セキュリティ情報 – ページ 8 – 情報教育センター

Apache Tomcatにサービス運用妨害（DoS）の脆弱性

最終更新日: 2021/10/25

情報源

CISA Current Activity
Apache Releases Security Advisory for Tomcat
https://us-cert.cisa.gov/ncas/current-activity/2021/10/15/apache-releases-security-advisory-tomcat

Japan Vulnerability Notes JVNVU#92237586

Apache Tomcatにおけるサービス運用妨害（DoS）の脆弱性
https://jvn.jp/vu/JVNVU92237586/

概要

Apache Tomcatには、サービス運用妨害（DoS）の脆弱性があります。結果として、遠隔の第三者がサービス運用妨害（DoS）攻撃を行う可能性があります。

対象となるバージョンは次のとおりです。

– Apache Tomcat 10.1.0-M1から10.1.0-M5まで
– Apache Tomcat 10.0.0-M10から10.0.11まで
– Apache Tomcat 9.0.40から9.0.53まで
– Apache Tomcat 8.5.60から8.5.71まで

この問題は、Apache TomcatをThe Apache Software Foundationが提供する修正済みのバージョンに更新することで解決します。詳細は、The Apache Software Foundationが提供する情報を参照してください。

情報源

CISA Current Activity
Juniper Networks Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2021/10/14/juniper-networks-releases-security-updates-multiple-products

概要

複数のJuniper製品には、脆弱性があります。結果として、第三者が任意のコードを実行するなどの可能性があります。

対象となる製品、多岐に渡ります。詳細はJuniperが提供するアドバイザリ情報を参照してください

この問題は、該当する製品をJuniperが提供する修正済みのバージョンに更新することで解決します。詳細は、Juniperが提供する情報を参照してください。

情報源

CISA Current Activity
Adobe Releases Security Updates for Multiple Products
https://us-cert.cisa.gov/ncas/current-activity/2021/10/12/adobe-releases-security-updates-multiple-products

概要

複数のアドビ製品には、脆弱性があります。結果として、遠隔の第三者が任意のコードを実行するなどの可能性があります。

対象となる製品は次のとおりです。

– Adobe Campaign Standard
– Adobe Commerce
– Adobe ops-cli
– Adobe Acrobat Reader for Android
– Adobe Connect
– Adobe Acrobat
– Adobe Acrobat Reader

この問題は、該当する製品をアドビが提供する修正済みのバージョンに更新することで解決します。詳細は、アドビが提供する情報を参照してください。

情報源

CISA Current Activity
Apple Releases Security Update to Address CVE-2021-30883
https://us-cert.cisa.gov/ncas/current-activity/2021/10/12/apple-releases-security-update-address-cve-2021-30883

概要

iOSおよびiPadOSには、メモリ破損の脆弱性があります。結果として、第三者が任意のコードを実行する可能性があります。

対象となるOSおよびバージョンは次のとおりです。

– iOS 15.0.2より前のバージョン
– iPadOS 15.0.2より前のバージョン

この問題は、該当するOSをAppleが提供する修正済みのバージョンに更新することで解決します。詳細は、Appleが提供する情報を参照してください。

情報源

CISA Current Activity
Google Releases Security Updates for Chrome
https://us-cert.cisa.gov/ncas/current-activity/2021/10/12/google-releases-security-updates-chrome

概要

Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

– Google Chrome 94.0.4606.81より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新することで解決します。詳細は、Googleが提供する情報を参照してください。

情報源

CISA Current Activity
Microsoft Releases October 2021 Security Updates
https://us-cert.cisa.gov/ncas/current-activity/2021/10/12/microsoft-releases-october-2021-security-updates

概要

複数のマイクロソフト製品には、複数の脆弱性があります。結果として、第三者が任意のコードを実行するなどの可能性があります。

対象となる製品、多岐に渡ります。詳細はマイクロソフト株式会社が提供するアドバイザリ情報を参照してください。

この問題は、Microsoft Updateなどを用いて、更新プログラムを適用することで解決します。詳細は、マイクロソフト株式会社が提供する情報を参照してください。

Movable TypeのXMLRPC APIにおける脆弱性（CVE-2021-20837）に関する注意喚起

　JPCERT/CCからの「Movable TypeのXMLRPC APIにおける脆弱性（CVE-2021-20837）に関する注意喚起」をお知らせします。

各位

JPCERT-AT-2020-0047
JPCERT/CC
2021-10-20

<<< JPCERT/CC Alert 2021-10-20 >>>
Movable TypeのXMLRPC APIにおける脆弱性（CVE-2021-20837）に関する注意喚起
https://www.jpcert.or.jp/at/2021/at210047.html

I.概要

2021年10月20日、シックス・アパート株式会社は、Movable TypeのXMLRPC APIにおけるOSコマンドインジェクションの脆弱性（CVE-2021-20837）に関する情報を公開しました。本脆弱性が悪用された場合、遠隔の第三者が、任意のOSコマンドを実行する可能性があります。

シックス・アパート株式会社

[重要] Movable Type 7 r.5003 / Movable Type 6.8.3 / Movable Type Premium 1.47 の提供を開始（セキュリティアップデート）
https://www.sixapart.jp/movabletype/news/2021/10/20-1100.html

影響を受けるMovable Typeを使用している場合、シックス・アパート株式会社が公開している情報を確認し、速やかに対策を適用することを推奨します。

II.対象

次のバージョンのMovable Typeが本脆弱性の影響を受けます。

– Movable Type 7 r.5002およびそれ以前（Movable Type 7系）

– Movable Type 6.8.2およびそれ以前（Movable Type 6系）
– Movable Type Advanced 7 r.5002およびそれ以前（Movable Type Advanced 7系）
– Movable Type Advanced 6.8.2およびそれ以前（Movable Type Advanced 6系）
– Movable Type Premium 1.46およびそれ以前
– Movable Type Premium Advanced 1.46およびそれ以前

開発者によると、すでにサポート終了をしたバージョンを含む、Movable Type 4.0以降のすべてのバージョンが本脆弱性の影響を受けるとのことです。

III. 対策

シックス・アパート株式会社から本脆弱性を修正した次のバージョンが公開されています。速やかに対策の実施をご検討ください。

– Movable Type 7 r.5003（Movable Type 7系）

– Movable Type 6.8.3（Movable Type 6系）
– Movable Type Advanced 7 r.5003（Movable Type Advanced 7系）
– Movable Type Advanced 6.8.3（Movable Type Advanced 6系）
– Movable Type Premium 1.47
– Movable Type Premium Advanced 1.47

IV. 回避策

本脆弱性への早期対策実施が難しい場合、脆弱性を悪用する攻撃の影響を軽減するため、シックス・アパート株式会社より回避策が公開されています。
詳しくは、シックス・アパート株式会社が提供する情報をご確認ください。

V. 参考情報

シックス・アパート株式会社
[重要] Movable Type 7 r.5003 / Movable Type 6.8.3 / Movable Type Premium 1.47 の提供を開始（セキュリティアップデート）
https://www.sixapart.jp/movabletype/news/2021/10/20-1100.html

Japan Vulnerability Notes JVN#41119755

Movable Type の XMLRPC API における OS コマンドインジェクションの脆弱性
https://jvn.jp/jp/JVN41119755/

今回の件につきまして当方まで提供いただける情報がございましたら、ご連絡ください。

一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC)
早期警戒グループ
Email:
https://www.jpcert.or.jp/

2021年10月Oracle製品のクリティカルパッチアップデートに関する注意喚起

　JPCERT/CCからの「2021年10月Oracle製品のクリティカルパッチアップデートに関する注意喚起」をお知らせします。

各位

JPCERT-AT-2020-0046
JPCERT/CC
2021-10-20

<<< JPCERT/CC Alert 2021-10-20 >>>
2021年10月Oracle製品のクリティカルパッチアップデートに関する注意喚起
https://www.jpcert.or.jp/at/2021/at210046.html

I.概要

2021年10月19日（米国時間）、Oracleは複数の製品に対するクリティカルパッチアップデートに関する情報を公開しました。

Oracle Corporation

Oracle Critical Patch Update Advisory – October 2021
https://www.oracle.com/security-alerts/cpuoct2021.html

脆弱性が悪用された場合、リモートからの攻撃によって、不正な操作が実行されたり、機微な情報を不正に削除や改ざんされたりする可能性があります。対象となる製品を利用している場合には、アップデートの適用などを検討してください。

II.対象

対象として、次の製品およびバージョンが含まれています。

– Java SE JDK/JRE 17

– Java SE JDK/JRE 11.0.12
– Java SE JDK/JRE 8u301
– Java SE JDK/JRE 7u311
– Java SE Embedded 8u301
– Oracle Database Server 21c
– Oracle Database Server 19c
– Oracle Database Server 12.2.0.1
– Oracle Database Server 12.1.0.2
– Oracle WebLogic Server 14.1.1.0.0
– Oracle WebLogic Server 12.2.1.4.0
– Oracle WebLogic Server 12.2.1.3.0
– Oracle WebLogic Server 12.1.3.0.0
– Oracle WebLogic Server 10.3.6.0.0

ただし、その他の対象となる製品およびバージョンは多岐にわたるため、正確な情報はOracleの情報を参照してください。

また、PCにJava JREがプリインストールされている場合や、サーバーで使用するソフトウェア製品に、WebLogic Serverを使用している場合もあります。利用中のPCやサーバーに対象となる製品が含まれていないかについても、確認してください。

日本オラクル株式会社

Oracle Java SE Supportロードマップ
https://www.oracle.com/jp/java/technologies/java-se-support-roadmap.html

III. 対策

Oracleからそれぞれの製品に対して、修正済みソフトウェアが公開されています。Java SEでは、次のバージョンが公開されています。

– Java SE JDK/JRE 17.0.1

– Java SE JDK/JRE 11.0.12
– Java SE JDK/JRE 8u311
– Java SE JDK/JRE 7u321
– Java SE Embedded 8u311

※Oracle Database Server/Oracle WebLogic Serverについては、2021年10月20日現在、対策が施されたパッチに関する公開情報は確認できませんでした。

詳細はOracleに確認してください。

製品をアップデートした場合、対象製品を利用する他のアプリケーションが正常に動作しなくなる可能性があります。利用するアプリケーションへの影響を考慮した上で、更新してください。

Java Downloads

https://www.oracle.com/java/technologies/javase-downloads.html

無料Javaのダウンロード

https://java.com/ja/download/

また、32bit版JDK/JRE、64bit版JDK/JREのいずれか、または両方がインストールされている場合がありますので、利用しているJDK/JREをご確認の上、修正済みソフトウェアを適用してください。

お使いのJavaのバージョンは次のページで確認可能です。32bit版、64bit版の両方のJavaをインストールしている場合は、それぞれ32bit版、64bit版のブラウザでバージョンを確認してください。(Javaがインストールされていない環境では、Javaのインストールが要求される可能性があります。不要な場合は、インストールしないように注意してください。)

Javaのバージョンの確認

https://www.java.com/ja/download/installed.jsp

IV. 参考情報

Oracle Corporation
Listing of Java Development Kit 17 Release Notes
https://www.oracle.com/java/technologies/javase/17u-relnotes.html

Oracle Corporation

Listing of Java Development Kit 11 Release Notes
https://www.oracle.com/java/technologies/javase/11u-relnotes.html

Oracle Corporation

Java Development Kit 8 Update Release Notes
https://www.oracle.com/java/technologies/javase/8u-relnotes.html

Oracle Corporation

Java SE 7 Advanced and Java SE 7 Support (formerly known as Java for Business 7) Release Notes
https://www.oracle.com/java/technologies/javase/7-support-relnotes.html

Oracle Corporation

Oracle Java SE Embedded 8 Release Notes
https://www.oracle.com/java/technologies/javase/embedded8-relnotes.html

Oracle Corporation

October 2021 Critical Patch Update Released
https://blogs.oracle.com/security/post/oct2021-cpu-released

日本オラクル株式会社

Oracle Java SE Supportロードマップ
https://www.oracle.com/jp/java/technologies/java-se-support-roadmap.html

今回の件につきまして当方まで提供いただける情報がございましたら、ご連絡ください。

一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC)
早期警戒グループ
Email:
https://www.jpcert.or.jp/

2021年10月マイクロソフトセキュリティ更新プログラムに関する注意喚起

　JPCERT/CCからの「2021年10月マイクロソフトセキュリティ更新プログラムに関する注意喚起」をお知らせします。

各位

JPCERT-AT-2020-0045
JPCERT/CC
2021-10-13

<<< JPCERT/CC Alert 2021-10-13 >>>
2021年10月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2021/at210045.html

I.概要

マイクロソフトから同社製品の脆弱性を修正する2021年10月のセキュリティ更新プログラムが公開されました。これらの脆弱性を悪用された場合、リモートからの攻撃によって任意のコードが実行されるなどの可能性があります。マイクロソフトが提供する情報を参照し、早急に更新プログラムを適用してください。

マイクロソフト株式会社

2021 年 10 月のセキュリティ更新プログラム
https://msrc.microsoft.com/update-guide/ja-JP/releaseNote/2021-Oct

マイクロソフト株式会社

2021 年 10 月のセキュリティ更新プログラム (月例)
https://msrc-blog.microsoft.com/2021/10/12/202110-security-updates/

これらの脆弱性の内、マイクロソフトは、Win32kの特権の昇格の脆弱性（CVE-2021-40449）について悪用の事実を確認していると公表しています。

早期の対策検討を推奨いたします。

CVE-2021-40449

Win32k の特権の昇格の脆弱性
https://msrc.microsoft.com/update-guide/ja-JP/vulnerability/CVE-2021-40449

また、マイクロソフトによると、Windowsカーネルの特権の昇格の脆弱性（CVE-2021-41335）、Windows AppContainerファイアウォール規則のセキュリティ機能のバイパスの脆弱性（CVE-2021-41338）、Windows DNSサーバーのリモートでコードが実行される脆弱性（CVE-2021-40469）について、現時点で悪用の事実を確認されていないものの、脆弱性の内容が一般に公開されているとのことです。

CVE-2021-41335

Windows カーネルの特権の昇格の脆弱性
https://msrc.microsoft.com/update-guide/ja-JP/vulnerability/CVE-2021-41335

CVE-2021-41338

Windows AppContainer ファイアウォール規則のセキュリティ機能のバイパスの脆弱性
https://msrc.microsoft.com/update-guide/ja-JP/vulnerability/CVE-2021-41338

CVE-2021-40469

Windows DNS サーバーのリモートでコードが実行される脆弱性
https://msrc.microsoft.com/update-guide/ja-JP/vulnerability/CVE-2021-40469

II.対策

Microsoft Update、もしくはWindows Updateなどを用いて、セキュリティ更新プログラムを早急に適用してください。

Microsoft Update カタログ

https://www.catalog.update.microsoft.com/

Windows Update:よくあるご質問

https://support.microsoft.com/ja-JP/help/12373/windows-update-faq

III. 参考情報

マイクロソフト株式会社
リリースノート
https://msrc.microsoft.com/update-guide/releaseNote

今回の件につきまして当方まで提供いただける情報がございましたら、ご連絡ください。

一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC)
早期警戒グループ
Email:
https://www.jpcert.or.jp/

Adobe AcrobatおよびReaderの脆弱性（APSB21-104）に関する注意喚起

　JPCERT/CCからの「Adobe AcrobatおよびReaderの脆弱性（APSB21-104）に関する注意喚起」をお知らせします。

各位

JPCERT-AT-2020-0044
JPCERT/CC
2021-10-13

<<< JPCERT/CC Alert 2021-10-13 >>>
Adobe AcrobatおよびReaderの脆弱性（APSB21-104）に関する注意喚起
https://www.jpcert.or.jp/at/2021/at210044.html

I.概要

アドビからPDFファイル作成・変換ソフトウェアAdobe AcrobatおよびPDFファイル閲覧ソフトウェアAdobe Acrobat Readerに関する脆弱性（APSB21-104）が公開されました。脆弱性を悪用したコンテンツをユーザーが開いた場合、実行ユーザーの権限で任意のコードが実行されるなどの可能性があります。脆弱性の詳細については、アドビの情報を確認してください。

アドビ

Security update for Adobe Acrobat and Reader | APSB21-104
https://helpx.adobe.com/security/products/acrobat/apsb21-104.html

II.対象

対象となる製品とバージョンは次のとおりです。

– Adobe Acrobat DC Continuous（21.007.20095）およびそれ以前（Windows）

– Adobe Acrobat DC Continuous（21.007.20096）およびそれ以前（macOS）
– Adobe Acrobat Reader DC Continuous（21.007.20095）およびそれ以前（Windows）
– Adobe Acrobat Reader DC Continuous（21.007.20096）およびそれ以前（macOS）
– Adobe Acrobat 2020 Classic 2020（20.004.30015）およびそれ以前（Windows、macOS）
– Adobe Acrobat Reader 2020 Classic 2020（20.004.30015）およびそれ以前（Windows、macOS）
– Adobe Acrobat 2017 Classic 2017（17.011.30202）およびそれ以前（Windows、macOS）
– Adobe Acrobat Reader 2017 Classic 2017（17.011.30202）およびそれ以前（Windows、macOS）

III.対策

Adobe AcrobatおよびReaderを次の最新のバージョンに更新してください。

– Adobe Acrobat DC Continuous（21.007.20099）（Windows、macOS）

– Adobe Acrobat Reader DC Continuous（21.007.20099）（Windows、macOS）
– Adobe Acrobat 2020 Classic 2020（20.004.30017）（Windows、macOS）
– Adobe Acrobat Reader 2020 Classic 2020（20.004.30017）（Windows、macOS）
– Adobe Acrobat 2017 Classic 2017（17.011.30204）（Windows、macOS）
– Adobe Acrobat Reader 2017 Classic 2017（17.011.30204）（Windows、macOS）

更新は、Adobe AcrobatおよびReaderの起動後、メニューより “ヘルプ” の次に “アップデートの有無をチェック” をクリックすることで実施できます。
メニューからの更新が不可能な場合は、以下のURLから最新のAdobe AcrobatおよびReaderをダウンロードしてください。詳細は、アドビの情報をご確認ください。

アドビ

Adobe Acrobat Reader DC ダウンロード
https://get2.adobe.com/jp/reader/

アドビ

Acrobat 2020 をダウンロードする
https://helpx.adobe.com/jp/download-install/kb/acrobat-2020-downloads.html

アドビ

Acrobat 2017 のダウンロード
https://helpx.adobe.com/jp/download-install/kb/acrobat-2017-downloads.html

IV. 参考情報

アドビ
Security update for Adobe Acrobat and Reader | APSB21-104
https://helpx.adobe.com/security/products/acrobat/apsb21-104.html

アドビ

Latest Product Security Updates
https://helpx.adobe.com/security.html

今回の件につきまして当方まで提供いただける情報がございましたら、ご連絡ください。

一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC)
早期警戒グループ
Email:
https://www.jpcert.or.jp/

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (日本語)

情報源

概要

関連文書 (英語)

情報源

概要

関連文書 (日本語)

I.概要

II.対象

III. 対策

IV. 回避策

V. 参考情報

I.概要

II.対象

III. 対策

IV. 参考情報

I.概要

II.対策

III. 参考情報

I.概要

II.対象

III.対策

IV. 参考情報