# オープニング #自己投資とお金の使い方 どうもー。セキュリティジョッキーの松野です。 6回目のセキュリティ会社企業を目指して サイバーセキュリティの最新ニュースについて解説しております。 ということで、今日は自己投資とお金の使い方に関する話なんですけども 最もリターンが大きい投資が自己投資と、 断言してもいいと思うんですけれども、 特に若い方ですね、その後に残された時間が 比較的長いというふうに考えられる若い人ほど 福利の効果がありますので、そのリターンが大きくなる傾向に あるんじゃないかなというふうに思っているわけなんですけども、 まず基本的な構造として、僕らは全ての人に 平等に与えられた時間ですね。 1日24時間という時間を使ってお金を手にすると。 これを労働というわけですね。 その単価を時給というわけなんですけども、 スキルに応じて時給が変わるということは、 そのスキルが上がれば時給が上がると。 だからこそそのスキルを伸ばすために自己投資をしようと。 この構造ですね。この基本的な構造を理解すれば、 自己投資がいかに効率の良い投資になるかと、 リターンが大きいかということを ご理解いただけると思うんですけども、 その際に時間に加えてお金が必要であるということですね。 これもしわしばあると思うんですけども、 逆にですよ。お金で買えるスキルですね。 そういった見込みがあるのであれば、 この構造全体を理解していただければ、 積極的に投資すべきだというふうに思っています。 ただ、本当に自分のスキルが伸びるのかと、 その後に時給が上がるのかというところに 注目していただく必要がありまして、逆に、 これをやったら確実に儲かる賛成みたいな、 そういった情報操作に手を出した際に、 自分のスキルが伸びるか否かというところですね。 ここに注目していただくと、それは投資になるのか、 それとも浪費になってしまうのかというところが 明らかになるんじゃないかと思っております。 ご参考になれば幸いです。 ということで今回は、 Apache Tomcatに関する重要な脆弱性について取り上げております。 この放送を通じてリスナーの皆さんは、脆弱性の内容と、 直ちに対応が必要か否かについて、 理解を深めていただければと思います。 それではどうぞ。 # Apache Tomcat に複数の脆弱性 アパッチとムキャットに複数の脆弱性 情報処理推進機構IPAおよび一般社団法人JPサートコーディネーションセンター JPサートCCは2月18日アパッチとムキャットにおける複数の脆弱性について Japan Vulnerability Notes JVNで発表した こちらの記事を簡単に解説お願いできますでしょうか はい今回発表された内容は Java環境でウェブアプリケーションを動かすためのサーバーソフトである アパッチとムキャットに3つの重大な脆弱性が見つかったというものです 具体的にはクライアント証明書による認証がすり抜けられてしまう問題や 古い通信規格である http//0.9の処理に関する不備 そして証明書の有効性を確認する機能の欠陥などが指摘されています これらの脆弱性は悪用されると本来アクセス権限のない第三者にシステム内部へ 侵入されたりセキュリティ制限を回避されたりする恐れがあります 開発元はすでに対策済みの最新バージョンを公開しておりサポートが終了している 古いバージョンも含めて広く影響があるため速やかなアップデートが推奨されています そもそもこのアパッチとムキャットというのはどのようなソフトなのでしょうか はいアパッチとムキャットはJavaというプログラミング言語で作られた ウェブアプリケーションを動かすための土台となるソフトウェアのことです オープンソースとして無償で公開されており世界中のウェブサイトや企業の業務システムで非常に広く使われています ウェブサーバーとしての機能とJavaプログラムを実行するコンテナとしての機能を併せ持っているのが特徴ですね そのためここに脆弱性があるとその上で動いているすべてのサービスに影響が及ぶ可能性があります 認証が回避されるというのは具体的にどのような仕組みで起こるのでしょうか はい今回見つかった脆弱性の一つCVE-2025-66614について説明しますね これはサーバーへの接続時に使われるホスト名と通信の中身であるhttpヘッダーのホスト名が一致するかどうかを正しく検証していなかったことが原因です 複数の仮想ホストを設定している環境でそれぞれのセキュリティ設定が異なっている場合 攻撃者がこの不正号をつくことで本来必要なクライアント証明書の提示をスキップして認証を通過できてしまうリスクがあるのです なんだか難しそうですね古い企画の不備というのもありましたがどういうことですか はいこれはhttpスラッシュ0.9というインターネットの黎明期に使われていた非常に古い通信プロトコルに関する問題です この古い企画ではデータを取得するゲットという命令しか定義されていないことですが トムキャット側の処理において存在しないはずのヘッドという命令を受け取った際の挙動に不備がありました これにより攻撃者が特殊なリクエストを送るとゲットリクエストにかけられているセキュリティ制限をすり抜けてしまう可能性があります これを修正したのがcve202624733となります かなり専門的な話ですね管理者は具体的にどうやって修正すれば良いのでしょうか はい最も確実な対策は開発元が提供している修正済みの最新バージョンへのアップデートすることです 今回の脆弱性はトムキャット本体だけでなくトムキャットネイティブという連携ライブラリにも影響があります ご自身が管理しているサーバーのバージョンを確認し更新する必要があります またすでにサポートが終了している古いバージョンいわゆるeolの製品を使っている場合も影響を受けますので この機会に新しいバージョンへの移行を強くお勧めします サポート切れのソフトはやはり危険なんですね今回の件から何を学ぶべきでしょうか はい今回の事例から学べるのは長く使われている安定したミドルウェアであっても新たな脆弱性は発見され続けるということです 特に古いプロトコリの実装が残っている部分や複雑な設定が絡む認証周りは盲点になりがちです 管理者は一度入れたら終わりではなく常にjvnなどのセキュリティ情報をウォッチし 迅速にパッチを適用できる運用体制を整えておくことがシステムを守るための生命線になると言えるでしょう なるほど普段何気なく使っているサーバーソフトでも古い企画や複雑な設定の隙を突かれるリスクがあるとは驚きでした サポート切れのバージョンを放置せずこまめに情報をチェックしてアップデートすることが大切なんですね また一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、Apache TopCatに関する 脆弱性ということだったんですけれども、 このApache TopCatですね、歴史が非常に長くてですね、 調べたところ、最初のバージョンがリリースされたのが 1999年ということでですね、 セキュリティー除菌を待つのがですね、大学生の頃ですね。 この頃にですね、不正アクセス禁止法ができたというふうに 記憶しておりまして、それ以前はですね、 そういった法律もなかったということで、若干ですね、 インターネット上が無法自体化したという、 ちょっと懐かしいことを思い出していたわけなんですけども、 当時からですね、そのApache TopCat、 Apache全般ですね、いろんなソフトウェアが あるわけなんですけども、広く使われていまして、 観光庁でもですね、当時Apacheが 使われていたというふうに記憶しています。 こちらもですね、今は懐かしいということで、 Hacker Japanという雑誌がありまして、 僕自身もですね、何度か記事をですね、 寄稿させていただいていたわけなんですけども、 その中でですね、なかなか尖った雑誌でありましたので、 各省庁がですね、使っているウェブサーバーのですね、 バージョン一覧はこちらですというのをですね、 リストで出していました。 今思うとですね、とんでもない話だなというところも 思うわけなんですけども、公開情報ですね、 バナー情報からそういったバージョンですとかは 取得できますので、そういったものがですね、一覧になっていたと。 その中にはですね、やはりApacheであったり、 Tomcatもあったかな。 非常に古いバージョンのものが使われていたことを 記憶しています。 その理由というか背景ですね、これに関していうと 非常に運用が複雑に絡んでいまして、 簡単にはバージョンアップできないという点ですね。 それから、いわゆるパソコンのようにですね、 日々アップデートを知らせてくれるものではないというような 運用が非常に深く関わっています。 そういったことからもですね、今回の脆弱性、 Apache Tomcatを使っていらっしゃる方はですね、 ぜひご利用中のバージョンをご確認お願いいたします。 今日の10分セキュリティラジオは月曜から土曜に 祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティチョッキーの松野でした。 See you.