# オープニング #子ども部屋どうしてる どうもー。セキュリティ直起の松野です。 6回目のセキュリティ会社企業を目指して サイバーセキュリティの最新ニュースについて解説しております。 っていうことでね、今日は子ども部屋どうしてるに関する話なんですけども 子どもはですね、あいにくいないというところがありまして、変わりではないんですけどね。 放送にも時々登場してしまう猫が家にはいまして、どの部屋もですねドアが開いていますので、自由にですね 入ったり出たりみたいな、そんな感じではあるんですけれども 最近ですね、あの少しだけ変わったことがありまして 先にですね謝っておきますと、お食事中の方は失礼いたしましたということで、ちょっとですね トイレをですね、猫が済ませるためにですね、部屋のあちこちにですね トイレを設置しているんですけども 以前にも言いましたかね、どうしてもですね、その何箇所か置いているトイレでですね 用を足さずにですね、僕の仕事部屋で必ず あの大きい方をしてしまうということがですね、ほぼ毎日ありました。 誰がトイレやねみたいな、そんな感じの扱いを受けたわけなんですけども いよいよですね、ちょっとこれ困ったなぁと いうことがありまして、満を持してですね、僕の仕事部屋にもですね 猫用のトイレを設置しました。割とちょっと大きめでですね、その中に砂を入れて 起きたてなので入ってくれるかなぁというちょっと心配があったんですけども つい先日ですね、初めてそこで用を足してくれたということがありまして ちょっとこれは教科いただけるかわからないんですけどもね、親としてですね 非常に嬉しいなというところがありました その翌日ですね、はいいつもと変わらず僕の机の上にですね 大きい方が乗っていたということで、全然学習してくれないというところであります 人間に対してはね、喋って分かってもらうというところはあるんですけども なかなかですね、動物は言葉が通じませんので、このあたりでどうしていこうかというのは 現在考えているところです。ということで今回は Apache Tomcat に見つかった複数の脆弱性について取り上げております この放送を通じてリスナーの皆さんは、脆弱性のどこに注意して何を確認すべきかについて 理解を深めていただければと思います それではどうぞ # Apache Tomcat に複数の脆弱性 アパッチトムキャットに複数の脆弱性 独立行政法人情報処理推進機構IPAおよび一般社団法人JPサートコーディネーションセンター JPサートCCは10月21日アパッチトムキャットにおける複数の脆弱性について ジャパンバルナビリティノーツJVNで発表した こちらの記事を簡単に解説お願いできますでしょうか はいIPAとJPサートCCは10月21日アパッチトムキャットの複数の脆弱性をJVNで発表しました 開発元のJAPatchソフトウェアファウンデーションは 8件の脆弱性についてアドバイザリーを公開しています 内容はHTTP2やAJPでの応答の取り違い 認証情報の検証が甘くなる問題 TLS1.3の接続失敗 ファイルやソケットの権限設定の不備などです 権限設定の問題は確認した時点と使用する時点の間に 状態が変わるいわゆる特タウという種類です タイミングを狙われると意図しない権限で 操作される恐れがあるため軽視できません 影響を受けるバージョンや対策はJVNではなく Apache Tomcatのアドバイザリを参照するよう案内されています 対策の基本は修正済みのバージョンへ更新することです 過去にもTomcatでは同様の通知が繰り返されており 定期的な確認が欠かせません 今回は特に通信のコンセント認証の甘さという 情報漏洩に直結しうる種類が含まれている点に注意が必要です Apache Tomcatとはそもそもどんなソフトウェアなのでしょうか はい Javaで作られたウェブアプリケーションを 動かすためのサーバーソフトウェアです 社内の業務システムやウェブサービスの裏側で 利用者からの要求を受け取り処理して結果を返す役割を担っています 多くの組織で使われているため脆弱性が見つかると 影響を受ける範囲が広くなりやすいのが特徴です 普段は裏方として静かに動いているため存在を意識されにくく 担当者が変わると管理が曖昧になることもあり 更新が後回しになりやすい点も課題です 記事にある応答の取り違いとは何が起きる問題ですか はい、あるユーザーへ返すべき応答が 別のユーザーへ届いてしまうような状態です HTTP2では1本の接続で複数のやり取りを同時に処理します エラーが起きたときの後始末が不十分だと やり取りが混ざり他人の情報が見えてしまう危険があります 例えばネットショップで別の人の注文内容が 表示されてしまうようなイメージです AJPでも似た問題が報告されています AJPは手前のウェブサーバーとTomcatを繋ぐ 内部用の通信方式で 外部から直接見えない場所で使われることが多いものです 認証情報の検証が甘くなる問題は どれほど深刻なのでしょうか はい、本来は拒否すべき認証を通してしまう状態を フェイルオープンと呼びます 安全側に倒れず開いたままになる設計の問題です 鍵が壊れたときに扉が開いてしまうようなものとを 考えください 外部のディレクトリーサービスと連携する設定を 使っている場合に影響する可能性があるため 自分の環境で該当する設定を使っているかを 確認することが重要です 該当しない場合でも将来の設定変更で影響を受けないよう 情報を残しておくと安心です 自分たちの環境が影響を受けるかは どう確認すればよいですか はい、まず使っているTomcatのバージョンを把握してください 次にアドバイサリーに記載された 影響バージョンと照らし合わせます HTTP2やAJPなど問題が起きる機能を 有効にしているかも確認しましょう 使っていない機能は無効にしておくとリスクを下げられます なお更新後も動作の変化がないか ログを見て確認する習慣をつけると 問題の早期発見につながります 更新の前にはテスト環境で動作を確かめてから 本番へ反映してください この件から私たちが学べる教訓は何でしょうか はい、Tomcatのような基盤となるソフトウェアは 気づかないうちに古いまま動き続けがちだということです どこで何を使っているかの一覧を持ち 更新の手順を決めておくことが大切です 脆弱性情報を定期的に確認し 更新の時期をあらかじめ決めておけば 慌てずに済みます 組織の中で担当者を決めて公開された情報を 共有する流れも整えておきましょう なるほど、Apache Tomcatの脆弱性では 使っているバージョンを確認し アドバイザリーを見て 修正版へ更新することが大切だと分かりました 使っていない機能を止めることも有効なのですね 担当者を決めて定期的に確認する習慣をつけたいと思います また一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、Apache Tomcatに見つかった 複数の脆弱性ということでした。 現在もですね、先日発見されたPHPの脆弱性について 対応中の方が多くいらっしゃるかもしれません。 そんな状況ではありますが、また新たにですね、 脆弱性が公表されてしまいました。 Apache Tomcatということで、こちらもですね、 ご利用中の方が多くいらっしゃるかもしれません。 ご利用中の方はですね、 ぜひお手元の環境をご確認いただければと思います。 今回ですね、深刻度を示すCVSSのスコアが9.1ということでですね、 単純比較はできないんですけれども、 PHPの9.2に対して0.1差ということになります。 CVSSのスコアはどれくらいのスピード感で 対応すべきかが分かってくるわけなんですけども、 そのより解像度を上げていくためにはですね、 このCVSSのベクトルをですね、 見ていくと明らかになることがあります。 今回ですね、その中でも注目したいベクトルが、 ACですね、攻撃条件の複雑さを表すものがあります。 これに関してはですね、CVSSのバージョン3と4とではですね、 構成要素が若干違っていたりしますので、 単純比較はできないんですけれども、 こちらのACの値がですね、 Apache TomcatではLということでですね、 その攻撃条件の複雑さは低いというふうにされております。 これはですね、特別な攻撃条件を必要とはせず、 常に攻撃可能であるということを示しておりますので、 その深刻度がですね、 高い理由の一つになってくるということになります。 一方ですね、そのPHPに関しては、このACが、 これまたそのCVSSバージョン4ですので、 単純比較はできないんですけれども、Hとなっておりまして、 複雑さは高いというふうにされております。 これらがですね、今回の脆弱性が利用されやすいものであるというふうに 評価されることについてはですね、 今後対応される方については、 ご参考にしていただければと思います。 今日の10分セキュリティラジオは、 月曜から土曜に、祝日も休まず配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。