【サイバーセキュリティ白書】2020年3月の脆弱性情報まとめ

サイバー攻撃の被害が後を絶たない昨今、最新の脆弱性を収集して把握することはセキュリティ対策を行う上で必要不可欠となっています。本シリーズ「サイバーセキュリティ白書」では、クラウド型WAF「攻撃遮断くん」やAWS WAF自動運用サービス「WafCharm」を開発運営するサイバーセキュリティクラウドのセキュリティエンジニアが調査した脆弱性情報を解説していきます。※本記事は2020年3月度 脆弱性情報のまとめとなります。

2020年3月に公開された新たな脆弱性について、いくつかご紹介します。

CVE-ID：CVE-2020-3794
CVSS v3 Base Score：9.8
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2020-3794

Adobe ColdFusionはアプリケーションフレームワーク、アプリケーションサーバです。
ColdFusion 2016のUpdate 13以前、ColdFusion 2018のUpdate 7以前に
影響があります。
ColdFusion 2016はUpdate 14、ColdFusion 2018はUpdate 8への
アップデートが推奨の対応策となります。

CVE-ID：CVE-2020-9402
CVSS v3 Base Score：9.8
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2020-9402

DjangoはPythonで実装されたWebアプリケーションフレームワークです。
バージョン1.11.29より以前、2.2.11より以前、3.0.4より以前に影響があります。
バージョン3.0.4、2.2.11、1.11.29へのアップデート、
または、以下djangoprojectのセキュリティリリースに従い、
パッチを適用することが推奨の対応策となります。
https://www.djangoproject.com/weblog/2020/mar/04/security-releases/

CVE-ID：-
CVSS v3 Base Score：-
CVSS v3 Vector：-
情報源：https://www.drupal.org/sa-core-2020-001
drupal.orgにおける識別番号はSA-CORE-2020-001

Drupalは人気のあるコンテンツマネジメントシステム(CMS)の一つです。
third-party libraryであるCKEditorの脆弱性に起因しています。
バージョン8.7.12より以前、8.8.4より以前に影響があります。
バージョン8.8.4、8.7.12へのアップデートが推奨の対応策となります。

・不適切なアクセス制御に関する脆弱性
CVE-ID：CVE-2020-10238
CVSS v3 Base Score：7.5
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
情報源：https://nvd.nist.gov/vuln/detail/CVE-2020-10238

バージョン2.5.0から3.9.15に影響があります。

・不適切なアクセス制御に関する脆弱性
CVE-ID：CVE-2020-10239
CVSS v3 Base Score：8.8
CVSS v3 Vector：AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2020-10239

バージョン3.7.0から3.9.15に影響があります。

・入力検証の不備に関する脆弱性
CVE-ID：CVE-2020-10240
CVSS v3 Base Score：5.4
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
情報源：https://nvd.nist.gov/vuln/detail/CVE-2020-10240

バージョン3.0.0から3.9.15に影響があります。

・CSRFの脆弱性
CVE-ID：CVE-2020-10241
CVSS v3 Base Score：8.8
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2020-10241

バージョン3.2.0から3.9.15に影響があります。

・クロスサイトスクリプティングの脆弱性
CVE-ID：CVE-2020-10242
CVSS v3 Base Score：6.1
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
情報源：https://nvd.nist.gov/vuln/detail/CVE-2020-10242

バージョン3.0.0から3.9.15に影響があります。

・SQLインジェクションの脆弱性
CVE-ID：CVE-2020-10243
CVSS v3 Base Score：9.8
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2020-10243

バージョン1.7.0から3.9.15に影響があります。

Joomla!は人気のあるコンテンツマネジメントシステム(CMS)の一つです。
上記脆弱性についてはいずれも、バージョン3.9.16へのアップデートが
推奨の対応策となります。

CVE-ID：CVE-2020-0618
CVSS v3 Base Score：8.8
CVSS v3 Vector：AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2020-0618

Microsoft SQL Server 2012、2014、2016に影響があります。
セキュリティ更新プログラムの適用が推奨の対応策となります。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0618

CVE-ID：CVE-2020-10802
CVSS v3 Base Score：8.0
CVSS v3 Vector：AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2020-10802

CVE-ID：CVE-2020-10803
CVSS v3 Base Score：5.4
CVSS v3 Vector：AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
情報源：https://nvd.nist.gov/vuln/detail/CVE-2020-10803

CVE-ID：CVE-2020-10804
CVSS v3 Base Score：8.0
CVSS v3 Vector：AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2020-10804

phpMyAdminは、MySQLをウェブブラウザで管理するための
PHPで実装されているデータベース接続クライアントツールです。
いずれの脆弱性もバージョン4.9.5より以前、5.0.2より以前に影響があります。
バージョン4.9.5以降、5.0.2以降へのアップデートが推奨の対応策となります。

CVE-ID：CVE-2020-5247
CVSS v3 Base Score：7.5
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
情報源：https://nvd.nist.gov/vuln/detail/CVE-2020-5247

バージョン3.12.3より以前、4.0.0以前、4.3.2より以前に影響があります。
バージョン3.12.4、 4.3.3へのアップデートが推奨の対応策となります。

CVE-ID：CVE-2020-5249
CVSS v3 Base Score：6.5
CVSS v3 Vector：AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
情報源：https://nvd.nist.gov/vuln/detail/CVE-2020-5249

バージョン3.12.2より以前、4.0.0以前、4.3.1より以前に影響があります。
バージョン3.12.2、 4.3.1へのアップデートが推奨の対応策となります。

CVE-ID：CVE-2020-10257
CVSS v3 Base Score：9.8
CVSS v3 Vector：AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
情報源：https://nvd.nist.gov/vuln/detail/CVE-2020-10257

WordPress ThemeREX Addonsは、WordPress pluginの1つです。
修正バージョンがThemeREXにより提供されていますので、
最新のバージョンへのアップデートが推奨の対応策となります。

今回ご紹介した脆弱性ですが、実際に公開された脆弱性の数からするとほんの一握りです。
それぞれの脆弱性に対して、製品を提供しているベンダーから推奨の対応策が提供されていますので、早急に対応を実施することが推奨されます。
ただし、様々な理由により、推奨の対策が実施できない場合もあると思います。そういった場合には、マネージドセキュリティサービスを利用してカバーすることも非常に有効となります。