# オープニング #気になるニュース どうもー!セキュリティジョッキーの松野です。 6回目のセキュリティ会社企業を目指して サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は気になるニュースに関する話なんですけども 私事で恐縮なんですけれども、身の回りにですね お前が言うなっていう出来事がありましたので、お話しできればと思うんですけども 先日ですね、朝の早い時間にですね、 ジムに行っておりましてトレーニングをしてたんですけども たまたまですね、見た自分のスマホの画面にですね 着信があることに気づきました。 普段はですね、ミュートにしているので気がつかないんですけども まだコールしてたので出てみようかということで電話に出てみたんですけども そしたらですね、香川県警ですと、四国のですね そう名乗る方からお電話がありまして 何やらですね、個人情報の関連で事件がありましてというふうに言われまして 要件としてはですね、今すぐ出頭できますかというふうにおっしゃられていました 僕自身ですね、渋谷にいますのでどうしようかなというふうに思ったんですけども 香川県からの要請ですので一旦ですね、ちょっと検討する上でですね 何時までに行けばいいですかというふうに聞いてみました そうするとですね、ちょっと驚いた感じでですね、考えていらっしゃるようで うーんと17時までに出頭できますかというふうに言われました で、いろいろですね、スマホで調べてみたところですね どうやら渋谷からですね、香川県、県警まではですね 5時間ちょっとぐらいで 行けるようなんです。飛行機使ったりとかしてですね なのでまだ午前中だったこともあるので ギリ行けるなというふうに思いまして、ちょっと考えてですね、その電話先にですね 出頭しますというふうに伝えました そしたらですね、先方が返した言葉が 嘘つかないでもらっていいですか、いやお前がなという話がありまして あの電話は切られてしまいました 警察を名乗る海外からの出頭命令には皆さんは応じないようにお願いいたします ということで今回は自治体や企業で広く利用されている ウェブ開発プラットフォームで発見された 複数の脆弱性について取り上げております この放送を通じてリスナーの皆さんは オープンソースソフトウェアを利用する際のセキュリティ管理の重要性や クロスサイトスクリプティングなどの具体的な脆弱性の仕組みについて 理解を深めていただければと思います それではどうぞ # SHIRASAGI に複数の脆弱性 白鷺に複数の脆弱性、独立行政法人情報処理推進機構IPA及び一般社団法人JPサートコーディネーションセンターJPサートCCは、 9月10日、白鷺における複数の脆弱性について、Japan Vulnerability Notes JVNで発表した、こちらの記事を簡単に解説お願いできますでしょうか。 はい。今回のニュースは、白鷺というシステムに2つの重大なセキュリティ上の問題が発見されたという内容です。 1つ目はクロスサイトスクリプティングと呼ばれる脆弱性で、この製品を使用しているサイトにアクセスしたユーザーのブラウザ上で、意図しない不正なプログラムが実行されてしまう危険性があります。 2つ目は認可処理の回避と呼ばれるもので、本来はアクセス権を持たないユーザーがグループウェア上の共有ファイルを不正に取得できてしまうという問題です。 これらの脆弱性を放置すると、深刻な情報漏洩やシステムの悪用につながる恐れがあるため、開発元は脆弱性を修正した最新版であるバージョン1.21.0への早急なアップデートを強く推奨しています。 白鷺というシステムについて、どのようなものか具体的に教えてください。 はい。白鷺は、中規模から大規模のウェブサイトを構築するために使われるオープンソースのシステムです。 特に日本の自治体や公共機関、企業などで多く導入されています。 単なるウェブサイトの作成だけでなく、グループウェアとしての機能も備えており、社内の情報共有やスケジュール管理などにも利用できるのが特徴です。 そのため、今回の脆弱性が悪用されると、公開されているウェブサイトの閲覧者だけでなく、内部の職員や社員が扱う機密情報にも影響が及ぶ可能性があります。 クロスサイトスクリプティングとは、どのような仕組みの脆弱性なのでしょうか? はい。クロスサイトスクリプティングは、ウェブサイトの入力フォームなどに悪意のあるコードを仕込まれてしまう問題です。 ユーザーがそのページを閲覧した際、ブラウザがそのコードを正規のものと誤認して実行してしまいます。 結果として、ユーザーのログイン情報が盗まれたり、意図しない操作を行わされる危険があります。 ウェブサイトがユーザーからの入力を適切に処理し、無害化する仕組みが不足している場合に発生しやすい、非常に代表的で注意が必要な脆弱性の一つです。 もう一つの認可処理の回避という問題は、具体的にどういうリスクがありますか? はい。認可処理の回避とは、システムへのアクセス権限をチェックする仕組みに欠陥があり、本来なら制限されているはずの操作ができてしまう状態を指します。 今回のケースでは、グループウェア内で共有されているファイルに対して閲覧権限を持たないユーザーが不正にアクセスし、ファイルの中身を取得できてしまう可能性が指摘されています。 もし社内の機密文書や個人情報が含まれるファイルがこの方法で盗み出された場合、組織にとって取り返しのつかない重大な情報漏洩事故につながってしまいます。 今回の脆弱性に対する一番確実な修正方法や対策について教えていただけますか? はい。最も確実かつ基本的な対策は、システムを修正済みが最新バージョンにアップデートすることです。 今回の発表でも、開発元が脆弱性を解消したバージョン1.21.0を既に提供しており、システム管理者は早急にこのバージョンへ更新することが求められます。 また、アップデートを行う前には、念のためシステムのバックアップを取得し、更新後にウェブサイトやグループウェアの機能が正常に動作するかどうか、テスト環境などで確認手順を踏むことも安全な運用のためには非常に重要となります。 アップデート以外に、日頃からリスクを低減するためにできることはありますか? はい。システムを常に最新の状態に保つことに加えて、サイバー攻撃を検知して防御するセキュリティ機器の導入が効果的です。 例えば、ウェブアプリケーションファイアウォールなどを設置することで、不正な通信を自動的に遮断することができます。 また、システムのアクセスログを定期的に確認し、権限のないユーザーによる不審なファイルへのアクセス履歴がないかを監視する体制を整えておくことも、万が一の異常を早期に発見するための重要なリスク低減策となります。 なるほど。システムが便利で多機能であるほど、そこに潜む脆弱性が組織全体に与える影響も大きくなるということがよくわかりました。 安全に使い続けるためには、日頃から提供される最新のバージョンにアップデートすることと、通信の防御やログの監視といった多角的な対策を組み合わせていくことが大切なのですね。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、オープンソースのウェブ開発プラットフォームで発見された 複数の脆弱性ということでした。 最近ですね、オープンソースの脆弱性が 大量に発見されていることについては、 このセキュラチでですね、何度もお届けしております。 その原因の一つとしてですね、AIによる脆弱性解析はですね、 高速かつ安価にですね、行われていると。 こういう現状が挙げられます。 で、じゃあオープンソースだけがですね、危険なのかと、 こういうような考え方はですね、 確かにその短期的にはその脅威レベルが上がっているということは 間違いないというふうに思っています。 ただ、オープンソース以外にもですね、 いずれこの脅威が及ぶというふうに考えていまして、 例えばですね、現状のその脆弱性解析であったり、 あとは様々なセキュリティベンダーがですね、 AIを使ったソースコード検査というものを サービスとして提供しております。 そういった、あくまでもホワイトボックステストですね、 ソースコードを見た状態でしか脆弱性が洗い出せないかというと、 もちろんそうではないわけですね。 我々、そのセキュリティベンダーはですね、 ブラックボックステストという形で、 ソースコードなしでも脆弱性を洗い出すことができたりします。 じゃあ、それがですね、人間にしかできないのかというと、 もう皆さん分かりますよね。 当然ながら、将来ですね、AIにもできるようになる。 その未来はですね、決して遠くはないということも言えるかもしれません。 現状はですね、そのセキュリティガードであったり、 またはモデルの制限とかでですね、 実際にはそのブラックボックステストをですね、 簡単に実行するということはできない状態にはあるわけなんですけども、 時間とともにですね、そういった制限だったり、 もしくはですね、そのAIを悪用するようなアプローチというのが当然考えられるわけです。 ですから、そのオープンソースが危険であるというような 片付け方をですね、するのではなくて、 見つかった脆弱性を直ちに修正するような、その脆弱性管理にですね、 注力していくことが今必要なんじゃないかというふうに思っていますので、 現状ですね、正しく捉えていただいて、何をすべきか、 脆弱性管理ですね、ぜひ一度お考えいただければと思います。 今日の10分セキュリティラジオは、月曜から土曜に 祝日も休まず配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you!