# オープニング #気になるニュース どうもー。セキュリティチョッキーの松野です。 6回目のセキュリティ会社企業を目指して、 サイバーセキュリティの最新ニュースについて解説しております。 っていうことでね、今日は気になるニュースに関する話なんですけども、 時が経つのがですね、非常に早いというところは、 ちょっと時事臭い話ではあるんですけれども、 今年もですね、残り3ヶ月を切ったというところでございます。 そしてですね、 前職、自分が起業した会社の社長ですね、退任して、 間もなくですね、2年が経つというところでございます。 つまりですね、いわゆるキーマンズロックという形でですね、 いろんな行動に制限があった期間が2年間ですね、続いていたわけなんですけども、 いよいよその制限が全てですね、解き放たれるという時期がですね、 11月末をもってということで近づいているわけです。 まさにね、忘年会シーズンに重なっているわけなんですけども、 今年のですね、年末はですね、またいつもと違った忘年会を迎えられるんじゃないかということでですね、 今からワクワクしておるところでございます。 もちろんですね、その企業に向けてというか、6回目ですので、今までの中で一番のですね、 最高の会社を作ろうというふうに思ってますし、 このですね、本当に時代の変わり目というか、AI大変革時代と言っても過言ではないと思います。 不確定要素もですね、非常に多い中で、 企業の難易度も上がっているというのは事実であるわけなんですけども、 その状況だからこそですね、企業化として向き合う、 企業をするというですね、意味が本当にあるんじゃないかなというふうに思っています。 こんな中でもですね、会社として雇用を生むということにですね、 しっかりとこだわって向き合っていく、そういったことをですね、 今回6回目ということで、しっかりとやり遂げたいというふうに思っています。 もちろんですね、全ての人にセキュリティを届けるというこの思いはですね、 もう全く色褪せることなくですね、この2年間を過ごしてきました。 その思いですね、頭の中の体操は完全に終わっております。 この思いをですね、全てその企業にですね、 新会社にぶつけていきたいというふうに思っておりますので、 残りあと数ヶ月ですね、もうしばらくお待ちいただければと思います。 ということで、今回は日本国内で開発されたコンテンツ管理システムで見つかった 複数の脆弱性について取り上げております。 この放送を通じてリスナーの皆さんは、クロスサイトスクリプティングやSQLインジェクションといった 代表的なウェブの脆弱性が、実際にどのようなリスクを企業や利用者にもたらすのかについて 理解を深めていただければと思います。 それではどうぞ。 # baserCMS に複数の脆弱性 ベーサーCMSに複数の脆弱性 独立行政法人情報処理推進機構IPAおよび一般社団法人JPサートコーディネーションセンター JPサートCCは9月25日ベーサーCMSにおける複数の脆弱性について ジャパンバルネラビリティノーツJVNで発表したこちらの記事を簡単に解説お願いできますでしょうか はい、ベーサーCMSというウェブサイトを簡単に構築し記事などを管理するためのシステムにおいて 合計で5件の深刻な脆弱性が新たに発見されたというニュースです 具体的にはクロスサイトスクリプティングやSQLインジェクション そして重要な機能に対する認証の欠如くいった様々なセキュリティ上の問題が含まれています これらの脆弱性が悪用されてしまうと ウェブサイトを訪れたユーザーのブラウザ上で不正なプログラムが勝手に実行されたり 裏側にあるデータベースの中身を第三者に盗み見られたり 勝手に書き換えられたりする危険性があります 対策としては開発元のユーザー会が提供している最新のバージョンにアップデートすることが強く求められています ベーサーCMSというシステムはどのような目的で使われているものなのでしょうか はい、ベーサーCMSは日本国内で開発されたオープンソースのコンテンツ管理システムです 企業や個人のウェブサイトを簡単に作成し ブログのように日々の記事を更新したり ページのデザインを直感的に管理したりするために幅広く使われています 国産のシステムであるためマニュアルやサポート体制が日本語で大変充実してあり 多くの国内企業で採用されているのが特徴です このようなウェブサイトの基盤となる重要なシステムに脆弱性などの問題があると サイト全体に深刻な影響が及んでしまうため常にセキュリティの動向を注視しとく必要があります 記事に出てきたクロスサイトスクリプティングとはどのような脆弱性なのですか はい、クロスサイトスクリプティングはウェブサイトの入力欄や検索フォームなどを通じて 攻撃者が悪意のあるプログラムを興行に送り込むことができる脆弱性のことです この脆弱性が放置されている状態のサイトに一般のユーザーがアクセスすると ユーザーのウェブブラウザ上でその不正なプログラムが勝手に実行されてしまいます その結果ユーザーの大切なログイン情報が盗み出されたり 全く別の偽のウェブページに誘導されたりする危険があります サイトを訪れたお客様を直接的な危険にさらしてしまう非常に恐ろしい脆弱性といえます SQLインジェクションという言葉もよく耳にしますがこれはどういうものでしょうか はい、SQLインジェクションはウェブサイトの裏側で様々なデータを管理しているデータベースを不正に操作されてしまう脆弱性のことを指します 攻撃者が入力フォームなどに特殊な文字列を入力することで データベースに対する命令文を不正に書き換えて無理やり実行させます これにより本来は外部から絶対に見ることができない顧客の個人情報やパスワードが盗み出されたり あるいは重要なデータそのものが改ざんされたり消去されたりする恐れがあります 企業にとって致命的な情報漏洩インシデントに直結するため大変危険な問題です 今回の脆弱性を修正するためには具体的にどのような手順を踏めばよいのでしょうか はい、今回の脆弱性を完全に解消するための最も確実な対策はシステムを最新のバージョンへアップデートすることです まずは自社で利用しているシステムのバージョンを正確に確認し 影響を受ける古いバージョンに該当しているかどうかを速やかにチェックしてください もし該当している場合は開発者のウェブサイトで提供されている公式の情報をよく確認しながら 万が一のシステムトラブルに備えてデータのバックアップをしっかりと取った上で 最新の修正版プログラムを慎重に適用していただくことが推奨されています このような脆弱性のニュースから私たちはどのような教訓を学ぶべきでしょうか はい、ウェブサイトを構築するための便利なシステムは一度導入して完成というわけではなく 継続的な保守と安全性の管理が必要不可欠であるという点です インターネットの世界では日々新しい脆弱性が発見されているため システムを常に最新の状態に保つアップデートの体制を日頃から社内で整えておくことが重要です また万が一サイバー攻撃の被害に遭った場合に備えて どこにどのような顧客情報が保存されているかを正確に把握し 迅速に対応できる社内のルールを決めておくことが長期的な事業の安全につながるといえます なるほど、ウェブサイトを構築するシステムの仕組みや そこから生じる脆弱性の恐ろしさが非常によく分かりました 定期的なバージョンの確認と最新状態を維持するための日々のアップデート作業が お客様の大切な情報を守るためにも絶対に欠かせない重要な取り組みなのですね また一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、日本国内で開発された CMSで見つかった複数の脆弱性ということでした。 ご利用中の方ももしかしたら いらっしゃるかもしれませんが、 オープンソースのプロダクトということでですね、 やはりというふうに思われた方もいらっしゃるかもしれません。 セキュラシーでは繰り返し繰り返しですね、 お伝えしているとおり、 オープンソースがAIによってですね、 大量に脆弱性が発見されるという状況が続いております。 今回の傾向でですね、もう一つ分かってきたというかですね、 一つ気をつけていただけなければいけないのは、 国内産×オープンソースですね。 この辺りは非常にAIによる脆弱性解析の影響を受ける 可能性があるということが言えるというふうに考えています。 理由としてはですね、いわゆるグローバルで 使われているようなプロダクトに対してですね、 相対的に注目されていなかったと、 いろんなですね、セキュリティ研究者であったりとか、 場合によっては攻撃者の目に 晒されていなかったということが理由でですね、 過去に脆弱性がすでに作り込まれていても、 発見される機会がなかったというところが理由として挙げられます。 結果ですね、AIによって高速にですね、脆弱性が解析されると、 潜在していたですね、脆弱性が顕在化してしまうということになります。 ぜひこの国産×オープンソースですね、 気をつけていただければと思います。 今日の10分セキュリティラジオは月曜から土曜に 祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティチョッキーの松野でした。 See you.