# オープニング #夏の夜にぴったりなおつまみ どうもー。セキュリティジョッキーの松野です。 個社のセキュリティ企業を立ち上げて、300人以上のセキュリティ人材を排出した 屈指のセキュリティ企業家である私、松野が、東京都関連のセキュリティ組織で働きつつ、サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は夏の夜にぴったりなおつまみに関する話なんですけども、 最近ですね、結構ハマっているのがですね、 冷凍ささみってあるじゃないですか。 たぶんですね、1キロ、どうでしょう。800円から900円ぐらいで買えるんですけども、それをですね、普通に解凍するんですね。 ちょっとめんどくさかったらですね、解凍せずに、いきなり鍋にですね、水を張って、その中にも入れてしまうと、凍ったものですね。 その水の状態から沸騰させていくんですけども、大体ですね、ふつふつと言い始めてから5分ぐらい茹でます。 その茹で終わったらですね、さらに火を消して、10分から15分ぐらいですね、放置しておくと出来上がりでございます。 それをですね、細かく裂いて、お好みのですね、ドレッシングをかけて食べると、これがですね、非常に美味しいと。 かつですね、100グラムあたり約20数グラムのですね、タンパク質が取れるマッチョ飯でございます。 ぜひ皆さまもですね、お試しいただければと思います。はい、ということで今回は、国内の脆弱性通知で報告された CMS製品に関する複数の脆弱性について取り上げております。 この放送を通じてリスナーの皆さんは、影響範囲の見極め方や優先的に行うべき更新や検証手順、そして運用側でできるリスク低減策について 理解を深めていただければと思います。それではどうぞ! # PowerCMS に複数の脆弱性 パワーCMSに複数の脆弱性 独立行政法人情報処理推進機構IPA及び一般社団法人JPサートコーディネーションセンター JPサートCCは7月31日、パワーCMSにおける複数の脆弱性について ジャパンバルナビリティノーツJVNで発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。今回の発表は国内の脆弱性通報サービスにより公表されたもので 外部のセキュリティ研究者からの報告を受けて製品ベンダーが確認、対策情報を提示したものです。 対象は複数のバージョン系列にまたがるコンテンツ管理システムで 反射型及び格納型のクロスサイトスクリプティング ファイルアップロードやバックアップの処理におけるパストラバーサル CSVの数式要素に対する無害化不備など 利用者や管理者のブラウザ上で任意のスクリプトやコードが実行される可能性があるという深刻な欠陥が含まれます。 影響を受ける環境では情報漏洩や改ざん、権限脱出につながるリスクがあり ベンダー提供の修正版へのアップデートが推奨されています。 まずは該当製品のバージョン確認と公開された対策情報に基づく優先的な適用が必要です。 反射型クロスサイトスクリプティングという用語がありますが、具体的にどういう仕組みで攻撃されるのでしょうか? はい。反射型クロスサイトスクリプティングは 攻撃者が採掘したURLなどに埋め込む悪意のあるスクリプトコードが サーバーからの応答にそのまま反映され、被害者がそのURLを開くとブラウザ上でコードが即時実行される攻撃です。 特徴は、利用者の入力が検証されずに応答に埋め込まれる点で 通常はユーザーセッションの乗っ取り、クッキーや認証情報の摂取、見かけ上正当な画面での不正操作誘導に使われます。 対策として、入力のエスケープや出力時のコンテキストに応じたサニタイズ、コンテンツセキュリティポリシーの導入が有効です。 ファイルアップロードのパストラバーサルについて、管理者側でできる早急な確認手順はありますか? はい。まず、影響を受ける可能性のあるサーバーで、公開済みのパス操作やアップロード処理に関わるログを確認してください。 不審なアップロードや意図しないファイル上書きの痕跡、外部からのディレクトリ移動を示すパラメータがないかを確認することが重要です。 次にファイル保存先の権限設定を見直し、アップロードされたファイルが実行されない場所へ保存されるようにする、 ファイル名やパスを正規化して許可リスト方式で処理するなどの暫定対策を講じてください。 最終的にはベンダーの修正版適用で根本対策を実施します。 CSVファイル中の数式要素の無害化不備は、実際どんな被害が出る可能性がありますか? はい。CSVに入った数式は、表計算ソフトで開いた際に実行される可能性があり、外部コマンド呼び出しやシェル実行につながる場合があります。 具体的には、業務端末でエクスポートされたCSVを開いたユーザーの権限で、悪意ある処理が走り、ファイルの上書きや機密データの送信、マルウェアの設置など二次被害を引き起こす恐れがあります。 対策としては、CSV出力時に数式の先頭文字をエスケープする、ダウンロードの際に注意喚起を行う、受信側で表計算ソフトの自動計算を無効にする運用が推奨されます。 今回のような複数の脆弱性が出た場合、長期的にどんな教訓を運用側は学ぶべきでしょうか? はい。まず、ソフトウェアのライフサイクル管理と定期的な脆弱性チェックの重要性を再認識する必要があります。 ベンダーの更新通知を受け取れる仕組みを整え、速やかな影響範囲の特定と、優先度付けを行う運用体制を整えることが教訓です。 また、多層防御の観点から、Webアプリケーションファイアウォールやコンテンツのサニタイズ、アクセス制御の強化を併用し、万が一の脆弱性悪用時にも、被害を限定できる設計、運用が求められます。 最後に、外部監査やペネトレーションテストを定期的に実施する習慣も重要です。 なるほど。今回の放送を通じて、コンテンツ管理システムに見つかった複数の脆弱性について、影響の種類と優先的に行う確認、対策、長期的な運用改善まで学べました。 まずはバージョン確認とベンダーの修正版適用、そしてログ確認や権限管理の見直しが大切ということですね。 また一つ、勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回、CMSに発見された脆弱性だったわけなんですけども、 よくですね、AというCMSからBというCMSに変更したらいいですか、ですとか、 あとはですね、そもそもCMSを使ってなくて、 何か新しいCMSを導入すればセキュリティーって上がりますか、という質問をいただくんですけども、 結論ですね、そのCMSの種類を変えただけではですね、 そのセキュリティーが必ず向上するというふうには言えないわけですね。 これはですね、当然そのCMSを導入することによって、 運用周りがですね、改善されるということは期待されるわけなんですけども、 それでもですね、そのCMSのアップデートを怠っていたりですとか、 あとはよくあるですね、プラグインをですね、無作為に導入してしまうということでもですね、 脆弱性は顕在化されてしまうということがあります。 ですので、よく使われている、例えばワードプレスとかでもですね、 その導入によってですね、セキュリティの良し悪しが変わるというよりはですね、 ワードプレスやってもしっかりとアップデートをして、 プラグインはですね、しっかりと定期的にですね、 更新がされているものを選択していくということですね。 こういったところでようやくですね、 セキュリティの向上が目指せるということになります。 ホームページご利用中の皆さんはですね、 ぜひこの辺り参考にしていただければと思います。 今日の10分のセキュリティラジオは、 月曜から金曜の朝7時15分に配信しております。 そして、わからないことは今すぐ聞こう、何でも聞ける、 セキュラジ製作室は水曜夜8時から絶賛生放送中です。 さらに土曜日はセキュラジAI民社の まとめチャンネルを放送しております。 ぜひこちらも聞いてみてください。 それではまた次回のレギュラー配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you.