# オープニング #我が家のズボラ飯 どうもー。セキュリティジョッキーの松野です。 5社のセキュリティ企業を立ち上げて、300人以上のセキュリティ人材を輩出した屈指のセキュリティ企業家である私、松野が、 東京都関連のセキュリティ組織で働きつつ、サイバーセキュリティの最新ニュースについて解説しております。 ということで、今日は我が家のズボラ飯に関する話なんですけども、 とっておきのズボラ飯がありまして、僕が考えたというものではないんですけども、 マッチョ界隈で重宝されている沼という食事というか、ご飯がございます。 どういったものかというと、炊飯器に食べたいものを入れる。以上と。 まさにズボラ飯なんですけども、特にマッチョ界隈では、例えば玄米とか白米でもいいんですけども、 それに対して鶏むね肉ですね。あとはブロッコリー。これ全部ぶち込むわけですね。 原料器であれば水多めに入れて、お腹を膨らませるみたいな。あとは炊き上がれば出来上がりと。 非常に簡単なんですよね。その時に入れた総カロリー量で、それ以上出ることはないわけですね。 1日のご飯を全て済ませるというので、原料がはかどるという沼というズボラ飯でございました。 ご参考になれば幸いです。ということで、今回は ASP.NET Core に関する高リスクの脆弱性について取り上げております。 この放送を通じてリスナーの皆さんは、この脆弱性がどのような影響を及ぼすのか、 現場で取るべき対処や確認手順について理解を深めていただければと思います。 それではどうぞ。 # ASP.NET のセキュリティ機能バイパスの脆弱性 ASP.NETのセキュリティ機能バイパスの脆弱性 SKY株式会社は11月14日、ASP.NET Coreの脆弱性、CVE-2025-55315について発表した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。今回の発表は、SKY-C Client Viewの一部オプション機能で使用されているASP.NET Coreに セキュリティ機能をバイパスされる脆弱性が見つかったというものです。 脆弱性のCVSS基本値は9.9と非常に高く、 悪用されれば認証や権限チェックを迂回される可能性があり、 情報漏洩や不正操作につながる恐れがあります。 影響対象は申請、承認ワークフロー、ファイル受け渡し、モバイル情報収集サーバーの各オプションで、 特にiPhoneやiPad対応のMDM機能を使っている顧客が該当します。 ベンダーは対策済みのASP.NET Coreへ更新する手順を保守契約ユーザー向けサイトで公開しており、 まずは該当サーバーを特定して当該バージョンへのアップデートを行うことが推奨されています。 緊急的な対応としてはアクセス制御やネットワーク分離で攻撃可能性を下げつつ、 早急に修正パッチを適用することが必要です。 この脆弱性は具体的にどのような技術的問題なのでしょうか? はい。今回の脆弱性はASP.NET Coreの内部処理で認証や権限チェックを回避できてしまう、設計上または実装上の欠陥に起因します。 通常はフレームワークがリクエストの属性を検証してアクセス制御を行いますが、 その検証が不十分な場合、攻撃者が特定の入力やリクエスト経路を用いて本来拒否される処理を実行できるようになります。 その結果、管理者権限を必要とする操作が不正に行われたり、機密データにアクセスされるリスクが発生します。 攻撃の難易度は条件によりますが、公開されている環境では重大な影響を与えます。 CVSSスコアが9.9とあるが、それはどれほど深刻ということですか? はい。CVSSが9.9というのはほぼ最大限の深刻度を意味し、攻撃が成功すると完全な機密性や整合性の喪失につながる恐れが高いことを示します。 スコアは脆弱性の容易さや影響範囲を総合的に示す指標であり、9.9は自動攻撃や遠隔からの実行が現実的であり、対策優先度が最上位であることを意味します。 したがって、該当システムを運用する組織は即時の検出と対応を行い、パッチ適用が確認できるまで追加の緩和策を講じるべきです。 具体的な修正方法やアップデート手順はどのように進めればよいですか? はい。ベンダーが提供する手順に従い、まず影響範囲の確認を行います。 該当のオプション機能が稼働しているサーバーをリストアップし、現在のASP.NET Coreのバージョンを確認します。 その上で対策済バージョンのASP.NET Coreをダウンロードしてインストールし、必要に応じてアプリケーションの互換性テストを実施します。 保守契約ユーザー向けサイトに手順とダウンロードリンクがあるため、手順通りに適用し、適用後はサービス再起動と基本的な動作確認を行ってください。 事前にバックアップと検証環境でのテストを忘れないでください。 長期的に同様のリスクを低減するためにはどのような対策が有効ですか? はい。まずソフトウェアのライフサイクル管理を強化し、フレームワークやライブラリのバージョン管理を自動化して速やかなアップデート適用を可能にすることが重要です。 加えて開発段階でのセキュアコーディングや定期的な脆弱性診断を組み込み、外部公開する機能については侵入テストを定期的に行うことが有効です。 運用面ではアクセス制御の最小権限原則を徹底し、ネットワーク分離やWAFの導入で緩和措置を取ることが望まれます。 インシデント対応手順の整備と定期的な訓練も再発防止に寄与します。 なるほど。今回はASP.NET Coreの高リスク脆弱性について、対象となる機能の確認と対策済みバージョンへの更新が最優先であること、更新後はバージョン確認とログやテストで効果検証すること、そして長期的には自動更新と診断運用の強化が重要だと学びました。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はASP.NET Coreという マイクロソフトが提供するソフトウェアに 関連した脆弱性だったわけなんですけども、 今回、その脆弱性の公表自体は、セキュリティ会社から 自社のソフトウェアに対して存在しているというふうに報告されておりました。 ちょっとこの辺り複雑なので少し説明をさせていただきますと、 今回、このASP.NETであったり、 .NET Coreを使っているだけでは影響を受けないということなんですね。 具体的には、Kestrelというソフトウェアを 合わせて使っていて、特定のミドルウェアを利用していると、 今回の脆弱性が悪用可能であるということのようです。 こういったことってよくありまして、 ASP.NETというと多くの方が利用されているんじゃないかなと思いますし、 少し前にもマイクロソフトからも セキュリティアップデートがあったというアナウンスもありました。 ですから、少し気にされていらっしゃる方も 多いと思うんですけども、今回、あくまでも特定条件の中で その脆弱性が顕在化するとリスクがあるということですので、 特定の会社からリリースがあったということになります。 ですから、もし同様の環境の場合は、 当然ながら影響を受ける可能性がありますので、 今回、脆弱性を公表している会社の情報を参考にしながら、 もしASP.NET Core、あとはKestrelですね。 これらを合わせて利用されている方は、 ぜひ一度、今回の脆弱性をご確認いただければと思います。 今日の10分セキュリティラジオは、 月曜から金曜の朝7時15分に配信しております。 そして、わからないことは今すぐ聞こう。 何でも聞ける、セキュラジー製作室は、 水曜夜8時から絶賛生放送中です。 さらに土曜日は、 セキュラジーAI民社のまとめチャンネルを放送しております。 ぜひこちらも聞いてみてください。 それではまた、次回のレギュラー配信でお会いしましょう。 セキュリティチョッキーの松野でした。 See you.