セキュリティホール memo - 2022.02

Last modified: Tue Jan 31 16:40:39 2023 +0900 (JST)


 このページの情報を利用される前に、注意書きをお読みください。


2022.02.28

追記

2022 年 1 月のセキュリティ更新プログラム (月例) (2022.01.14)

 ReFS に接続できなかった件を含めた解説:

  • Windows 10の最新はReFS v3.4、Windows 11はReFS v3.7、そしてどちらもReFS v2、さて何のことでしょう? (@IT, 2022.02.24)

    問題の影響を受けたのは、「USB外部ドライブを含むリムーバブルメディア」でReFSを使用していた場合のようです。そして、以下のドキュメントに記載されているように、ReFSはリムーバブルメディアでの使用はサポートされていません。(中略) USB外付けディスクをReFSでフォーマットして使うという、サポートされていないというか、あまり意味のない使い方をしていた場合、2022年1月のBリリースインストール後にボリュームが「RAWディスク」と表示され、正常にマウントできなくなったということです。幸い、1週間後にその問題の修正を含む定例外の更新プログラムが提供されたので、サポートされていない使われ方でしたが、一応、“回復性”の約束は守られました。

2022.02.25


2022.02.24

いろいろ (2022.02.24)
(various)

WordPress

Cyrus-SASL

Trend Micro ServerProtect 5.8 / 6.0

Vim

ASUSTOR NAS

VMware ESXi、Workstation / Player、Fusion

Expat

LibreOffice


2022.02.22

追記

Apple 方面 (iOS / ipadOS, macOS, Safari) (2022.02.10)

 関連: WebKitGTK and WPE WebKit Security Advisory WSA-2022-0003 (oss-sec ML, 2022.02.17)

NSO Group 方面 (2021.11.11)

 関連:

  • 弁護士・ジャーナリストを標的に使われたスパイウェアPegasus、誤動作で残した偽画像ファイルから暴き出される (techcrunch, 2022.02.22) (魚拓)

  • Pegasus、ChrysaorなどAPT関連のマルウェアからモバイルデバイスを守るために (Kaspersky, 2022.02.22)

    高度なスパイウェアからiOSデバイスを守るには
    毎日、再起動する:Amnesty InternationalとCitizen Labが行った調査によると、Pegasusの感染チェーンは、持続性のないゼロデイのゼロクリック攻撃に依存していることがしばしばです。このため、再起動を日常的に行えば、デバイスをクリーンな状態に保つことが可能です。デバイスを毎日再起動すれば、攻撃者たちは何度も感染を試みなければなりません。そのため、いずれ攻撃が検知される可能性が高くなりますし、クラッシュが発生するかもしれません。また、攻撃の痕跡がログに残り、密かに進行する感染が検知される可能性もあります。これは単なる理論上の話ではありません。かつて私たちは、ゼロクリックエクスプロイト(おそらくFORCEDENTRY)を通じてモバイルデバイスが標的となった事例を分析したことがあります。そのデバイスの所有者は日常的に再起動を行っており、攻撃を受けた24時間後にもデバイスを再起動させていました。攻撃者たちは複数回にわたりそのデバイスを標的にしましたが、再起動によって何度も撃退された後、最終的には攻撃を断念しました。

    毎日再起動せよ、が筆頭項目。 続くのは iMessage 無効化、FaceTime 無効化、常に最新の iOS を使用、メッセージに記載されたリンクはクリックしない、Chrome / Safari ではなく Firefox Focus など WebKit に依存しないブラウザを使う、常時 VPN を使う (トラフィック隠蔽のため)、ジェイルブレイク警告アプリを入れる、iTunes バックアップを月1で作成、時々 sysdiag を実行しログを外部ストレージに保存。 iTunes バックアップについては以下のとおり:

    iTunesのバックアップを月に1度の頻度で作成する:こうすることで、Amnesty Internationalが提供する素晴らしいMVT(Mobile Verification Toolkit)パッケージ(詳細は後述。リンク先は英語)を使用し、感染状況の診断と発見が可能です。

    Android スマホについても同様、だそうです。

いろいろ (2022.02.22)
(various)

EC-CUBE

 いずれも「緊急度: 低」とされている。

Synology

  • Synology-SA-22:03 DSM (Synology, 2022.02.22)。remote の認証済みユーザーが任意のコマンドを実行できる。 DSM 6.2 用の patch はあるが、7.0 用はまだない。

トレンドマイクロ ウイルスバスタービジネスセキュリティ、ウイルスバスタービジネスセキュリティサービス、Trend Micro Apex One

トレンドマイクロ ウイルスバスター for Mac

Foxit PDF Reader


2022.02.21

いろいろ (2022.02.21)
(various)

PHP


2022.02.18


2022.02.17

2022 年 2 月のセキュリティ更新プログラム (月例)
(Microsoft, 2022.02.09)

 先週の話なんだよなあ。前回の VPN ぶっつぶしみたいな大技は出てないっぽい。

2022.02.18 追記:

 Kestrel Web Server って何? と思って調べてみたら、ASP.NET Core に含まれる Web サーバーなのですね。

2022.04.20 追記:

 Known Exploited Vulnerabilities Catalog (CISA) に複数登録されています。

 どちらも Exploitation More Likely ですね。

いろいろ (2022.02.17)
(various)

Drupal

VMware


2022.02.16

追記

NSO Group 方面 (2021.11.11)

Firefox 97.0 / ESR 91.6.0、Firefox for Android 97、Thunderbird 91.6.0 公開
(Mozilla, 2022.02.08)

 積み残しが多すぎる。

 さらに Thunderbird 91.6.1 が公開されたそうです。セキュリティ修正を含みます。

2022.03.07 追記:

 Firefox 97.0.2 / ESR 91.6.1、Firefox for Android 97.3.0、 Thunderbird 91.6.2 が公開されています。 セキュリティ修正を含みます。


2022.02.15

Apple 方面 (iOS / ipadOS, macOS, Safari)
(Apple, 2022.02.10)

 WebKit の 0-day 欠陥 CVE-2022-22620 の修正です。

2022.02.22 追記:

 関連: WebKitGTK and WPE WebKit Security Advisory WSA-2022-0003 (oss-sec ML, 2022.02.17)

Chrome Stable Channel Update for Desktop
(Google, 2022.02.14)

 Chrome 98.0.4758.102 公開。0-day 1 件を含む 11 件のセキュリティ修正あり。 Extended stable も 98.0.4758.102 になるそうです。

いろいろ (2022.02.15)
(various)

Wireshark

エレコム 無線 LAN 製品

  • 無線LANルーター・中継器のセキュリティ向上のための ファームウェアアップデートのお願い (エレコム, 2022.02.08)。 WRC-300FEBK-R、WRH-300XX3シリーズ、WRH-300XX3-Sシリーズ、 WRH-300BK3、WRH-300WH3、 WRH-300BK3-S、WRH-300WH3-S、WRH-300LB3-S、 WRH-300PN3-S、WRH-300YG3-S、WRH-300DR3-S が対象だそうで。更新ファームウェアがあるそうです。 (手動による更新が必要)

  • FragAttacks対策に関するセキュリティ向上のための ファームウェアアップデートのお願い (エレコム, 2022.02.08)。 WRC-X1800GS-B、 WRC-X1800GSH-B、 WMC-2LX-B、 WSC-X1800GS-B、 WMC-X1800GST-B、 WRC-2533GS2-B、 WRC-2533GS2-W、 WRC-1167GS2-B、 WRC-1167GS2H-B、 WRC-2533GST2、 WRC-2533GST2SP、 WRC-2533GST2-G、 WRC-1167GST2、 WRC-1167GST2A、 WRC-1167GST2H、 WRC-2533GSTA、 WRC-2533GST、 WRC-1900GST、 WRC-1750GS、 WRC-1750GSV、 WRH-733GBK、 WRH-733GWH、 WRH-300BK3、 WRH-300WH3、 WRH-300BK3-S、 WRH-300WH3-S、 WRH-300LB3-S、 WRH-300PN3-S、 WRH-300YG3-S、 WRH-300DR3-S、 WTC-C1167GC-B、 WTC-C1167GC-W、 WRC-300FEBK-R が対象だそうで。
    更新ファームウェアがあるそうです。大半は自動更新されるようですが、 WRH-733GBK、 WRH-733GWH、 WRH-300BK3、 WRH-300WH3、 WRH-300BK3-S、 WRH-300WH3-S、 WRH-300LB3-S、 WRH-300PN3-S、 WRH-300YG3-S、 WRH-300DR3-S、 WRC-300FEBK-R は手動による更新が必要だそうで。

Intel 方面 (BIOS、ファームウェア、ドライバー等)

Adobe Premiere Rush / Illustrator / Photoshop / After Effects / Creative Cloud Desktop


2022.02.14

Security update available for Adobe Commerce | APSB22-12
(Adobe, 2022.02.13)

 Adobe Commerce / Magento Open Source 2.4.3-p1 以前 / 2.3.7-p2 以前に任意のコードの実行を招く 0-day 欠陥。CVE-2022-24086。 ただし Adobe Commerce 2.3.3 以前にはこの欠陥は存在しない。

 Adobe Commerce / Magento Open Source MDVA-43395_EE_2.4.3-p1_v1 で修正されている。 https://support.magento.com/hc/en-us/articles/4426353041293-Security-updates-available-for-Adobe-Commerce-APSB22-12- から入手できる。


2022.02.10


2022.02.09


2022.02.08


2022.02.07

いろいろ (2022.02.07)
(various)

Insyde H2O UEFI BIOS

NVIDIA GPU ドライバー

ESET セキュリティ製品

トレンドマイクロ Apex One / ウイルスバスター Corp. / ウイルスバスタービジネスセキュリティ

Linux Polkit パッケージ

追記

コインハイブ事件、最高裁で“逆転無罪”に 「おめでとうございます!」「長い間本当にお疲れさまでした」と祝福の声 (2022.01.20)


2022.02.02

Chrome Stable Channel Update for Desktop
(Google, 2022.02.01)

 Chrome 98 が stable に。 27 件のセキュリティ修正を含みます。 ひさびさにプラットホームでバージョンが異なります。

Apple 方面 (iOS / ipadOS, tvOS, watchOS, macOS, Safari)
(Apple, 2022.01.26)

 書くのが遅すぎる件。

 関連:

2023.01.31 追記:

 macOS の PackageKit に関する欠陥 CVE-2022-22583 について。

OpenSSL Security Advisory [28 January 2022]
(OpenSSL, 2022.01.28)

 OpenSSL 1.1.1m / 3.0.1 公開。MIPS32 および MIPS64 にのみ影響する欠陥 BN_mod_exp may produce incorrect results on MIPS (CVE-2021-4160) を修正。iida さん情報ありがとうございます。

 OpenSSL 1.0.2 にも影響する。プレミアサポート版で修正されている。

2022.03.02 追記:

 WinSCP 5.19.6 (hotfix) (WinSCP, 2022.02.22)。OpenSSL 1.1.1m、Expat 2.4.6。 iida さん情報ありがとうございます。

Samba 4.15.5, 4.14.12, 4.13.17 Security Releases
(oss-sec ML, 2022.02.01)

 Samba 4.15.5, 4.14.12, 4.13.17 公開。3 件のセキュリティ修正を含む。


2022.02.01


[セキュリティホール memo]
[私について]