# 24/04/15～24/04/19配信分まとめ 皆さん、おはようございます。もしくは、こんにちは。または、こんばんは。 今日の10分、セキュリティラジオ、土曜担当パーソナリティの山田です。 土曜日の配信は、今週の月曜日のネギュラー放送の内容を10分間にギューっと圧縮してお送りする、 しけだし、切り抜きチャンネルとなっております。10分間最後までお付き合いください。 では早速ですが、月曜の配信から振り返ってみます。 タイトルは、ワードプレス用プラグインNinja Formsに複数の脆弱性です。 IPA及びJP3CCから、ワードプレス用プラグインNinja Formsにおけるクロスサイトリクエストフォージェリと、 クロスサイトスクリプティングの脆弱性について発表がありました。 影響として当該製品にログイン状態のサイト管理者が、採掘されたページにアクセスした場合、 意図しない操作をさせられたり、当該製品を使用しているサイトにアクセスしているユーザーのウェブブラウザ上で、 任意のスクリプトを実行されたりする可能性があるということです。 世界中で広く利用されているワードプレスですが、今回はワードプレスのプラグインを使う際の注意点について解説いたします。 まずは、信頼できるプラグインのみを使用することが重要です。 プラグイン導入前に、ダウンロード数やユーザーレビュー、評価を確認し、 ワードプレス公式ディレクトリまたは信頼できる開発者のサイトからプラグインをダウンロード・インストールしましょう。 そして、一般的なセキュリティ対策と同様に、常に最新バージョンを利用するようにしてください。 ワードプレスの設定画面から、自動アップデートを有効化するか、定期的に始動でアップデートを確認しましょう。 また、不要なプラグインは、脆弱性の発見やアップデート管理の手間が増えるため、必要な機能に絞り込むことが重要です。 皆さんのホームページがワードプレスを使っているか確認していただいた上で、今回の内容をセキュリティ対策の参考にしてみてください。 続きまして、通用の配信を振り返ってみます。 タイトルは、パルワルドネットワークスのPanOSにゼロデイ脆弱性です。 IPA及びJP3CCから、パルワルドネットワークス社が提供するPanOSのVPNなどを提供するグローバルプロテクトの機能に、 OSコマンドインジェクションの脆弱性が発見されたと発表がありました。 影響を受けるシステム、PanOSのバージョンについては、追加が続いている状態ですので、最新情報のご確認をお願いいたします。 なお、本脆弱性はグローバルプロテクトゲートウェイ、またはグローバルプロテクトポータル、もしくはその両方が設定されている場合に影響を受けます。 影響として、認証されていない遠隔の攻撃者により、管理者権限で任意の行動が実行できる可能性があります。 進行行動を示すCVSSバージョン3の基本値は10.0で、最も高い緊急とされています。 対策として、同社から脆弱性のフォットフィックスが公開されていますので、影響を受けるシステムをご利用中の方は、直ちに適用を検討してください。 何らかの理由でフォットフィックスが適用できない方は、緩和策も公開されていますので、同社が提供する最新情報を確認してください。 フォットフィックスとは、問題へ迅速に対応するため、緊急に発行される修正プログラムです。 フォットフィックスは開発元で十分な検証が行われていないこともあるため、安全性に欠けたり、他の機能に支障をきたす場合があるので、バックアップを取得し、フォットフィックス適用前の状態に戻せるようにしておきましょう。 また、本脆弱性を実証するコードも公開され、脆弱性を悪用する攻撃の増加を確認していると明らかにされています。 VPN機器はすでにインターネットに接続されており、脆弱性が特定された際に攻撃対象となりやすいことが想定されます。 また、内部ネットワークには多くの機密情報などが保存されている可能性があるため、VPN機器が乗っ取られてしまった場合は、直ちに情報漏洩へつながる危険性もあります。 対応が1日遅れただけでも致命的な状況になることもなり得るため、ご注意ください。 本脆弱性については、まだ情報が更新され続けている状態にあります。 パドワールドネットワークス社の最新情報をこまめに確認し、速やかに推奨される対策の適用をご検討ください。 概要欄に本脆弱性に関するIPAのURLを記載しておきますので、そちらも参照してください。 では最後、金曜の配信を振り返ります。 タイトルは、OpenSSLにサービス運用妨害の脆弱性です。 IPA及びJPサートCCから、OpenSSLでTLSバージョン1.3セッションの処理時に、 メモリを多量に消費し、サービス運用妨害状態となる脆弱性について発表がありました。 影響を受けるシステムは、OpenSSL 3.2、3.1、3.0、1.1.1で、 影響としてTLSバージョン1.3をサポートするTLSサーバーが停止する可能性があります。 さて、では今回はOpenSSLについて解説いたします。 OpenSSLは、インターネット上の通信を安全に保ち、 暗号化、認証、データの肝心性保護などの機能を提供するオープンソースのライブラリです。 ウェブブラウザ、ウェブサーバー、メールソフト、VPLなど、 様々な環境で幅広い用途に使われています。 具体的には、送信するデータを暗号化し、通信を盗聴されても解読できないようにします。 また、データを送信する通信先を認証し、相手が偽物になりすました情報の接種を防ぎます。 さらに、送信するデータへ署名をすることで、途中で改ざんされていないことを確認することも可能です。 このように、様々な脅威から送信するデータを守るため、幅広い用途でOpenSSLが活用されています。 なお、本定着性については、開発元のOpenSSLプロジェクトから、 今後提供されるバージョンで修正予定を取ることですので、最新情報に注意してください。 # エンディングと今日の一言 ということで、スキラ字1週間を振り返ってみました。 ながらで聞けて、ためになる。 今日の10分セキュリティラジオは、毎週月曜・水曜・金曜の朝7時15分より最新回を配信しております。 また、月水の夜8時から、録音では聞けないスキラ字制作過程の裏側を、Voicyライブアワーから生放送でお届けしています。 そして土曜日は、月水期の内容をダイジェストでお送りするスキラ字切り抜きチャンネルを放送しております。 月曜から土曜までの各セキラ字、ぜひお聞きください。 はい、ということで、今週も1週間お疲れ様でした。 はい、今週のスキラ字はですね、3つとも脆弱性のニュースでしたね。 中でも、水曜のパンOSの件につきましては、重大な脆弱性となっております。 はい、これからまだ情報が更新されていくと思いますので、影響のある方は、しばらく最新情報をチェックしていただけるといいかなと思います。よろしくお願いいたします。 それでは、今回はこの辺で失礼いたします。来週も聞いていただけましたら嬉しいです。では、またね。