家セキュリティウォッチ古いバグがたくさんあるのに、なぜゼロデイに悩まされるのでしょうか？

古いバグがたくさんあるのに、なぜゼロデイに悩まされるのでしょうか？

2024

ゼロデイの脆弱性と高度に洗練された標的型攻撃に執着しないでください。攻撃者はWebアプリケーションの古い既知の欠陥を悪用する可能性が高いため、代わりに基本的なパッチ適用とセキュリティ衛生に焦点を当てます。

Impervaのセキュリティ戦略ディレクターであるBarry Shteiman氏はSecurityWatchに、2010年にパッチを適用した脆弱性と2009年にパッチを適用した脆弱性が4月に最も頻繁に標的とされた10のWeb脆弱性の1つであることを明らかにしました。これらの攻撃キャンペーンは「有益」であるため、年齢にかかわらず、個人攻撃者と工業化攻撃者の両方がこれらの脆弱性を標的にしています。 Shteiman氏によると、この攻撃では、高価なゼロデイエクスプロイトを購入したり開発したりする必要はありません。

攻撃者は、古い脆弱性がWebアプリケーションセキュリティのささいな成果であることを理解しています。攻撃者は必要に応じて洗練されたものになる可能性があり、複雑なキャンペーンを作成するためのツールが用意されています。しかし、なぜ人々が古いバージョンのWebアプリケーションに固執するのか、管理者がアプリケーションの定期的なパッチスケジュールを維持しないのかがわからないのはなぜですか。 Shteiman氏によると、この問題は、フォーラムソフトウェア、コンテンツ管理システム、さらには電子商取引ツールなど、広く使用されているアプリケーションの間でさらに広がっています。

リスクのあるシステム

4月に標的となった脆弱性はすべて、ファイルやSQLインジェクションなどのインジェクション攻撃であり、すべてパッチが適用されています。 2010の欠陥はZeusCMS 0.2の特権管理の問題を悪用し、2009のバグはZen Cart 1.3.8以前のSQLインジェクションでした。「脆弱性が死ぬことはないようだ」とシュタイマンは言った。

攻撃者が1つのCMSの問題を知っていて、CMSが1, 000万回インストールされていた場合、そのバージョンのソフトウェアを実行しているサイトを「意味がある」とShteimanは言いました。賢明なGoogle-fuが必要で、それ以外のことは何もありません。

Impervaは、標的とされた上位10の脆弱性のチャートを提供し、3つのことが明らかになりました。リストの「最新の」脆弱性は2013年のものです。CVSSスコアからわかるように、脆弱性自体は洗練されたものではなく、非常に重大な欠陥です。そして、エクスプロイト自体はそれほど複雑ではありません。

WordPressやJoomlaなど、一般的なCMSソフトウェアに対する大量の攻撃が行われています。脆弱なシステムが十分にあるため、攻撃者はゼロデイ攻撃を仕掛けるよりもはるかに安価で簡単にこれらのシステムを探すことができます。

インジェクションの世界の増加

Shteiman氏によると、攻撃者は既存および最近発見された攻撃ベクトルを何度も繰り返し使用するだけです。これが、SQLインジェクションとクロスサイトスクリプティングが一般的な攻撃ベクトルである理由です。 SQLiの問題は10年前に解決されましたが、攻撃率はまだ高いです。クロスサイトスクリプティングは過去3か月間の攻撃の40％を占め、SQLインジェクションは25％だったと彼は言いました。

「がんの治療法があれば、死亡率の低下が見込めますが、SQLインジェクションの場合はそうではありません」とShteiman氏は述べています。

Exploit-db.comを一目見れば、Shteimanの観察結果が確認できます。 Webアプリケーションにリストされている7つのエクスプロイトのうち、5つは何らかの方法でWordPress、AuraCMS、ソーシャルビジネスプラットフォームSharetronixなどの既製のソフトウェアを扱っていました。 XSSおよびSQLインジェクション攻撃も頻繁にリストされました。

管理者は、毎日何百万人ものユーザーがいるサイトを管理している場合でも、オンラインでの存在が少ないサイトを管理している場合でも、定期的にソフトウェアにパッチを適用する必要があります。多くのCMS開発者は、ソフトウェア内の更新プロセスを簡素化しており、インストールされているすべてのアプリケーションを識別するのに役立つツールがあります。使用されていない機能は無効にする必要があります。

確かに、ゼロデイ攻撃と標的型攻撃は怖いです。しかし、攻撃者があなたのデータとあなたのサイトを訪れた場合（そして、誰かがそうする可能性が高い場合）、ソフトウェアに穴を開けることで簡単にしないでください。パッチを適用し、評価ツールを実行して、疑わしい動作を探します。警戒が重要です。