日本
The Morning Dev

知っておくべきことだけを、毎朝

‹
 

セキュリティデスク

Shit Hits The Fan

開発者が知っておくべき過去30日間のセキュリティインシデントをすべて掲載しています。0〜100点で評価し、対応を急ぐべき順に並べています。

直近の深刻な火事

—

新しい火事の発生間隔

—

今週のインシデント

4

追跡期間 · 30日

4

ティア表

SShit hits the fan
  • 現在は該当なし。
A今日中にパッチ
  • 現在は該当なし。
B今週中にパッチ
  • 現在は該当なし。
C経過を注視
D参考情報

ランキング

  1. C21

    脆弱性 · 高

    PHP2Shell脆弱性への対応とパッチ適用の限界

    影響を受ける人： PHPを利用する企業やシステム全般

    ティアCの理由： 開発者に影響

    影響範囲

    攻撃

    被害

    修正

    人気ツール

    チェックリスト · 10項目中2項目が「はい」
    はい開発者に影響PHPはWebサーバーや開発で広く使われる言語であり、開発・運用チームに影響する。
    いいえ基幹インフラPHPはOpenSSHやLinuxカーネルのような全チーム共通の基幹インフラではなく、単一の言語処理系である。
    はい人気ツールPHPは多くのWebアプリや開発チームが使う一般的な開発技術であり、脆弱性は広く影響する。
    いいえ悪用確認済みTechTargetジャパン: 脆弱性が世界中で波紋を呼んだとあるが、実際の攻撃が観測されたとは書かれていない。
    いいえ公開エクスプロイトTechTargetジャパン・日経クロステック: 公開されたエクスプロイトや詳細な概念実証への言及はない。
    いいえ認証不要のリモート攻撃TechTargetジャパン・日経クロステック: 攻撃条件（ネットワーク経由、認証不要など）についての記述はない。
    いいえ完全な乗っ取りTechTargetジャパン・日経クロステック: コード実行や権限奪取の可能性を明示した記述はない。
    いいえシークレットの流出日経クロステック: 企業がサービス停止の判断を迫られたとあるが、情報流出や認証情報の露出は書かれていない。
    いいえサプライチェーンTechTargetジャパン・日経クロステック: 配布経路やパッケージ、ビルドパイプラインの侵害への言及はない。
    いいえ修正なしTechTargetジャパン: 「提供されたパッチを当てることは不可欠」とあり、修正パッチが提供済みと読める。

    xtech.nikkei.com · · ソース2件 · 詳細と共有

    取るべき対応

    • PHP2Shell脆弱性に対して提供されたパッチを適用する
    • パッチ適用に加えて、緊急対策12項目などの追加対策を確認する
  2. C20

    セキュリティ · チェックリストは推定

    欧州で相次ぐ冷却設備へのサイバー攻撃

    記事によれば、フランスの血液保管施設にある冷却システムの温度を上昇させようとするサイバー攻撃が試みられた。

    ティアCの理由： 開発者に影響

    影響範囲

    攻撃

    被害

    修正

    チェックリスト · 10項目中1項目が「はい」 · 古いデータからの推定で、まだソースと照合していません
    はい開発者に影響開発者、運用チーム、IT部門が開発に使う、運用する、または責任を持つソフトウェア、機器、サービスに影響するか？
    いいえ基幹インフラほぼすべてのチームが運用するソフトウェアに脆弱性があるか、そのソフトウェアが侵害されたか？
    いいえ人気ツール広く使われているフレームワーク、ツール、プラットフォーム、OS、パッケージに脆弱性があるか、それが侵害されたか？
    いいえ悪用確認済み実際に悪用する攻撃が起きているとソースは報じているか？
    いいえ公開エクスプロイト動作するエクスプロイトや詳細な概念実証が公開されたか？
    いいえ認証不要のリモート攻撃攻撃者は認証情報なしで、被害者の操作もなしに、ネットワーク経由で悪用できるか？
    いいえ完全な乗っ取りコード実行、root/管理者権限の取得、またはアカウントの完全な乗っ取りが可能になるか？
    いいえシークレットの流出認証情報、トークン、鍵、設定、ソースコード、顧客データが盗まれたか、露出したか？
    いいえサプライチェーン開発者が信頼する経路を通じて悪意あるコードが配布されたか？
    いいえ修正なし修正済みのバージョンがまだないか？

    Business Insider Japan · · 詳細と共有

  3. D5

    情報漏えい · 高

    オンライン麻雀Maru-Janで185万件のパスワード流出

    影響を受ける人： Maru-Janの会員185万5,578人分の認証情報

    ティアDの理由： 開発者に影響しない

    影響範囲

    攻撃

    被害

    修正

    悪用確認済み · シークレットの流出

    チェックリスト · 10項目中2項目が「はい」
    いいえ開発者に影響一般向けオンライン麻雀ゲームであり、開発者や運用チームの業務に使われるサービスではない
    いいえ基幹インフラ一般利用者向けのゲームサービスで、ほぼすべてのチームが運用する基幹ソフトウェアではない
    いいえ人気ツール広く開発に使われるフレームワークやツールではなく、一般向けゲームの1サービスである
    はい悪用確認済みサイバーセキュリティ.com: 外部からの不正アクセスにより会員のパスワードが流出したと発表
    いいえ公開エクスプロイトサイバーセキュリティ.com: 攻撃に使われたエクスプロイトの公開について言及はない
    いいえ認証不要のリモート攻撃サイバーセキュリティ.com: 侵入経路や攻撃手法の詳細は示されておらず、認証不要の攻撃かは不明
    いいえ完全な乗っ取りサイバーセキュリティ.com: パスワードとメールアドレスの流出のみで、管理者権限の取得は報じられていない
    はいシークレットの流出サイバーセキュリティ.com: 会員185万5,578人分のメールアドレスとパスワードが流出したと発表
    いいえサプライチェーンサイバーセキュリティ.com: 正規ソフトウェアや配布経路への侵害は報じられていない
    いいえ修正なしサイバーセキュリティ.com: 脆弱性の修正状況は報じられておらず、未修正とする根拠はない

    サイバーセキュリティ.com · · 詳細と共有

    取るべき対応

    • Maru-Janのアカウントのパスワードを変更する
    • 同じパスワードを使っている他サービスのパスワードも変更する
  4. D3

    情報漏えい · 中

    ドコモのahamoサイト不正アクセスと緊急メンテナンス完了

    影響を受ける人： ahamo、ドコモオンラインショップ、My docomoの利用者

    ティアDの理由： 開発者に影響しない

    影響範囲

    攻撃

    被害

    修正

    悪用確認済み

    チェックリスト · 10項目中1項目が「はい」
    いいえ開発者に影響一般利用者向けの携帯電話サービスのサイトであり、開発者向けの製品ではない
    いいえ基幹インフラドコモ1社のサイトに限った事案であり、基幹インフラソフトウェアには当たらない
    いいえ人気ツール開発で広く使われるフレームワークやツールではなく、通信事業者のサイトである
    はい悪用確認済みサイバーセキュリティ.com：ドコモオンラインショップとMy docomoが不正アクセスを受けたと報じている
    いいえ公開エクスプロイトITmediaとサイバーセキュリティ.comは、公開されたエクスプロイトや概念実証に触れていない
    いいえ認証不要のリモート攻撃両ソースは侵入経路や攻撃条件に触れておらず、認証不要とは断定できない
    いいえ完全な乗っ取り両ソースは管理者権限の取得やアカウントの完全な乗っ取りに触れていない
    いいえシークレットの流出両ソースは情報の持ち出しや漏えいについて報じていない
    いいえサプライチェーン両ソースは正規ソフトウェアや配布経路の侵害に触れていない
    いいえ修正なしITmedia：サイトの安全性を確認したためサービスを再開したと報じている

    ITmedia Mobile 最新記事一覧 · · ソース2件 · 詳細と共有

ティア表の仕組み

すべてのインシデントを、同じ10項目のはい/いいえで判定します。「報道から」と記した項目は、報じた媒体の記事だけをもとに判定します。「はい」には必ずその根拠となるソースを示し、ソースに記載がなければ「いいえ」とします。「評価」と記した項目は、影響を受ける製品の性質（誰が運用しているか、どれだけ普及しているか）を分類するもので、1行の理由を添えます。ティアはこれらの項目に対する固定のルールで決まり、Sから順にDまで確認して、最初に当てはまったルールで確定します。各インシデントの「チェックリスト」を開くと、すべての回答とそのソースを確認できます。

CVE番号があるインシデントでは、チェックリストの一部を記事ではなく公開レジストリから取得します。CISAのKnown Exploited VulnerabilitiesカタログとCISA独自の評価、CVEレコードのCVSSベクター、GitHub Advisory Databaseの修正済みバージョンです。これらの回答にはレジストリ名を記し、記事の内容より優先します。CISAカタログへの新規登録とGitHubの重大なアドバイザリーも、それ自体がソースとして取り込まれ、すべての記事と同じニュース判定を受けます。リストに載るのは、開発者にとって重要なものだけです。

チェックリスト

項目「はい」の条件「いいえ」の条件
開発者に影響 評価
開発者、運用チーム、IT部門が開発に使う、運用する、または責任を持つソフトウェア、機器、サービスに影響するか？		ライブラリ、フレームワーク、開発ツール、サーバー、クラウドとSaaS、ネットワーク機器とセキュリティ機器（ファイアウォール、スイッチ、VPN、メールゲートウェイ）、業務用ソフトウェア、誰もが使うOSとブラウザー（Windows、macOS、Linux、iOS、Android、Chrome）。一般向けのアプリやゲーム、フィッシングや詐欺（開発プラットフォームが侵害された場合を除く）、産業用機器・OT、自社の顧客だけが被害を受けるIT業界外の企業への侵入。
基幹インフラ 評価
ほぼすべてのチームが運用するソフトウェアに脆弱性があるか、そのソフトウェアが侵害されたか？		OpenSSH、Linuxカーネル、glibc/musl、apt/dnf、OpenSSL、npm/PyPI全体、GitHub、GitLab、大手クラウド基盤、Docker/Kubernetesの中核部分。どれほど普及していても、単一のフレームワーク、ベンダー1社の製品や機器。ブランドが名前を騙られただけ、またはおとりに使われただけの場合（フィッシング、偽の招待）。判断するのは影響を受けるソフトウェアであって、脆弱なインストール数ではない。Alpineだけに影響するOpenSSHの脆弱性も基幹インフラである。
人気ツール 評価
広く使われているフレームワーク、ツール、プラットフォーム、OS、パッケージに脆弱性があるか、それが侵害されたか？		多くのチームが使う一般的な開発技術。例：Rails、WordPress、Next.js、npm/PyPIの上位1000パッケージ、広く普及した機器。ニッチな製品、1社だけの社内システム、有名ブランドが名前を騙られただけ、またはその利用者がフィッシングの標的になっただけの場合。（基幹インフラが「はい」なら常に「はい」。）
悪用確認済み 報道から
実際に悪用する攻撃が起きているとソースは報じているか？
レジストリ： CVEがCISAの既知の悪用された脆弱性（KEV）カタログに載っているか、CISAが悪用状況を「active」と評価していれば「はい」。		その脆弱性や侵害を使った攻撃が観測されたとソースが報じている、CISAのKEVカタログに載っている、または侵入やマルウェアキャンペーンが実際に起きた。理論上の話、概念実証、研究者によるデモにとどまる。
公開エクスプロイト 報道から
動作するエクスプロイトや詳細な概念実証が公開されたか？
レジストリ： CISAが悪用状況を「poc」と評価しているか、CVEの記録がエクスプロイトにリンクしていれば「はい」。		エクスプロイトコードや手順付きの概念実証が公開されたとソースが述べている。詳細は伏せられている、またはセキュリティアドバイザリーしかない。
認証不要のリモート攻撃 報道から
攻撃者は認証情報なしで、被害者の操作もなしに、ネットワーク経由で悪用できるか？
レジストリ： CVSSベクトルによる：ネットワーク経由、特権不要、ユーザー操作不要（AV:N/PR:N/UI:N）なら「はい」、どのCVEもこのベクトルでなければ「いいえ」。		ネットワークに到達できれば足り、ログインは不要。アカウント、ローカルまたは物理的なアクセス、あるいは被害者のクリックなどの操作が必要。
完全な乗っ取り 報道から
コード実行、root/管理者権限の取得、またはアカウントの完全な乗っ取りが可能になるか？
レジストリ： CVSSベクトルによる：機密性と完全性への影響がともに「高」（またはCISAが技術的影響を「total」と評価）なら「はい」、どのCVEもこのベクトルでなければ「いいえ」。		RCE、root/管理者までの権限昇格、管理者に至る認証回避、アカウントの完全な乗っ取り。情報漏えい、サービス拒否（DoS）、限定的なデータへのアクセス。
シークレットの流出 報道から
認証情報、トークン、鍵、設定、ソースコード、顧客データが盗まれたか、露出したか？		ITチームが運用するシステムや利用するサービスから、攻撃者がシークレット、設定、ソースコード、利用者データを持ち出した、または漏えいによってそれらが露出した。影響を受けたシステムからデータは持ち出されていない、または研究者が可能だと示しただけ。
サプライチェーン 報道から
開発者が信頼する経路を通じて悪意あるコードが配布されたか？		正規プロジェクトのパッケージ、公式アップデート、ビルドパイプライン、コンテナイメージ、署名鍵が侵害された、またはnpm/PyPIなどに悪意あるパッケージが公開された。正規コードの通常のバグ。ツールを装い、非公式なダウンロード、脱獄ツール、海賊版を通じて広がるマルウェア。
修正なし 報道から
修正済みのバージョンがまだないか？
レジストリ： GitHub Advisory Databaseによる：影響を受けるパッケージに修正版がなければ「はい」、すべてにあれば「いいえ」。		ベンダーがまだ修正を公開していない、修正が不完全、または製品のサポートが終了している（EOL）。修正済みのバージョンがある、または脆弱性ではない（侵入、キャンペーン）。

ティア

  1. S

    Shit hits the fan · すべてを止めて対応 · 80〜100点

    • 基幹インフラ かつ 悪用確認済み かつ（完全な乗っ取り または シークレットの流出）
    • 基幹インフラ かつ サプライチェーン
  2. A

    今日中にパッチ · 帰る前に対応 · 60〜79点

    • 基幹インフラまたは人気ツール かつ 悪用確認済み
    • 基幹インフラまたは人気ツール かつ 認証不要のリモート攻撃 かつ 完全な乗っ取り
    • 人気ツール かつ サプライチェーン
    • 基幹インフラまたは人気ツール かつ シークレットの流出
    • 悪用確認済み かつ 修正なし
  3. B

    今週中にパッチ · 次のスプリントで対応 · 40〜59点

    • 悪用確認済み または 公開エクスプロイト
    • 完全な乗っ取り または シークレットの流出 または サプライチェーン
    • 基幹インフラまたは人気ツール かつ 認証不要のリモート攻撃
  4. C

    経過を注視 · 影響を受けるか確認 · 20〜39点

    • テックチームに影響するその他すべて
  5. D

    参考情報 · 知っておくと良い · 0〜19点

    • テックチームへの影響 = いいえ

スコア

スコアはティア内の並び順を決めるためだけのもので、インシデントを別のティアに移すことはありません。スコアはティアの範囲内に収まり、深刻な項目に応じて上がります（悪用確認済み3点、基幹インフラ・完全な乗っ取り・認証不要のリモート攻撃・シークレットの流出・サプライチェーン・修正なしが各2点、人気ツール・公開エクスプロイトが各1点）。さらに、報じた媒体の数と開発者の議論の量に応じて最大2点が加わります。「チェックリストは推定」と記したインシデントは、チェックリスト導入前にまとめたもので、再判定されるまでは古いデータから導いた回答を使っています。