NGINXおよびMicrosoft Windows SMBリモートプロシージャコールの脆弱性に先手を打つ
セキュリティとデータ保護において、最新の動向に対する迅速な対応は不可欠です。ハッキングや脅威はいつでも発生し得るため、常に警戒を怠らないことが重要です。Secure Code Warriorでは、最新の脆弱性に関する情報や、リスクを軽減しユーザーを保護するための対策をいち早くお届けできるよう努めています。以前のSpringライブラリの脆弱性に関するお知らせと同様に、今回新たに発見された2つの脆弱性について解説します。
今回は、MicrosoftのServer Message Block（「Windows RPC RCE」）と、NGINXの「LDAPリファレンス実装」という2つの新しい脆弱性に焦点を当てます。
これらの脆弱性について現在判明していることと、リスクを軽減するためにできる対策について読み進めてください。
Microsoft Windows RPC RCE - CVE-2022-26809
4月の「パッチチューズデー」において、MicrosoftはServer Message Block（SMB）機能、特にRPCを処理する部分に脆弱性が存在することを公表しました。この脆弱性は、2003年にワーム「Blaster」によって悪用されたCVE-2003-0352と類似しており、聞き覚えがある方もいらっしゃるかもしれません。
リスクのレベルと悪用の可能性はどの程度でしょうか？
Microsoftのアドバイザリによると、「攻撃の複雑さ」は「低い」とされており、悪用のリスクは、実際に悪用が確認されていない段階では最高レベルである「悪用の可能性が高い（Exploitation More Likely）」と評価されています。
現在、既知の悪用事例はありませんが、攻撃の複雑さが低く、悪用の可能性が高いと評価されていることから、Blaster攻撃のように悪意のある攻撃者が迅速かつ容易に悪用するのではないかと懸念されています。
研究者らは、パブリックインターネット上でポート139/445にアクセス可能なホストが多数存在することを特定しており、大規模な探索が行われた場合、非常に懸念される状況です。
ユーザーはリスクを軽減するためにどのような対策をとるべきでしょうか？
幸いなことに、この脆弱性による悪用リスクを軽減することは比較的容易です。
- インターネットからポート139および445へのアクセスを確実にブロックし、アクセスが必要な場合は内部ネットワークのみに制限してください。詳細については、Microsoftのドキュメントをこちらからご確認ください。
- また、2022年4月12日にMicrosoftからリリースされたパッチを適用してください。
NGINX - LDAPリファレンス実装のRCE
NGINXは2022年4月11日、システム上でリモートコード実行（RCE）を可能にする「LDAPリファレンス実装のRCE」と呼ばれる新しい脆弱性を公表しました。
この脆弱性とはどのようなものですか？
この脆弱性が特殊なのは、本番環境や一般的に機密性の高いシステムで使用されることを意図したコードには影響しないという点です。その名の通り「リファレンス実装（参照実装）」であり、このコードの目的は、NGINX環境でLDAP統合がどのように機能するかを実証することにあります。
どのようなリスクがあり、コードを保護するために何をすべきでしょうか？
幸いなことに、NGINXはデフォルトの状態では脆弱ではありません。主なリスクはLDAP拡張機能がインストールされている場合に発生します。さらに、その脆弱性が悪用されるには、他の複数の条件が揃う必要があります。推奨される対策として、リファレンス実装を使用している場合は、本番環境に対応した実装に切り替えるようにしてください。
詳細については、NGINXの公開情報をご確認ください。
脆弱性に不安を感じていませんか？私たちがサポートします。
今日のWindows RPC RCEやNGINXのLDAPリファレンス実装におけるRCEから、先月のSpringの脆弱性に至るまで、ソフトウェアの脆弱性は常に存在しています。
多くの企業は、コードや顧客へのリスクを軽減するために迅速な対応戦略に注力していますが、これは受動的なアプローチであり、重要ではあるもののリスクを残す可能性があります。私たちは、セキュアなコードを構築し、開発者のスキルを向上させ、セキュリティを重視する文化を醸成するという能動的な戦略こそが、脅威から身を守る最善の方法であると考えています。
ソフトウェア開発ライフサイクルの初期段階から開発者主導のセキュリティを重視することで、保護が強化され、より効率的なコードデプロイが可能になり、時間とコストの削減につながります。
Secure Code Warriorは、教育コンテンツからチームが習得した新しいスキルの実践的な応用までを網羅した、独自のトレーニングプラットフォームで皆様を支援します。
開発者のセキュアコーディング能力を向上させるSecure Code Warrior学習プラットフォームの活用方法をご覧ください。
AI主導の開発をリリース前にガバナンスする
AIを活用したリスク測定、コミット時のセキュアコーディングポリシーの強制、そしてSDLC全体を通じたセキュアなデリバリーの加速を実現します。
他のブログ記事を見る
セキュアコーディング、AIガバナンス、ソフトウェアリスク管理に関する専門的なコンテンツをご覧ください。
%252520%252520(3).avif)
Supercharged Security Awareness: How Tournaments are Inspiring Developers at Erste Group
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Security as culture: How Blue Prism cultivates world-class secure developers
Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed
.avif)
AIを活用した開発をリリース前にセキュアに
開発者のリスクを可視化し、ポリシーを適用することで、ソフトウェア開発ライフサイクル全体における脆弱性を未然に防ぎます。
