セキュリティホール memo

Last modified: Mon May 16 15:07:44 2022 +0900 (JST)
短縮 URL: http://goo.gl/pwSG　QR コード: http://goo.gl/pwSG.qr

　Security Watch さんが店じまいされてしまったので、個人で追いかけてみるテストです。備忘録として書いておくつもりなので、 Security Watch さんのような詳細なものではありません。基本的なターゲットは UNIX、Windows、Mac OS (priority 順) とします。また、このページの内容はどのページにも増して無保証であることを宣言しておきます。全ての情報が集まっているわけもありません。

　ここに載せる情報については、可能な限り 1 次情報源へのリンクを作成しておきます。各自で 1 次情報源の内容を確認してください。このページの内容をくれぐれも鵜飲みにしないように。間違いを発見された方、記載されていない情報をご存知の方、ぜひおしえてください。よろしくお願いいたします。

　このページの情報を利用される前に、注意書きをお読みください。

　[ 定番情報源 ] 　過去の記事: 2022 | 2021 | 2020 | 2019 | 2018 | 2017 | 2016 | 2015 | 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998

	「Scan Security Wire」主催の SCAN Security Wire NP Prize 2001 を受賞しました。
	「ネットランナー」のベスト・オブ・常習者サイト 2003 で金賞を、ベスト・オブ・常習者サイト 2004 で銀賞を受賞しました。

復刊リクエスト受付中:

ジェイムズ.Ｆ.ダニガン「新・戦争のテクノロジー」(現在58票)
中山信弘「ソフトウェアの法的保護」 (現在112票) (オンデマンド購入可)
陸井三郎訳・編「ベトナム帰還兵の証言」 (現在109票)
林克明「カフカスの小さな国　チェチェン独立運動始末」 (現在175票)
田中徳祐「我ら降伏せず−サイパン玉砕戦の狂気と真実」 (復刊決定)

RSS に対応してみました。小ネタは含まれていません。「政治ねたウゼェ」という人は RSS ベースで読むと幸せになれるでしょう (ウザくない人はこっちの RSS がよいかもしれません)。 RSS 1.0 ですので、あくまで RDF Site Summary です。現在は Really Simple Syndication には対応していません。
今すぐ Really Simple Syndication がほしい人は、のいんさんによる Web サイトの RSS を勝手に出力するプロジェクト ……のものがうまくいっていないようなので、セキュmemoのRSS生成をご利用ください。Tamo さん情報ありがとうございます。

■ 2022.05.16

》 [gnutls-help] gnutls 3.7.5 (Gnu, 5/13)。「bug fix and enhancement release」。iida さん情報ありがとうございます。

■ 2022.05.13

》 Explosive Ordnance Guide for Ukraine: 1st Ed. (GICHD)
》 Chrome 拡張機能がブロックされたときに "ブラウザ侵入防止は正しく機能していません" の警告が表示される (broadcom, 4/20)。SEP ねた。

注: 上記の変更はクラウド登録された SES クライアントのみです。オンプレミスの SEPM で管理されている SEP クライアントは、バージョン 14.3 RU5 でこの機能を搭載する予定です。
》ロシア海軍 Elbrus 級 (Project 23120) 兵站支援艦 Vsevolod Bobrov、炎上
- Ukraine lines up Russia’s Vsevolod Bobrov ship off coast of Snake Island (UKRINFORM, 5/12)
- 最新鋭ロシア艦船に新たな損害か　ウクライナが炎上と発表 (産経, 5/13)
- Project 23120 (RussianShips.info)
- Elbrus Class (Project 23120) Logistics Support Vessels (Naval Technology, 2017.07.05)
》フィンランド外相“早ければ来週半ばにもNATO加盟申請へ” (NHK, 5/13)

加盟が認められるまでの間にロシアが軍事的な行動をとるのではないかという見方については、「確かに危険な時期だ」としたうえで、イギリスなどヨーロッパの国々が力強い支援を申し出てくれているとし、「混乱が起きるとは考えていないが、そうした事態にも準備は怠ってはいけない」と述べました。

　関連:

■ 2022.05.12

》 Windows Sysinternals 更新情報 (2022 年 5 月 12 日) － AccessChk 6.15、RAMMap 1.61、Sysmon 13.34 (山市良のえぬなんとかわーるど, 5/12)
》知床遊覧船「KAZU I」沈没事故方面
- 業務にアマチュア無線を常用していた (やっちゃ駄目)
- あの日「カズワン」に何が起きたのかカズスリー甲板員の混乱と後悔 (朝日, 5/5)
- カズワンの船長「不安なんだ…」　仕出屋配達員が知床で船を操るまで (朝日, 5/10)
》「ロシアがウクライナの衛星通信ネットワークにサイバー攻撃を仕掛けた」とアメリカ・イギリス・EUが公式に非難 (gigazine, 5/11)
》英国、フィンランド・スウェーデンと安全保障強化で合意 (BBC, 5/12)。これ自体は、相互防衛ではなく相互支援にとどまる内容みたい。まあ、NATO 入りを目指しているわけだしね。
- フィンランド首相 1週間以内にNATO加盟申請に向け決断 (NHK, 5/11)。マリン首相、日本に来てるんですね。
- ＮＡＴＯ、フィンランド・スウェーデン加盟を迅速承認へ (ロイター, 5/12)
- NATO急接近、マリン首相が歴史的転換　ロシアは痛いオウンゴール (朝日, 5/12)。鶴岡路人・慶応大准教授インタビュー。
》 2021年に報告されたフィッシングサイトの傾向と利用されたドメインについて (JPCERT/CC Eyes, 4/25)

JPCERT/CCでは、2021年に44,242件のインシデント報告が寄せられ、そのうちフィッシングサイトに関するインシデント件数は、23,104件でした。本ブログでは、JPCERT/CCに報告されたフィッシングサイトの情報をもとに、報告件数の推移やかたられたブランドの業種別割合、フィッシングサイトに利用されたドメインの傾向について解説します。

　インシデント報告、単純平均で 121件/day ですか。平日/土日で偏りあるだろうしなあ。
》「ブラザーオンライン」で不正ログイン発生、最大12万6676件のアカウントが被害 (Internet Watch, 5/11)、会員向けサービスサイト「ブラザーオンライン」における不正ログインの発生について (ブラザー, 5/10 更新)

不正ログインをした第三者がお客様の保有する「トク刷るポイント」*1を不正に利用したこと、あわせてお客様のご登録情報が不正ログインをした第三者により閲覧できる状況にあったことを確認しております。

■ いろいろ (2022.05.12)
(various)

Intel 方面 (BIOS、ファームウェア、ドライバー等)

インテルのCPU/SSD製品などに脆弱性～最大深刻度は「HIGH」 (窓の杜, 2022.05.12)

Qt を使って作成した Windows アプリ

「Qt」で開発されたWindowsアプリに権限昇格の問題、アプリの権限で任意コードが実行されるおそれ (窓の杜, 2022.05.10)
JVNVU#92669710 - Qt製Windowsアプリケーションにおける権限昇格の脆弱性 (JVN, 2022.05.09)。モジュール検索パスが qt_prfxpath にハードコードされているため、そこに悪意あるモジュールを配置されると任意のコードが実行される。

対応するには、Qt 5.14 以降でアプリを作り直すか、あるいはパッケージ化ツール windeployqt を最新版に更新してアプリを作り直す。

Apache Tomcat

JVNVU#98578492 - Apache TomcatのEncryptInterceptorのドキュメントにおける記載誤りの問題 (JVN, 2022.05.11)、 EncryptInterceptor only provides partial protection on untrusted network (github)。 iida さん情報ありがとうございます。 Tomcat 8.5.79 / 9.0.63 / 10.0.21 / 10.1.0-M15 のドキュメントで以下を明記。

The EncryptInterceptor provides confidentiality and integrity protection but it does not protect against all risks associated with running a Tomcat cluster on an untrusted network, particularly DoS attacks.

信頼できないネットワーク上の Tomcat クラスターに対して、 EncryptInterceptor は CIA の C と I しか提供しない、特に DoS 攻撃への耐性は提供しないと。

rsyslog

CVE-2022-24903: rsyslog < 8.2204.1 heap buffer overrun (oss-sec ML, 2022.05.05)。8.2204.1 (最新版) では直っていると。

■ 「InDesign」「Character Animator」などに致命的な脆弱性～Adobeが月例セキュリティ情報を発表
(窓の杜, 2022.05.11)

　Adobe 月例は 5 件。 Character Animator、 ColdFusion、 InDesign、 Framemaker、 InCopy。 Priority はいずれも 3。

■ 2022.05.11

》ウクライナ侵攻協力の現職敗北　親ロ派「大統領選」で―ジョージア (時事, 5/10)。南オセチア方面。
》経済制裁でロシアは一体どれほどのダメージを受けているのか？ (gigazine, 5/8)。関連:
- ロ軍の疲弊鮮明　制裁で兵器調達困難に―西側情報筋 (時事, 5/10)
- ロシアへの経済制裁は関係なかった!!?　上昇傾向だった中古車価格が下落に転じた真相 (ベストカー, 5/8)
》ロシアでGoogle Playの有料アプリのダウンロード＆アップデートが不可能に (gigazine, 5/9)
》 Windowsイベントログを利用したファイルレスマルウェアの手法が観測される (gigazine, 5/10)、 A new secret stash for “fileless” malware (securelist, 5/4)

■ 2022 年 5 月のセキュリティ更新プログラム (月例)
(Microsoft, 2022.05.11)

　2022.05 Microsoft 定例。

.NET and Visual Studio
Microsoft Exchange Server
Microsoft Graphics Component
Microsoft Local Security Authority Server (lsasrv)
Microsoft Office
Microsoft Office Excel
Microsoft Office SharePoint
Microsoft Windows ALPC
Remote Desktop Client
Role: Windows Fax Service
Role: Windows Hyper-V
Self-hosted Integration Runtime
Tablet Windows User Interface
Visual Studio
Visual Studio Code
Windows Active Directory
Windows Address Book
Windows Authentication Methods
Windows BitLocker
Windows Cluster Shared Volume (CSV)
Windows Failover Cluster Automation Server
Windows Kerberos
Windows Kernel
Windows LDAP - Lightweight Directory Access Protocol
Windows Media
Windows Network File System
Windows NTFS
Windows Point-to-Point Tunneling Protocol
Windows Print Spooler Components
Windows Push Notifications
Windows Remote Access Connection Manager
Windows Remote Desktop
Windows Remote Procedure Call Runtime
Windows Server Service
Windows Storage Spaces Controller
Windows WLAN Auto Config Service

　悪用あり (0-day):

Windows LSA Spoofing Vulnerability CVE-2022-26925 (Microsoft)

　情報公開済み、悪用なし:

Windows Hyper-V Denial of Service Vulnerability CVE-2022-22713 (Microsoft)。「Exploitation Less Likely」
Insight Software: CVE-2022-29972 Magnitude Simba Amazon Redshift ODBC Driver (Microsoft)。「Exploitation More Likely」

　patch をあてただけでは解決しない問題:

Exchange の件:

Microsoft Exchange の脆弱性 CVE-2022-21978 からシステムを保護するためには、セキュリティ更新プログラムの適用に加え、追加の作業を実施する必要があります。 Microsoft Exchangeの管理者は、CVE-2022-21978 および Microsoft Exchange チームブログ Released: May 2022 Exchange Server Security Updatesを参照し、必要な作業を実施してください。
Active Directory の件:

[5/11 追記] 今月のセキュリティ更新プログラムで修正した脆弱性 CVE-2022-26931 および CVE-2022-26923 は、Active Directory 環境における証明書ベースの認証動作に存在する特権昇格の問題です。2022 年 5 月のセキュリティ更新プログラムを適用することで、“互換モード (Compatibility Mode)” になります。このモードでは、従来通り証明書ベースの認証は動作しますが、認証時に監査ログが記録されます。脆弱性からシステムを保護するためには、KDCでレジストリを変更し、証明書ベースの認証を強化する必要があります。証明書ベースの認証を強化は、2023 年 5 月のセキュリティ更新日までに、設定を強化する更新プログラムを配信する予定です。

KB5014754—Certificate-based authentication changes on Windows domain controllers (Microsoft) に従って変更する必要があると。

　SSU 更新:

Latest Servicing Stack Updates ADV990001 (Microsoft)。 Windows 7 / Server 2008、Server 2012、Windows 8.1 / Server 2012 R2、 Windows 10 Version 1607/Server 2016 で更新。

　不具合情報:

【Windows11】 WindowsUpdate 2022年5月不具合情報 - セキュリティ更新プログラム KB5013943 ［Update 2］ (ニッチなPCゲーマーの環境構築Z, 2022.05.11)
- KB5013943にアプリが起動しない・動作しない不具合。多数の不具合報告で阿鼻叫喚。対処方法あり (ニッチなPCゲーマーの環境構築Z, 2022.05.11)。 .NET Framework 3.5 なアプリで発生する模様。『.NET Framework 3.5 (.NET 2.0 および 3.0を含む)』『Windows Communication Foundation HTTP アクティブ化』『Windows Communication Foundation 非HTTP アクティブ化』の有効化で対応できる。
- Microsoft: Windows 11 KB5012643 update will break some apps (bleepingcomputer, 2022.05.04)。コマンドラインだとこうなるようです:
  
  dism /online /enable-feature /featurename:netfx3 /all
  dism /online /enable-feature /featurename:WCF-HTTP-Activation
  dism /online /enable-feature /featurename:WCF-NonHTTP-Activation
【Windows10】 WindowsUpdate 2022年5月不具合情報 - セキュリティ更新プログラム KB5013942 ［Update 1］ (ニッチなPCゲーマーの環境構築Z, 2022.05.11)
【Windows8.1】 WindowsUpdate 2022年5月注意事項と各KBメモと直リンク KB5014011 / KB5014001等 (ニッチなPCゲーマーの環境構築Z, 2022.05.11)

　関連:

Microsoft May 2022 Patch Tuesday (SANS ISC, 2022.05.10)
May 2022 Security Updates (Microsoft)
Vulnerability mitigated in the third-party Data Connector used in Azure Synapse pipelines and Azure Data Factory (CVE-2022-29972) (Microsoft, 2022.05.09)

■ Chrome Stable Channel Update for Desktop
(Google, 2022.05.10)

　Chrome 101.0.4951.64 公開。13 件のセキュリティ修正を含む。

■ 2022.05.10

》認知症の人が見ている世界 (NHK 解説委員室, 5/9)。補助 AI がほしい。
》海賊版サイト　漫画の被害深刻　無くならないワケ (NHK 解説委員室, 4/29)
》ビットコインの価格がピーク時から55％下落し一時390万円を下回る、ステーブルコインUSTの価格も不安定に (gigazine, 5/10)
》ロシアのチップメーカーがArmアーキテクチャへのアクセスをイギリス政府によって禁止される (gigazine, 5/9)
》ロシアのテレビがハッキングされ全番組名が「あなたの手はウクライナの子どもの血で汚れている」に (gigazine, 5/10)
》 Amazonで購入の中国製バッテリー出火　責任の所在は (産経 / ITmedia, 5/9)

　一方、Amazonで購入した欠陥商品のトラブルを巡る同種訴訟は、米国では消費者側が勝訴する判決が相次いでいる。その背景にあるのは「製造物責任」に対する日米の考え方の違いだ。
　製造物責任法（PL法）に詳しい久留米大法学部の朝見行弘教授によると、日本では製造業者のみが責任を負うのに対し、米国では製造業者を含めた販売業者が負うとされ、AmazonのようなDPF事業者も、販売を仲介する「流通の直接的な環」と評価されるようになったという。
》 TIS、「PCI DSSv4.0」への準拠支援コンサルティングサービスを提供 (クラウド Watch, 5/10)。PCI DSS 4.0 が出ていたのですね。知らんかった。
- Securing the Future of Payments: PCI SSC Publishes PCI Data Security Standard v4.0 (PCI Security Standards Council, 3/31)
- PCI DSSv4.0を読む② v4.0の印象とタイムスケジュール (Fox on Security, 4/27)
  
  ページ数が多くなるとは事前にPCI SSCから聞いてはいたのですが、v4.0の英語版をダウンロードされた方は300ページを超える資料を見て、そっとファイルを閉じたくなった方も多かったのではないでしょうか。(中略) 実はv3.2.1に比べて圧倒的に良い点があります。それが、
  
  ・丁寧な解説が加わった
  
  という点です。
- PCI DSSv4.0を読む③ カスタマイズドアプローチ (Fox on Security, 5/3)
》どんな仕組み？ Googleアシスタントがパスワードを自動的に変更する機能が新登場 (やじうま Watch, 5/9)

Chromeに搭載された、流出済みパスワードをそのまま使用していることを検知すると警告する機能の延長線上にあるもので、Googleアシスタントが自動的に新しいパスワードに書き換えてくれるという機能。 (中略) 今のところAndroid版のChrome限定
》 Amazon、偽レビューの大手ブローカーを提訴。協力していたユーザーの情報提出も要求 (やじうま Watch, 5/10)

対象となっているのは香港を拠点とするExtreme Rebate社で、同社はユーザーに提供した無料製品に関して写真や動画を含んだ15語以上からなる5つ星のレビューを投稿すると、最大4ドルをメンバーに支払うスキームを実行しているとされる。(中略) AmazonはExtreme Rebate以外にも、同じく偽レビューのブローカー3社に対して法的措置を取り、約35万人を対象に行われていた不正スキームをすでに停止させたことを明らかにしている。

　Extreme Rebate 社は Amazon に抵抗したため提訴、ということか。

■ いろいろ (2022.05.10)
(various)

RubyGems.org

Unauthorized gem takeover for some gems (GitHub, 2022.05.06)。CVE-2022-29176
rubygems CVE-2022-29176 explained (Greg Molnar, 2022.05.06)
Updates regarding Rubygems ‘Unauthorized gem takeover for some gems’ vulnerability CVE-2022-29176 (GitLab, 2022.05.09)
RubyGems supply chain rip-and-replace bug fixed – check your logs! (Sophos, 2022.05.09)

FUJITSU Network IPCOM

IPCOM シリーズのコマンド操作端末／Webブラウザ端末とIPCOM間通信における脆弱性について (富士通, 2022.05.09)
FUJITSU Network IPCOMの運用管理インタフェースの脆弱性に関する注意喚起 (JPCERT/CC, 2022.05.09)

■ 2022.05.09

》「Zoom」が無料アカウント主催の全ミーティングを40分に制限 (窓の杜, 5/9)
》著作権侵害の監視をプロバイダーに強制する「SMART著作権法」案に対してInternet Archiveや電子フロンティア財団が反対意見を表明 (gigazine, 5/7)
》 Googleドキュメントに「And. And. And. And. And.」と入力するとクラッシュしてしまうバグが発見される (gigazine, 5/6)
》ランサムウェアスポットライト：Conti (トレンドマイクロセキュリティ blog, 5/9)。関連:
- 米国務省、ランサムウェア「Conti」の指導者に超高額の報奨金 (マイナビニュース, 5/9)、 Reward Offers for Information to Bring Conti Ransomware Variant Co-Conspirators to Justice (state.gov, 5/6)
- Contiランサムウェアの内部構造を紐解く (MBSD, 4/13)
》 Apple・Google・Microsoftがパスワードなしの認証システム「パスキー」の利用拡大に合意 (gigazine, 5/6)、 Apple, Google and Microsoft Commit to Expanded Support for FIDO Standard to Accelerate Availability of Passwordless Sign-Ins (FIDO, 5/5)。 FIDO 標準への対応を拡大すると。 OS レベルで対応されるようになるのかな。
》 NATOサイバー防衛協力センターに韓国が参加--アジアの国で初 (ZDNet, 5/9)。Member nation (Contributing Participant) になったということ。日本は Member nation には含まれないが、職員と資金を提供しているのかな。
- About us (CCDCOE)
  
  The Centre is staffed and financed by Austria, Belgium, Bulgaria, Canada, Croatia, the Czech Republic, Denmark, Estonia, Finland, France, Germany, Greece, Hungary, Ireland, Italy, Japan, Latvia, Lithuania, Luxembourg, Montenegro, the Netherlands, Norway, Poland, Portugal, Romania, Slovakia, Slovenia, South Korea, Spain, Sweden, Switzerland, Turkey, the United Kingdom, and the United States.
- The CCDCOE held a flag-raising ceremony for new Members (CCDCOE, 5/5)。カナダ、韓国、ルクセンブルグ。
- Japan to Join the NATO Cooperative Cyber Defence Centre of Excellence in Tallinn (CCDCOE, 2018.01.12)
　先月も演習やってたみたい。
- ＮＡＴＯサイバー防衛協力センターによるサイバー防衛演習「ロックド・シールズ２０２２」への参加について (防衛省, 4/19)
- Finland Wins Cyber Defence Exercise Locked Shields 2022 (CCDCOE, 4/22)
》トレンドマイクロ Apex One での誤検知 (5/3)。対応済み。
- [復旧済み][誤警告情報][TROJ_FRS.VSNTE222の検出について] (トレンドマイクロ, 5/4)。Microsoft Edge のファイルを誤検出。
》東映アニメーションへの不正アクセスについてまとめてみた (piyolog, 4/30)
》 Ubuntu 22.04 LTSの新機能，リモートデスクトップのRDPサポートを使用する (Ubuntu Weekly Recipe, 4/27)

■ いろいろ (2022.05.09)
(various)

OpenSSL

OpenSSL Security Advisory (OpenSSL, 2022.05.03)。OpenSSL 1.0.2ze / 1.1.1o / 3.0.3 で修正。

iida さん情報ありがとうございます。
JVNVU#93032579 - OpenSSLに複数の脆弱性 (JVN, 2022.05.06)

QNAP QVR

QSA-22-07 - Vulnerability in QVR (QNAP, 2022.05.06)。QVR 5.1.6 build 20220401 以降で対応。

QNAP QTS, QuTS, QuTScloud

QSA-22-16 - Multiple Vulnerabilities in QTS, QuTS hero, and QuTScloud (QNAP, 2022.05.06)。remote から任意のコマンドを実行できたり、悪意あるコードを挿入できたりするなど。最新のファームウェアで対応されている。

Netatalk

Netatalk 3.1.13 (Netatalk, 2022.03.23)。7 件のセキュリティ修正を含む。
Synology-SA-22:06 Netatalk (Synology, 2022.04.28)。DSM 7.1-42661-1 以降で対応。DSM 7.0 / 6.2 等はまだ。
Multiple Vulnerabilities in Netatalk (QNAP, 2022.04.25)。QTS 4.5.4 系は QTS 4.5.4.2012 build 20220419 以降で対応。他はまだ。

Cisco Enterprise NFV Infrastructure Software

Cisco Enterprise NFV Infrastructure Software Vulnerabilities (Cisco, 2022.05.04)。 Cisco Enterprise NFVIS 4.7.1 で修正。

F5 BIG-IP

F5 BIG-IP Unauthenticated RCE Vulnerability (CVE-2022-1388) (SANS ISC, 2022.05.08)
K23605346: BIG-IP iControl REST vulnerability CVE-2022-1388 (F5, 2022.05.04)
K55879220: Overview of F5 vulnerabilities (May 2022) (F5, 2022.05.04)。CVE-2022-1388 の件の他にもいろいろ。

Android

Google、Androidの2022年5月セキュリティ更新を発表 (窓の杜, 2022.05.06)

ClamAV

ClamAV 0.105.0, 0.104.3, 0.103.6 released (ClamAV, 2022.05.04)。6 件のセキュリティ修正を含む。

CVE-2022-20803: Fixed a possible double-free vulnerability in the OLE2 file parser. Issue affects versions 0.104.0 through 0.104.2. Issue identified by OSS-Fuzz.

CVE-2022-20770: Fixed a possible infinite loop vulnerability in the CHM file parser. Issue affects versions 0.104.0 through 0.104.2 and LTS version 0.103.5 and prior versions. Thank you to Michał Dardas for reporting this issue.

CVE-2022-20796: Fixed a possible NULL-pointer dereference crash in the scan verdict cache check. Issue affects versions 0.103.4, 0.103.5, 0.104.1, and 0.104.2. Thank you to Alexander Patrakov and Antoine Gatineau for reporting this issue.

CVE-2022-20771: Fixed a possible infinite loop vulnerability in the TIFF file parser. Issue affects versions 0.104.0 through 0.104.2 and LTS version 0.103.5 and prior versions. The issue only occurs if the "--alert-broken-media" ClamScan option is enabled. For ClamD, the affected option is "AlertBrokenMedia yes", and for libclamav it is the "CL_SCAN_HEURISTIC_BROKEN_MEDIA" scan option. Thank you to Michał Dardas for reporting this issue.

CVE-2022-20785: Fixed a possible memory leak in the HTML file parser / Javascript normalizer. Issue affects versions 0.104.0 through 0.104.2 and LTS version 0.103.5 and prior versions. Thank you to Michał Dardas for reporting this issue.

CVE-2022-20792: Fixed a possible multi-byte heap buffer overflow write vulnerability in the signature database load module. The fix was to update the vendored regex library to the latest version. Issue affects versions 0.104.0 through 0.104.2 and LTS version 0.103.5 and prior versions. Thank you to Michał Dardas for reporting this issue.

■ 2022.05.06

■ Firefox 100.0 / ESR 91.9.0、Firefox for Android 100、Thunderbird 91.9.0 公開
(Mozilla, 2022.05.03)

　Firefox も 3 桁になりました。セキュリティ修正を含みます。

Firefox 100 がリリースされた (mozillaZine, 2022.05.04)
Firefox for Android 100 がリリースされた (mozillaZine, 2022.05.04)
Thunderbird 91.9.0 がリリースされた (mozillaZine, 2022.05.04)

過去の記事: 2022 | 2021 | 2020 | 2019 | 2018 | 2017 | 2016 | 2015 | 2014 | 2013 | 2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998

[私について]