# オープニング #気になるニュース どうもー。セキュリティ協議の松野です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は気になるニュースに関する話なんですけども、 やっぱりですね、セキュリティのニュースを解説しておりますので、 当然ながら最近毎日のように起こっているサイバー攻撃だったり、 あとは次から次へと見つかる脆弱性ですね。気になっております。 本当にですね、大変な時期だと思っていて、残念ながらそのインシデントが起きてしまって対応中の方だったり、 あとは脆弱性だとほとんどの方がですね、 PHPだったりTomcatだったり、今日のお届けする内容もそうなんですけども、 本当に多くの方が該当するものが出てきてしまっています。 そんな状況なんですけれども、本当にですね、悔しいというか、僕自身がですね、 今年の11月末までか、まだ契約の縛りがありまして、起業もできずですね、 もし皆さんが困っていても駆けつけることができないという状況にあります。 これ自体はですね、一般的な縛りなので仕方がないんですけども、 自分がですね、無力さというか、改めてちょっと不甲斐ないというかですね、 何もできないこの力不足を感じているところです。 ただですね、一歩を引いているからこそ、今の世の中にとって本当に必要なセキュリティが何か見えてきた気がしていて、 それをですね、来る来年の起業に全力でぶつけていきたいというふうに思っています。 ということで、今回はデータ圧縮の仕組みである ブロトリに見つかった境界外書き込みの脆弱性について取り上げております。 この放送を通じてリスナーの皆さんは、脆弱性の内容と確認すべき点、対策の進め方について理解を深めていただければと思います。 それではどうぞ # BrotliのC言語実装に境界外書き込みの脆弱性 ブロトリのC言語実装に境界外書き込みの脆弱性 独立行政法人情報処理推進機構IPA及び一般社団法人JPサートコーディネーションセンター JPサートCCは10月26日ブロトリのC言語実装における境界外書き込みの脆弱性について Japan Vulnerability Notes JVNで発表したこちらの記事を簡単に解説お願いできますでしょうか はいIPAとJPサートCCは10月26日ブロトリのC言語実装における境界外書き込みの脆弱性をJVNで発表しました Googleは10月21日にCVE-2026-111497としてアドバイザリーを公開しています この脆弱性はHTTP2シェルやノード2シェルとも呼ばれています 攻撃者によって採掘された圧縮データを処理した場合任意の高度の実行 機微な情報の摂取サービス運用妨害であるドス状態を引き起こされる可能性があります この3つはいずれも業務に大きな支障をもたらします 対策は開発者が提供する情報を基に最新バージョンへ更新することです 公開から日が浅いため情報は早めに確認し速やかに更新を進めてください ブロトリーとはどんなものなのでしょうか はいGoogleが開発したデータ圧縮のアルゴリズムです ウェブサーバーとブラウザーの間で通信するデータを小さくして表示を早くするために使われ ます ダイブラリーというよく使う機能をまとめた部品の形で様々なソフトウェアに組み込まれています そのため気づかないうちに利用していることも多いのです ブラウザーやウェブサーバー各種の開発ツールなど身近なところに入っています 境界外書き込みとはどんな問題ですか はいプログラムが確保したメモリの範囲を超えてデータを書き込んでしまう問題です 本来書いてはいけない場所を書き換えられるとプログラムの動作を乗っ取られる恐れがあります c 言語はメモリを人が直接管理するためこうした誤りが起きやすいという特徴があります 一方で処理が早いという利点もあり多くの基盤ソフトウェアで使われ続けています 細かな確認を怠ると一文字分のズレでも大きな問題につながってしまいます この脆弱性が悪用されると具体的にどんな被害が考えられますか はい採掘された圧縮データを処理させるだけで任意の行動を実行される可能性があります そうなるとサーバー内の情報が盗まれたりサービスが止められたりします 攻撃者の操作次第で他のシステムへ被害が広がる恐れもあります ウェブサーバーが外部から受け取ったデータを処理する場面では攻撃者に入り口を与える ことになるため注意が必要です 特にインターネットに公開しているサービスでは優先して確認したいところです 外部の利用者が直接触れる部分は攻撃者も狙いやすく 外部から受け取るデータを処理する部分ほど攻撃を受けやすいためです 自分たちが影響を受けるかはどう確認すれば良いですか はいまず自社のシステムで使っているブロ取りのバージョンを調べます 記事にある3つの系統のうち修正前のバージョンに当てはまるかを確認してください バージョンはコマンドや設定画面パッケージの一覧などから調べられます 直接使っていなくても他のソフトウェアが内部に組み込んでいる場合があるため 製品の提供元の情報も確認しましょう バージョンはコマンドや設定画面パッケージの一覧などから調べられます 利用中の製品について更新の案内が出ているかを定期的に見る習慣をつけると安心です 今回の件からどんな教訓が得られるでしょうか はい普段意識しない部品の脆弱性が大きな影響を及ぼすことがあるという点です どの製品がどの部品を使っているかを把握しておくと素早く対応できます ソフトウェアの部品表のような一覧を作っておくと今回のような場面で役立ちます 部品の使用状況が分かれば影響の有無を数分で判断できます 更新の手順も日頃から決めておきましょう 脆弱性の情報は ipa や jp サート cc のサイトで定期的に確認できます 更新後はサービスが正常に動くかを確かめ問題があれば元に戻せるよう準備しておく ことも大切です なるほど ブロ取りの脆弱性では使っているバージョンを確認し最新版へ更新すること そして組み込まれた部品にも目を向け 情報を定期的に確認することが大切だと分かりました また一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、新たに発見された 深刻度の高い脆弱性についてお届けしました。 HTTP to Shellということでですね、 PHP to Shellに続き、こんな短期間で名前が付くほどの 深刻度の高い脆弱性が公表されている状況です。 今がいかに未曾有の危機であるかをですね、 表しているのではないかと思っています。 ただ、実はこの脆弱性ですね、最初に発見されたのは 今年の2月だったことはですね、皆さんご存知でしたでしょうか。 なので冒頭に新たな脆弱性といったのは 半分間違いなわけなんですけども、 この脆弱性、今年の2月時点ではですね、 バグとして報告されていて、2月末にはソースコードの修正も行われていました。 ただ、この時点では脆弱性としては扱われていなくてですね、 ただのバグとして処理されていましたので、 アドバイザリだったり、CVはもちろんですね、 パッチだったり、アップデートのリリースもありませんでした。 それが半年以上経過した10月にCVSS 9.2の 深刻度の高い脆弱性として公表されたということになります。 この8ヶ月間ですね、何があったかということは、 自分が調べる限りですね、公表されていなかったんですけども、 ここはセキュラシー独自の考察として 掘り下げていきたいというふうに思っています。 結論から言うと、バグをさらに分析することで 脆弱性として悪用できることが判明したというふうに思っています。 もちろんその期間に進化したAIを使ってということになります。 ここまで話して、リスナーの皆さんであれば フィンときた方もいらっしゃるんじゃないかなと思っていますが、 過去に見つかった脆弱性と認定されたいバグレベルの問題であっても、 9.2のCVSSスコアがつくくらいの脆弱性になってしまうということが、 まさに今は起きていることなんです。 つまり、新しい脆弱性が発見されるだけではなくて、 既に発見されている軽微な脆弱性ともいえないバグであっても、 脆弱性として悪用するためにAIが使われてしまっていることが、 今回の結果から明らかになったということになります。 これは脆弱性診断の結果に対して、高リスクの脆弱性だけを修正している組織にとっては、 衝撃的な問題だと思っていて、 やっぱりAIの前と後では、セキュリティの考え方を根本的に見直さなければいけない時が来たんだと、 改めて実感しているところです。 今日の10分セキュリティラジオは、月曜から土曜に祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。See you!