# オープニングトーク 今日の10分セキュリティラジオ ようこそ、今日の10分セキュリティラジオへ 月曜担当パーソナリティーの大春と セキュリティジョッキーの松野です 月曜の配信は、見習いセキュリティエンジニアである私、大春が 気になるセキュリティニュースを セキュリティ専門家の松野と共に読み解いていく セキュリティをテーマにしたラジオです 本日もよろしくお願いします よろしくお願いします、ということでね 今日もVoicyさんのハッシュタグから 好きな建築ということで 建物でしょうかね 大春さん、何か好きな建築は ございますでしょうか そうですね、好きな建築となって 真っ先に思い浮かぶのは 東京タワー おお、確かに まあ比較的 今の会社のね 会社があった場所だったので 近くで毎日見る機会はあったんですけど 毎日見ても飽きない 確かに なのでね、やっぱり 東京タワーって スカイツリーとかもあることはあるんですけど やっぱり東京タワーが 一番 魅力的な建築物だなって思うんですけど そうですね 我々の家の近くというか もっとオフィスがあった場所の近くに 東京タワーがあったりとか するわけなんですけど 最近その周りが 麻布大ヒルズでしたっけ ビル群というか 本当に建物の高さ的には 一生懸命なんですかね 新しいものがどんどん立っていくんですけど なんですかね 東京タワーを見てた時の 元気が出る感じ ああ、わかります 色とかね 色々理由はあるとは思うんですけど どうしてもちょっと場所離れますけど 東京スカイツリーでしたっけ だったりとか 他にもね 大きかったり高かったり新しかったり というものがたくさんあるんですけども やっぱりですよ 東京タワーを見てる時の 感じる気持ちというのは ちょっと僕もね 違うなというかやっぱりいいなという風に 思うところもありますよね 特にその 新しさ、大きさみたいな さっきも言いましたけども そういったところ以外の何かが東京タワーに 宿っているというか 歴史もありますからね 僕らが子供の頃にあるという そういったところがあるかもしれませんね よろしくお願いします よろしくお願いします 僕個人としては東京競馬場が 一番の建築物かな # WordPress 用プラグイン Download Plugins and Themes from Dashboard にパストラバーサルの脆弱性 ワードプレス用プラグイン、ダウンロードプラグイン&テーマフロムダッシュボードにパストラバーサルの脆弱性 独立行政法人情報処理推進機構及び一般社団法人JPサートコーディネーションセンターは5月17日 ワードプレス用プラグイン、ダウンロードプラグイン&テーマフロムダッシュボードにおけるパストラバーサルの脆弱性についてJVNで発表した。 こちらの記事を簡単に解説をお願いできますでしょうか。 ワードプレスのプラグインに脆弱性が発見されています。 ご利用中の方はアップデートを検討してください。 発見された脆弱性の内容とその対策について説明します。 今回の脆弱性は、WP Factory LLCが提供するワードプレス用プラグイン、ダウンロードプラグイン&テーマフロムダッシュボードにパストラバーサルの脆弱性が存在するというものです。 影響を受けるシステムは、ダウンロードプラグイン&テーマフロムダッシュボード1.8.6より前のバージョンです。 影響として、Switchテーマ権限を持つ攻撃者によって、サーバー上の任意のファイルを取得される可能性があるということです。 深刻と表すCVSSバージョン3の基本値は2.7で、4番目に高い注意とされています。 脆弱性の詳細は、本脆弱性に割り当てられたCV番号、CVE-2024-35162で検索していってください。 今回は、ワードプレス用プラグインにパストラバーサルの脆弱性が見つかったことについての記事を取り上げています。 全世界で幅広く利用されているソフトウェアであるワードプレス。 その拡張機能であるプラグインに脆弱性が見つかったという話題は、以前にもこのセキュラシーで取り上げたこともありました。 今回の記事には、パストラバーサルの脆弱性が発見されたとのことですが、このパストラバーサルとはどういった攻撃なのでしょうか。 簡単に教えていただけますでしょうか。 パストラバーサルとは、Webアプリケーションやプログラムの脆弱性を悪用した攻撃手法の一つです。 開発者が想定する経路以外から、本来はアクセスできないはずのファイルや情報を取得されてしまうことで、システム内の情報が漏えいする可能性があります。 例えば、大原さんが自宅に入ろうとする際に、1階のオートロックを解除して、エレベーターに乗り、家の鍵を開けて自分の部屋に入ることができると思います。 しかし、1階のオートロックが壊れていたり、部屋の鍵をかけていなかったりした場合、非常階段を使ってベランダの窓から侵入することができるかもしれません。 パストラバーサルも同様に、攻撃者はウェブサイトやプログラムの脆弱性を悪用して、本来はアクセスできないはずのファイルや情報に対して不正にアクセスできる場合があります。 その結果、ウェブサイトのパスワードなど、本来はアクセスできない機密情報を摂取することができた場合、システムが乗っ取られてしまう可能性があります。 また、記事には、権限を持つユーザーによってサーバー上の任意のファイルが取得される可能性があるとありました。 権限を持つユーザーによっての操作が必要とのことで、脅威の度合いはそう高くはないようにも思えますが、それでも重要な情報などが含まれるファイルが取得されることは危険であることに違いはありません。 このパストラバーサル攻撃への対策には、どういったものがあるのでしょうか。 はい。パストラバーサル攻撃への対策として、ソースコードの修正とファイルシステムへのアクセス制限が挙げられます。 まず、脆弱性自体を修正するためには、ソースコードの修正が必要です。 具体的には、ユーザーの入力に対するチェックを徹底して、不正の文字列や予期せぬ値が含まれていないことを厳格に検証するように修正します。 検証方法は大きく分けて、決められた値のみを許可するホワイトリスト形式と、禁止された値を拒否するブラックリスト形式が挙げられます。 また、脆弱性が存在していても、ユーザーやプログラムがアクセスできるファイルやディレクトリを厳格に制限し、不必要なアクセスを遮断することで脆弱性の影響を緩和することができる場合があります。 具体的には、ファイルシステムのパーミッションを必要なアクセスのみに限定し、万が一脆弱性のあるプログラムから任意のファイルにアクセスしても読み取りできないように設定します。 ウェブサイトであれば、ウェブアプリケーションから読み取れるファイルは、公開するウェブコンテンツのみに限定するべきです。 今回は、パストラバーサーの脆弱性の内容とその対策についてお届けしました。 お金はかかりますが、脆弱性を洗い出すには脆弱性診断。ソースコードが修正できない場合は、WAFも有効な対策となりますので、システムの環境に合わせて検討してみてください。 なるほど。本来見られないはずのものが見えてしまうということは、それを見せないようにすることが対策になりますね。 作った側も予期しない形でファイルの内容が見られるようになるパストラバーサーの脆弱性。 そういう状態になっていないかをチェックする意味でも、脆弱性診断は有効になりそうですね。 また一つ勉強になりました。 # エンディングと今日のひとこと 本日の放送は以上となります。 お届けしたニュースは、サイバーセキュリティ専門ニュースサイトスキャンネットセキュリティと株式会社シュートセキュリティの提供でお送りしました。 ながらできてダメになる今日の10分セキュリティラジオは、毎週月曜・水曜・金曜の朝7時15分より最新回を配信しております。 同じく月曜・水曜の夜8時から、録音では聞けないセキュラジー制作過程の裏側をVoicyライブアワーから生放送でお届けしています。 そして土曜日は1週間の内容をダイジェストでお送りする、山田さんのセキュラジ切り抜きチャンネルを放送しております。 ぜひこちらも聞いてみてください。 早いもので5月も残り1週間を切りました。 5月のこの時期になると、自動車税の支払期限がいつも頭に浮かびます。 ただ、自分は車を手放してからもう15年ほどになるので、頭を悩ますなんてことは特にないのですが、それでも何か気になったり、税のことを調べたりするきっかけになる時期にもなっていたりします。 税金って当たり前のように払っているんですけど、難しいですよね。 それでは次回、水曜、宮本さんの放送もお楽しみに。