# オープニング #卒業までにやるべきこと どうもー セキュリティジョッキーの松野です。6回目のセキュリティ会社企業を目指して サイバーセキュリティの最新ニュースについて解説しております。 っていうことでね、今日は卒業までにやるべきことに関する話なんですけども もうそんな時期ですね。3月に入りまして、本当に時が経つのが早すぎてというところなんですけれども 僕自身ですね、いわゆる学生としてのですね卒業式はもういつですかこれ。もう30年は経ってないんですけどね、本当 20数年前ということでですね、大昔の話であまり思い出すことが正直ないわけなんですけども ただですね、直近でですね、1年ほど前なんですけども 社長という役割をですね、突如卒業することになりまして 1ヶ月前だったんですけどね、あらびっくりということがありました。 その時の話ができればと思うんですけども やっぱりですね、突然ということもあったので、あれもやっとけばよかったなぁとかですね こうしてたらよかったなぁというようなですね、後悔に近い思いがですね、かつ多くありました ただですね、その卒業の日が来てしまえばですね、もう何もできないわけですね その権限を含めて全てを失うということになりました。 学生の皆さんがですね、卒業される際に あらかじめその日というのがですね、決まっていたというところがあるとは思いますので ぜひそこのゴールの日に向けてですね 後悔のない日々をですね、過ごしていただければと思います それは勉強だったり、あとはサークル活動とかもありますかね あとは恋愛だったり、愛の告白だったりですね、いろいろあるかもしれません 残りまだちょっと何日残されているかというのは、それぞれあるかと思いますが ぜひですね、その後悔だけはないように 残された日々をですね、過ごしていただければと思います まずはですね、ご卒業される皆さん、誠におめでとうございます ということで今回は、UPSを管理するための古いソフトウェアに潜む脆弱性について取り上げております この放送を通じてリスナーの皆さんはサポート切れ製品のリスクと 具体的な脆弱性の仕組みについて理解を深めていただければと思います それではどうぞ # UPS Multi-UPS Management Console（MUMC）に複数の脆弱性 UPSマルチUPSマネジメントコンソールMUMCに複数の脆弱性 独立行政法人情報処理推進機構IPA及び一般社団法人JPサートコーディネーションセンターJPサートCCは 3月4日UPSマルチUPSマネジメントコンソールMUMCにおける複数の脆弱性について ジャパンバルナビリティノーツJVNで発表した。こちらの記事を簡単に解説をお願いできますでしょうか。 はい。IPA及びJPサートCCは3月4日、デルが提供していたUPS管理ソフトMUMCこと マルチUPSマネジメントコンソールに複数の深刻な脆弱性があると発表しました。 影響を受けるのはバージョン0106、0001、A03です。 具体的には、引用符で囲まれていないファイルパスの問題と、不適切なファイルアクセス権設定という2つの脆弱性が確認されています。 これらが悪用されると、システム全体を管理するシステム権限で攻撃者に任意のプログラムを実行される恐れがあります。 当該製品はすでにメーカーサポートが終了しているため、修正パッチは提供されません。 したがって、直ちに使用を停止し、アンインストールすることが唯一の対策となります。 UPSというのは、停電の時に電気を供給してくれる装置ですよね。 その管理コンソールというのは、具体的に何をするためのソフトなんでしょうか。 はい、その通りです。 UPSはサーバーを停電から守る重要なハードウェアですが、バッテリーの残量を監視したり、 停電が長引いた際にサーバーを安全に自動シャットダウンさせたりするためには、 サーバー側に管理用のソフトウェアをインストールする必要があります。 今回問題となっているMUMCは、まさにそういった管理を行うためのツールです。 こういった一度設定したら触らないソフトは、管理者の意識から抜け落ちやすく、古いままで放置されがちなんですね。 なるほど、絵の下の力持ち的なソフトなんですね。 引用符で囲まれていないファイルパスという脆弱性がちょっとイメージしにくいのですが。 はい、これはWindows特有の挙動に関連する脆弱性です。 例えば、プログラムがプログラムファイルズのような名前にスペースを含むホルダにインストールされているとします。 このとき、プログラムの場所を示すパス情報が引用符、つまりダブルクオーテーションで囲まれていないと、 Windowsがパスを誤って解釈してしまうことがあるのです。 プログラムという名前の不正なファイルをCドライブ直下に置かれると、 本来のソフトより先にその不正ファイルが実行されてしまうという、昔からある攻撃手法の一つです。 スペースがあるだけで誤動作するとは怖いです。 それによってシステム権限が奪われるとありましたけど、これは管理者権限とは違うんですか? はい、非常に重要な違いがあります。 一般的な管理者権限はあくまで人間が操作するための最上権限ですが、 システム権限はWindowsのOSそのものが持つさらに強力な権限です。 この権限を奪われるということは、攻撃者がそのコンピューターの全能の神になるようなものです。 セキュリティソフトを無効化したり、痕跡を完全に消したり、 あるいはそのサーバーを踏み台にして社内ネットワークのさらに奥深くまで侵入したりと、あらゆる操作が可能になってしまいます。 全能の神ですか。今回はサポート終了製品だから使用停止が対策とことですが、修正プログラムが出るのを待ってはダメなんでしょうか? はい、今回は待っていても修正プログラムが出ることはありません。 サポート終了、いわゆるEOSを迎えた製品は、メーカーによる開発や保守が完全に止まっています。 たとえ今回のように致命的な欠陥が見つかったとしても、原則として修正されることはないのです。 使い続けることは、鍵の壊れた金庫を使い続けるのと同じことになります。 セキュリティの世界では、サポート切れのソフトをネットワークに残しておくこと自体が最大のリスク要因の一つとされています。 家の鍵が壊れたらすぐに交換しますもんね。では私たちユーザー企業は、こういった古いツールのリスクにどう備えればいいんでしょうか? はい、最も大切なのは棚下ろしの徹底です。 OSや業務アプリの更新は気にかけていても、今回のようなドライバー関連やユーティリティソフトは導入時のまま忘れされているケースが非常に多いです。 年に一度はサーバーにインストールされている全ソフトウェアのリストを作成し、それぞれのサポート期限を確認するプロセスが必要です。 もしサポート切れのソフトがあれば、後継製品に乗り換えるか、機能が不要なら削除するという判断を定期的に行う体制を作ることが重要ですね。 なるほど、目立つソフトだけでなく裏方で動いている古いツールの管理も大切なんですね。 サポート切れの怖さと定期的な棚下ろしの重要性がよく分かりました。また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回は、UPSを管理するソフトウェアで 発見された脆弱性ということだったんですけれども、 どうですかね。今もUPSを使われている方、 どれくらいいらっしゃるかなというところでして、 クラウドの利用が非常に増えておりますので、 相対的にオンプレで物理的なサーバーを、 オフィスにおいて利用される方は、 もしかしたら少しずつ減っているのかもしれません。 このUPSなんですけれども、こういったサーバー以外にも、 当然ながら様々なデバイスに電源を供給できるわけでして、 例えば、入体管で使用しているICカードリーダーですね。 こういったものにも、UPSは当然ながら電源を 供給することができます。UPSがないと、 当然、例えば停電とかが起きてしまうと、 ICカードリーダーが使えないということで、場合によっては ドアが開かないという状態になってしまうんですけれども、 当然ながら、そうなってしまうと、例えば、 カシとかで電源の供給が立たれたという状態で、 人が逃げられなくなってしまうわけですね。 ですから、そういった電源供給が立たれた状態ですと、 そういったICカードリーダーで制御しているドアなどは、 基本的にその鍵が開いた状態、解除された状態になることが 多くあったりします。そこを攻撃者が狙いまして、 つまり、電源供給を立てば、セキュリティでロックされた ICカードで必要とされるドアが解除できる場合がある ということですよね。ですから、そういったケースを狙って、 電源を攻撃するというようなこともあったりします。 他にも、異常な状態を作り上げるために、 例えば、エアコンとか、よくデータセンターにも 置いてあると思うんですけれども、 エアコンを互換性のある赤外線のリモコンですかね、 そういったもので操作して、異常な温度に上げると。 そうすると、やはりこれも火事のような異常な状態を検知して、 セキュリティのかかったドアが開いてしまうというような事例も 過去にあったようです。ぜひ、皆さんもそういった 物理的なセキュリティに関して気を付けていただければと思います。 今日の10分セキュリティラジオは、月曜から土曜に 祝日も休まず配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティチョッキーの松野でした。