

情報源

CISA Current Activity
Cisco Releases Security Updates for Identity Services Engine
https://www.cisa.gov/uscert/ncas/current-activity/2022/11/16/cisco-releases-security-updates-identity-services-engine

概要

Cisco Identity Services Engineには、複数の脆弱性があります。結果として、遠隔の攻撃者がアクセス許可されていないシステムファイルへアクセスするなどの可能性があります。
対象となる製品およびバージョンは次のとおりです。

– Cisco Identity Services Engine 2.4系およびそれ以前のバージョン
– Cisco Identity Services Engine 2.6系のバージョン
– Cisco Identity Services Engine 2.7系のバージョン
– Cisco Identity Services Engine 3.0系のバージョン
– Cisco Identity Services Engine 3.1系のバージョン
– Cisco Identity Services Engine 3.2系のバージョン

2022年11月24日時点で、CVE-2022-20956およびCVE-2022-20959を修正するアップデートが公開されていないバージョンもあります。Ciscoが公開している緩和策を適用の上、アップデート公開後には速やかに適用することを推奨します。
詳細は、Ciscoが提供する情報を参照してください。

関連文書（英語）

Cisco

Cisco Security Advisories
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-access-contol-EeufSUCx

Cisco

Cisco Security Advisories
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-xss-twLnpy3M

 

引用元：JPCERT/CC
「JPCERT/CC WEEKLY REPORT 2022-11-24」
https://www.jpcert.or.jp/wr/

 

Sambaにバッファオーバーフローの脆弱性

最終更新日: 2022/11/24

情報源

CISA Current Activity
Samba Releases Security Updates
https://www.cisa.gov/uscert/ncas/current-activity/2022/11/16/samba-releases-security-updates

概要

Sambaには、バッファオーバーフローの脆弱性があります。結果として、遠隔の攻撃者が偽造されたPACを使用してヒープを破損する可能性があります。
対象となるバージョンは次のとおりです。

– Samba 4.17.3より前のバージョン
– Samba 4.16.7より前のバージョン
– Samba 4.15.12より前のバージョン

この問題は、SambaをThe Samba Teamが提供する修正済みのバージョンに更新することで解決します。詳細は、The Samba Teamが提供する情報を参照してください。

関連文書（英語）

The Samba Team

CVE-2022-42898.html:
https://www.samba.org/samba/security/CVE-2022-42898.html

 

引用元：JPCERT/CC
「JPCERT/CC WEEKLY REPORT 2022-11-24」
https://www.jpcert.or.jp/wr/

 

複数のMozilla製品に脆弱性

最終更新日: 2022/11/24

情報源

CISA Current Activity
Mozilla Releases Security Updates for Multiple Products
https://www.cisa.gov/uscert/ncas/current-activity/2022/11/16/mozilla-releases-security-updates-multiple-products

概要

複数のMozilla製品には、複数の脆弱性があります。結果として、遠隔の第三者がスプーフィング攻撃などを行う可能性があります。
対象となる製品およびバージョンは次のとおりです。

– Mozilla Thunderbird 102.5より前のバージョン
– Mozilla Firefox 107より前のバージョン
– Mozilla Firefox ESR 102.5より前のバージョン

この問題は、Mozillaが提供する修正済みのバージョンに更新することで解決します。詳細は、Mozillaが提供する情報を参照してください。

関連文書（英語）

Mozilla

Mozilla Foundation Security Advisory 2022-47
https://www.mozilla.org/en-US/security/advisories/mfsa2022-47/

Mozilla

Mozilla Foundation Security Advisory 2022-48
https://www.mozilla.org/en-US/security/advisories/mfsa2022-48/

Mozilla

Mozilla Foundation Security Advisory 2022-49
https://www.mozilla.org/en-US/security/advisories/mfsa2022-49/

 

引用元：JPCERT/CC
「JPCERT/CC WEEKLY REPORT 2022-11-24」
https://www.jpcert.or.jp/wr/

 

WordPress用プラグインModern Events Calendar Liteにクロスサイトスクリプティングの脆弱性

情報源

Japan Vulnerability Notes JVN#04155116
WordPress 用プラグイン Modern Events Calendar Lite におけるクロスサイトスクリプティングの脆弱性
https://jvn.jp/jp/JVN04155116/

概要

WordPress用プラグインModern Events Calendar Liteには、クロスサイトスクリプティングの脆弱性があります。結果として、攻撃者が当該プラグインを使用しているサイトにアクセスしているユーザーのウェブブラウザー上で、任意のスクリプトを実行する可能性があります。

対象となる製品およびバージョンは次のとおりです。

– Modern Events Calendar Lite 6.3.0より前のバージョン

この問題は、該当する製品をWebnusが提供する修正済みのバージョンに更新することで解決します。詳細は、Webnusが提供する情報を参照してください。

関連文書 (英語)

Webnus
Modern Events Calendar Lite
https://webnus.net/modern-events-calendar/lite/

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC Weekly Report 2022-06-08号」
https://www.jpcert.or.jp/wr/2022/wr222201.html

T&D Data Server および THERMO RECORDER DATA SERVERにディレクトリトラバーサルの脆弱性

情報源

Japan Vulnerability Notes JVN#28659051
T&D Data Server および THERMO RECORDER DATA SERVER におけるディレクトリトラバーサルの脆弱性
https://jvn.jp/jp/JVN28659051/

概要

T&D Data ServerおよびTHERMO RECORDER DATA SERVERには、ディレクトリトラバーサルの脆弱性があります。結果として、遠隔の第三者がサーバー上の任意のファイルを閲覧する可能性があります。

対象となる製品およびバージョンは次のとおりです。

– T&D Data Server 日本版 Ver.2.22 およびそれ以前のバージョン
– T&D Data Server 英語版 Ver.2.30 およびそれ以前のバージョン
– THERMO RECORDER DATA SERVER 日本版 Ver.2.13 およびそれ以前のバージョン
– THERMO RECORDER DATA SERVER 英語版 Ver.2.13 およびそれ以前のバージョン

この問題は、該当する製品を株式会社ティアンドデイが提供する修正済みのバージョンに更新することで解決します。詳細は、株式会社ティアンドデイが提供する情報を参照してください。

関連文書 (日本語)

株式会社ティアンドデイ
「T&D Data Server」「THERMO RECORDER DATA SERVER」の脆弱性発見について
https://www.tandd.co.jp/news/detail.html?id=522

 

引用元：JPCERTコーディネーションセンター
「JPCERT/CC Weekly Report 2022-06-08号」
https://www.jpcert.or.jp/wr/2022/wr222201.html