# オープニング #お酒をやめて気づいたこと どうもー、セキュリティジョッキーの松野です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日はお酒をやめて気づいたことに関する話なんですけども、 今年で48人になろうとしているわけなんですけども、20代とかの頃に比べるとだいぶお酒の量減ったかなというふうに思っています。 本当にですね、若かりし頃は恥ずかしい話、いかに安く早く酔うかというところを極めようとしたというふうに記憶しているわけなんですけども、 個人的にはですね、すごくワインとかが好きで、家に小さい安いワインセラーですか、10本ちょっと入るぐらいの、そういったのは未だに置いてあって、中にいつ飲もうかなという、ちょっとですね、いいワインとかね、お祝いごとにみたいな、置かさせていただいているわけなんですけども、 実際にですね、そのお酒の量が減ってきて、完全にやめてないんですけどね、気がついたことは、翌日のパフォーマンスが良い、もう当たり前の話なんですけども、やっぱりですね、その時の快楽にですね、溺れてしまった結果、翌日倍以上のですね、パフォーマンスというか生産性を失うと。 これ仕事だけじゃなくてですね、筋トレにもですね、響いてくるというところがありまして、徐々にですね、お酒の量が減ってきているという状況にあります。 個人的にはですね、最近ちょっとハマっているのが、ノンアルコールビールですね。これでいいじゃん、みたいな感じをですね、思うようになってしまいました。いかがでしょうか、皆さんもですね、ノンアルコールビールですね、飲まれている方がいらっしゃったら、ぜひコメントをお願いします。 ということで、今回は、顔認証などの生態認証ソフトウェアに発見された脆弱性について取り上げております。 この放送を通じてリスナーの皆さんは、セキュリティ製品そのものに潜むリスクと権限掌握という攻撃手法について理解を深めていただければと思います。 それではどうぞ。 # Fujitsu Security Solution AuthConductor Client Basic V2 に送信元の確認が不十分な脆弱性 フジツーセキュリティソリューションオースコンダクタークライアントベーシックV2に送信元の確認が不十分な脆弱性。 独立行政法人情報処理推進機構IPA及び一般社団法人JPサートコーディネーションセンターJPサートCCは、 1月7日、フジツーセキュリティソリューションオースコンダクタークライアントベーシックV2における送信元の確認が不十分な脆弱性について、 ジャパンバルナラビリティノーツJVNで発表した、こちらの記事を簡単に解説お願いできますでしょうか。 はい。今回のニュースは、フジツークライアントコンピューティングが提供するセキュリティソフトオースコンダクタークライアントベーシックV2に関するものです。 このソフトには、データがどこから送られてきたかの確認が不十分な点がありまして、 悪意のある攻撃者がWindowsにログインできる状態であれば、システム全体を操作できるシステム権限を不正に取得し、 好きなコマンドを実行したり、設定を勝手に書き換えたりできてしまう可能性があります。 すでに修正版が公開されていますので、利用者は早急なアップデートが求められています。 本来はパソコンを守るためのソフトが、逆に攻撃の窓口になってしまうという非常に皮肉で深刻な事案といえますね。 記事に出てくるシステム権限というのは、具体的にどれくらい強い権限なんですか? はい、これはWindowsにおいて最も強力な権限の一つで、いわばパソコンの神様のような存在です。 普段私たちが使っている管理者権限よりもさらに上位に位置しておりまして、 システムの中枢に関わる重要なファイルの変更や削除、レジストリと呼ばれる設定情報の書き換えなど、あらゆる操作が可能になってしまいます。 もしここを握られると、パソコンを完全に乗っ取られたも同然の状態になってしまうため、非常に危険なんです。 送信元の確認が不十分というのは、具体的にどういうミスなんでしょうか? はい、これは例えるなら、家のドアをノックされた時に、誰が来たかを確認せずに鍵を開けてしまうような状態です。 本来であれば、正規のプログラムからの指示かどうかを厳密にチェックする必要がありますが、 その確認プロセスが甘かったために、偽の指示であっても正しいものとして処理してしまうんですね。 その隙をついて、攻撃者が不正な命令を送り込めるようになっていたのが、今回の脆弱性の原因です。 では、この攻撃は外部からいきなりやられてしまうものなんですか? はい、今回の脆弱性を悪用するには、攻撃者がそのパソコンにログインできる状態である必要があります。 そのため、インターネット越しにいきなり攻撃されるわけではありません。 しかし、もし別のマルウェアに感染して遠隔操作されたり、あるいは悪意を持った内部の人間が操作したりする場合に、この脆弱性を使われると被害が甚大になります。 つまり、最初の侵入を許した後の被害拡大に使われるリスクが高いとお考えください。 記事を見ると対象のバージョンが細かく分かれていますが、更新は難しいですか? はい、少し注意が必要です。 お使いのオースコンダクタークライアントベーシックV2のバージョンと顔認証オプションを使っているかどうかによって、修正プログラムが異なります。 例えば、顔認証オプションを使っていない場合は、バージョン2.0.25.1以降へ、特定の古い環境なら別のバージョンへと適用先が分かれています。 必ずフジツーの公式サイトで、ご自身の環境に合ったファイルを慎重に選んでダウンロードして更新してください。 セキュリティのためのソフトに穴があるとは驚きです。私たちは何を教訓にすべきですか? はい、どんなに優秀なセキュリティ対策ソフトであっても、人が作ったプログラムである以上、不具合や脆弱性が含まれる可能性はゼロではありません。 セキュリティソフトを入れているから安心と思い込まず、そのソフト自体も常に最新の状態に保つことが重要です。 今回のように、JVNなどの信頼できる情報源から発信されるニュースを定期的にチェックし、迅速に対応する体制を整えることが企業の安全を守る鍵となります。 なるほど。セキュリティソフトを入れているから万全という過信は、実は一番の落とし穴になりかねませんね。 守るためのツールだからこそ、常に最新の状態に保つ、その当たり前のような管理の重要性が今回よく分かりました。また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、セキュリティ製品、 具体的には生態認証のソフトウェアということなんですけども、 こちらの脆弱性についてお届けしたわけなんですけども、 まずですね、いわゆるセキュリティ製品に脆弱性が見つかった場合の影響ですね、 そのインパクトに関してはやはりですね、 大きく成り立ちたるということは皆さんもご理解いただけると思います。 仮に生態認証に関わるですね、ソフトウェアに脆弱性があればですね、 その認証自体がバイパスされてしまうかもしれないと。 つまり、生態認証は認証を強化するものですので、 パスワードをですね、盗まれても、例えばによそ認証でカバーすると。 そこが突破されてしまうことになってしまうとですね、 さまざまな前提が崩れてしまうということですね。 非常に影響が大きいということになります。 もう一つですね、これはセキュリティ製品に関わらずなんですけれども、 いわゆるそのソフトウェアが動く権限ですね。 これにも注目する必要があります。 今回はですね、そのシステム権限ということで、 ミニ社がですね、神様のような存在と。 うまいこと例えるなと思ったわけなんですけども、 Windowsですと管理者権限は一般的にAdministratorというですね、 ユーザーがあらかじめ設定されております。 これはですね、無効になっている状態というのがデフォルトでありまして、 通常はですね、メンテナンス等で使うぐらいで、 通常触る必要はないユーザーなんですけども、 そういった無効化できるユーザーはですね、 使わないということで設定すればいいわけなんですけども、 このシステム権限はですね、そのWindows OSのその名の通りですね、 システムで使っていますので、無効にすることができないんですね。 これ非常にややこしいポイントで、実際にユーザーから ログインとかには使わないんですけども、 その非常に強い権限を持ったシステムというですね、 ユーザーは無効にすることはできないと。 結果ですね、こういったソフトウェアで、そういったシステム権限を 必要としている場合は、そこで脆弱性が見つかった際にですね、 悪用されてしまうと、乗っ取られてしまうということになります。 ぜひですね、今回の脆弱性に関わらず、 システム権限を利用したソフトウェアの脆弱性には、 十分注意していただければと思います。 今日の10分セキュリティラジオは、月曜から土曜に 祝日も休まず配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you.