2023Q1 脆弱性トピック

脆弱性（OSS以外のものも含む）に関するトピックを集めています。適宜更新していきます。

2022Q4脆弱性トピックはこちら

2023/02/06

Jira Service Management Server / Data Center にCriticalの脆弱性(CVE-2023-22501)

• Atlassian Blogより
• JSDSERVER-12312
• Jira Service Management Server/Data CenterにCriticalの脆弱性(CVE-2023-22501)が出ています。
• CVE-2023-22501
  • 対象となる製品
    • Jira Service Management Server/Data Center 5.3.0-5.3.1, 5.4.0 – 5.5.0
    • 9.4 Critical
• 対象となる製品を使っている場合には早急に対処しましょう。

2023/02/02

QNAPにRCEの脆弱性（CVE-2022-27596）

• QNAP Security Advisoryより
• QTS 5.0.1/ QuTS hero h5.0.1のQNAP デバイスで、脆弱性(CVE-2022-27596)が出ています。この脆弱性を悪用することで、リモートの攻撃者が悪意のあるコードを挿入できるようになります。
• CVE-2022-27596
  • 対象となる製品
    • QTS 5.0.1.2234 ビルド 20221201より前
    • QuTS hero h5.0.1.2248 ビルド 20221215より前
  • 9.8 Critical
  • Vector:  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• 該当のQNAP製品を使用している場合には早急に更新しましょう。

VMWare vRealizeの RCEの脆弱性のPoCがリリース

• bleepingcomputerより
• VMWareのアドバイザリはこちら
• CISAアドバイザリはこちら
• Horizon3のブログはこちら
• VMware vRealize Log Insightに４つの脆弱性が見つかっています。Horizon3がIoC及びPoCを公開しています。
• CVE-2022-31704
  • Base Score: 9.8 Critical
  • Vector:  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CVE-2022-31706
  • Base Score: 9.8 Critical
  • Vector:  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CVE-2022-31710
  • Base Score: 7.5 High
  • Vector:  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
• CVE-2022-31711
  • Base Score: 5.3 Medium
  • Vector:  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

2023/02/01

次回OpenSSLのリリースは2023/02/07。重要度がHighの脆弱性が公開される模様

• OpenSSL Announce MLより
• 次回OpenSSLのリリースは2023/02/07(UTC)を予定しているそうです。重要度がHighの脆弱性が公開される予定です。まずは備えておきましょう。

2023/01/22

MSIのマザーボードでUEFIセキュアブート設定が安全でない（らしい）

• bleepingcomputerより
• Dawid Potocki氏の研究（MSIに報告済み）によると、290以上のMSI マザーボードが、デフォルトの UEFI セキュア ブート設定の影響により、署名が間違っていたり不足していたり​​しても、OSを実行できる状態にあるらしいです。
• 本件に関するMSIの声明はこちらです。
• 事実関係は未だ不明ですので、あまり騒ぎすぎない様にしましょう。

2023/01/12

Ciscoが幾つかのVPNルータの緊急の脆弱性を公開。アップデートはないためポートの無効化等で回避

• Ciscoのアドバイザリはこちら
• Ciscoが幾つかのVPNルータに対するCritical(CVSSベーススコア9)の脆弱性を公開しました。リンク先の情報を確認し、該当の機器を使用している場合には、情報に従い回避策（機能の無効化等）を実行しましょう。

2023/01/05

Honda, Nissanなどを含む多くの車にAPIの脆弱性

• 研究者のブログ
• Honda, Nissan等を含む多くの車にAPIの脆弱性が見つかっています。
• Honda, Nissanはリモートでロック操作、エンジン操作、ヘッドライト操作、クラクション操作等が出来る様です。
• ブログにはメルセデス・ベンツの攻撃の様子等が詳しく記載されていますので確認してみると良いと思います。

2023/01/04

Synology VPN Plus ServerにRCEの脆弱性(Critical: CVE-2022-43931)

• Synologyのサポートサイトより
• Synology VPN Plus ServerにCriticalの脆弱性が出ています。
  • 影響するバージョン：1.4.3-0534より前／1.4.4-0635より前のバージョン
  • Priority: Critical
  • CVSS Base: 10.0
  • CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
• 詳細
  • 該当のバージョンのSynology VPN Plus Serverでは、リモートデスクトップ機能に境界外書き込みの問題があり、攻撃者はこれを利用してリモートから任意のコードを実行できる可能性があります。
• 該当のバージョンの製品を使っている場合には早急に更新したほうが良いでしょう。