<<< JPCERT/CC WEEKLY REPORT 2023-01-18 >>>

■01/08(日)〜01/14(土) のセキュリティ関連情報

目　次

【1】複数のマイクロソフト製品に脆弱性

【2】Windows 8.1サポートは2023年1月10日に終了しました

【3】複数のアドビ製品に脆弱性

【4】複数のJuniper Networks製品に脆弱性

【5】DrupalのPrivate Taxonomy Termsモジュールに脆弱性

【6】Google Chromeに複数の脆弱性

【7】OpenAM Web Policy Agent(OpenAMコンソーシアム版)にパストラバーサル脆弱性

【8】TP-Link SG105PEに認証回避の脆弱性

【9】pgAdmin 4にオープンリダイレクトの脆弱性

【10】Intel製oneAPIツールキットに権限昇格の脆弱性

【11】CLUSTERPRO Xに複数の脆弱性

【12】MAHO-PBX NetDevancerシリーズに複数の脆弱性

【13】ピクセラ製PIX-RT100に複数の脆弱性

【今週のひとくちメモ】JPCERT/CCが「Malware Analysis Operations（MAOps）の自動化」を公開

【1】複数のマイクロソフト製品に脆弱性

情報源

CISA Current Activity
Microsoft Releases January 2023 Security Updates

概要

複数のマイクロソフト製品には、脆弱性があります。結果として、遠隔の第三
者が任意のコードを実行するなどの可能性があります。

この問題は、Microsoft Updateなどを用いて、更新プログラムを適用すること
で解決します。詳細は、マイクロソフト株式会社が提供する情報を参照してく
ださい。

関連文書 (日本語)

マイクロソフト株式会社
2023 年 1 月のセキュリティ更新プログラム (月例)

JPCERT/CC 注意喚起
2023年1月マイクロソフトセキュリティ更新プログラムに関する注意喚起
//sumiekanekomusic.com/at/2023/at230002.html

【2】Windows 8.1サポートは2023年1月10日に終了しました

情報源

マイクロソフト株式会社
Windows 8.1サポートは 2023 年 1 月 10 日に終了しました

概要

Windows 8.1は2023年1月10日にサポートが終了しました。この時点で、テクニ
カルアシスタンスとソフトウェア更新プログラムは提供されなくなります。Windows 8.1
を実行しているデバイスがある場合は、より最新のサービスおよびサポートさ
れているWindowsリリースにアップグレードすることをお勧めします。デバイ
スがWindowsのより最新のリリースを実行するための技術的な要件を満たして
いない場合は、デバイスをWindows 11をサポートするデバイスに置き換えるこ
とをお勧めします。

また、同社が提供するWindows 7 ESU、Windows Server 2008 ESU、Windows Server 2008 R2 ESU
のサポートも終了しました。

関連文書 (日本語)

情報処理推進機構（IPA）
Windows 8.1 のサポート終了に伴う注意喚起

【3】複数のアドビ製品に脆弱性

情報源

CISA Current Activity
Adobe Releases Security Updates for Multiple Products

概要

複数のアドビ製品には、脆弱性があります。結果として、攻撃者が用意した悪
意のあるコンテンツをユーザーが開いた場合、任意のコードが実行されるなど
の可能性があります。

対象となる製品は次のとおりです。

- Adobe Acrobat
- Adobe Acrobat Reader
- Adobe InDesign
- Adobe InCopy
- Adobe Dimension

この問題は、該当製品を開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

JPCERT/CC 注意喚起
Adobe AcrobatおよびReaderの脆弱性（APSB23-01）に関する注意喚起
//sumiekanekomusic.com/at/2023/at230001.html

JPCERT/CC CyberNewsFlash
複数のアドビ製品のアップデートについて
//sumiekanekomusic.com/newsflash/2023011101.html

関連文書 (英語)

アドビ
Security update available for Adobe Acrobat and Reader | APSB23-01

アドビ
Security Update Available for Adobe InDesign | APSB23-07

アドビ
Security Update Available for Adobe InCopy | APSB23-08

アドビ
Security updates available for Dimension | APSB23-10

【4】複数のJuniper Networks製品に脆弱性

情報源

CISA Current Activity
Juniper Networks Releases Security Updates for Multiple Products

概要

複数のJuniper Networks製品には、脆弱性があります。結果として、遠隔の第
三者がサービス運用妨害（DoS）攻撃を行うなどの可能性があります。

対象となる製品は、多岐にわたります。詳細はJuniper Networksが提供するア
ドバイザリ情報を参照してください。

この問題は、該当する製品をJuniper Networksが提供する修正済みのバージョン
に更新することで解決します。詳細は、Juniper Networksが提供する情報を参
照してください。

関連文書 (英語)

Juniper Networks
Juniper Support Portal Search Results - Security Advisories

【5】DrupalのPrivate Taxonomy Termsモジュールに脆弱性

情報源

CISA Current Activity
Drupal Releases Security Update to Address Vulnerability in Private Taxonomy Terms

概要

DrupalのPrivate Taxonomy Termsモジュールには、taxonomy overview pageと
overview formに対して適切にパーミッションを実施しない脆弱性があります。

対象となるモジュールおよびバージョンは次のとおりです。

- Drupal 8系向けのPrivate Taxonomy Terms 8.x-2.6より前のバージョン

この問題は、開発者が提供する修正済みのバージョンに更新することで解決し
ます。詳細は、開発者が提供する情報を参照してください。

関連文書 (英語)

Drupal
Private Taxonomy Terms - Moderately critical - Access bypass - SA-CONTRIB-2023-001

【6】Google Chromeに複数の脆弱性

情報源

Google
Stable Channel Update for Desktop

概要

Google Chromeには、複数の脆弱性があります。

対象となるバージョンは次のとおりです。

- Google Chrome 109.0.5414.74（Linux版）より前のバージョン
- Google Chrome 109.0.5414.74/.75（Windows版）より前のバージョン
- Google Chrome 109.0.5414.87（Mac版）より前のバージョン

この問題は、Google ChromeをGoogleが提供する修正済みのバージョンに更新
することで解決します。詳細は、Googleが提供する情報を参照してください。

【7】OpenAM Web Policy Agent(OpenAMコンソーシアム版)にパストラバーサル脆弱性

情報源

Japan Vulnerability Notes JVNVU#91740661
OpenAM Web Policy Agent (OpenAMコンソーシアム版)におけるパストラバーサル脆弱性

概要

OpenAM Web Policy Agent（OpenAMコンソーシアム版）には、パストラバーサ
ルの脆弱性があります。結果として、第三者がドキュメントルート外のファイ
ルにアクセスする可能性があります。また、アクセスを許可されていない第三
者が、保護されたリソースにアクセスする可能性があります。

対象となるバージョンは次のとおりです。

- OpenAM Web Policy Agent（OpenAMコンソーシアム版）バージョン 4.1.0

この問題は、該当製品に開発者が提供する情報をもとにパッチを適用すること
で解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

OpenAMコンソーシアム
web-agentsリポジトリ

OpenAMコンソーシアム
issue#3: CVE-2023-22320

【8】TP-Link SG105PEに認証回避の脆弱性

情報源

Japan Vulnerability Notes JVN#78481846
TP-Link SG105PE における認証回避の脆弱性

概要

TP-Link SG105PEには、認証回避の脆弱性があります。結果として、悪意のあ
る第三者が特定の条件下で、管理者の権限で情報を閲覧したり、設定を変更し
たりする可能性があります。

対象となるバージョンは次のとおりです。

- TP-Link SG105PE 「TL-SG105PE(UN) 1.0_1.0.0 Build 20221208」より前のファームウェア

この問題は、該当製品を開発者が提供する情報をもとに、ファームウェアを最
新版へアップデートすることで解決します。詳細は、開発者が提供する情報を
参照してください。

関連文書 (日本語)

TP-Link
TL-SG105PE V1 のコンテンツ

TP-Link
イージースマートスイッチ | TL-SG105PE

【9】pgAdmin 4にオープンリダイレクトの脆弱性

情報源

Japan Vulnerability Notes JVN#03832974
pgAdmin 4 におけるオープンリダイレクトの脆弱性

概要

pgAdmin Projectが提供するpgAdmin 4には、オープンリダイレクトの脆弱性が
あります。結果として、細工されたURLにアクセスすることで、任意のウェブ
サイトにリダイレクトされる可能性があります。

対象となるバージョンは次のとおりです。

- pgAdmin 4 v6.14より前のバージョン

この問題は、該当製品を開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (英語)

pgAdmin Project
pgAdmin - PostgreSQL Tools

pgAdmin Project
GitHub pgadmin-org / pgadmin4

pgAdmin Project
Open URL Redirect Vulnerability #5343

【10】Intel製oneAPIツールキットに権限昇格の脆弱性

情報源

Japan Vulnerability Notes JVNVU#94327726
Intel製oneAPIツールキットにおける権限昇格の脆弱性

概要

Intelから権限昇格の脆弱性に対応したoneAPIツールキット向けのアップデー
トが公開されました。

対象となる製品およびバージョンは次のとおりです。

- Intel oneAPI DPC++/C++ Compiler 2022.2.1より前のバージョン
- Intel C++ Compiler Classic 2021.8より前のバージョン

この問題は、該当製品を開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

JPCERT/CC CyberNewsFlash
Intel製品に関する脆弱性について
//sumiekanekomusic.com/newsflash/2023011102.html

関連文書 (英語)

Intel Corporation
INTEL-SA-00773: Intel oneAPI Toolkit software Advisory

Intel Corporation
Intel Product Security Center Advisories

【11】CLUSTERPRO Xに複数の脆弱性

情報源

Japan Vulnerability Notes JVNVU#937040474
CLUSTERPRO Xにおける複数の脆弱性

概要

日本電気株式会社が提供するCLUSTERPRO Xには、複数の脆弱性があります。結
果として、遠隔の第三者が既存ファイルを上書きし、任意のコードを実行する
可能性があります。

対象となるバージョンは多岐にわたります。

この問題は、該当製品に開発者が提供する修正パッチを適用するか回避策を適
用することで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

日本電気株式会社
CLUSTERPRO X に複数の脆弱性

【12】MAHO-PBX NetDevancerシリーズに複数の脆弱性

情報源

Japan Vulnerability Notes JVN#99957889
MAHO-PBX NetDevancerシリーズにおける複数の脆弱性

概要

株式会社まほろば工房が提供するMAHO-PBX NetDevancerシリーズには、複数の
脆弱性があります。結果として、遠隔の第三者が任意のOSコマンドを実行する
などの可能性があります。

対象となるバージョンは次のとおりです。

- MAHO-PBX NetDevancer Lite/Uni/Pro/Cloud Ver.1.11.00より前のバージョン
- MAHO-PBX NetDevancer VSG Lite/Uni Ver.1.11.00より前のバージョン
- MAHO-PBX NetDevancer MobileGate Home/Office Ver.1.11.00より前のバージョン

この問題は、該当製品を開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

株式会社まほろば工房
MAHO-PBX NetDevancerにおける複数の脆弱性につきまして

【13】ピクセラ製PIX-RT100に複数の脆弱性

情報源

Japan Vulnerability Notes JVN#57296685
ピクセラ製 PIX-RT100 における複数の脆弱性

概要

株式会社ピクセラが提供するPIX-RT100には、複数の脆弱性があります。結果
として、隣接ネットワーク上の第三者が、ドキュメント化されていないTelnet
サービスまたはSSHサービスを介して当該製品にアクセスする可能性がありま
す。

対象となるバージョンは次のとおりです。

- PIX-RT100 バージョン RT100_TEQ_2.1.1_EQ101およびRT100_TEQ_2.1.2_EQ101

この問題は、該当製品を開発者が提供する修正済みのバージョンに更新するこ
とで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書 (日本語)

株式会社ピクセラ
PIX-RT100 アップデート

■今週のひとくちメモ

○JPCERT/CCが「Malware Analysis Operations（MAOps）の自動化」を公開

2023年1月10日、JPCERT/CCは「Malware Analysis Operations（MAOps）の自動
化」を公開しました。JPCERT/CCで行っているクラウド上でのマルウェア分析
の自動化方法について、事例をもとに紹介しています。クラウドサービスを活
用して日々のマルウェア分析の効率化に取り組む一助となれば幸いです。

参考文献 (日本語)

JPCERT/CC Eyes
Malware Analysis Operations（MAOps）の自動化

■JPCERT/CCからのお願い