CVE
このタグの記事 7 件
脆弱性(CVE)対応の実務：直しきって、再発を監視し続ける手順
脆弱性対応は『直した』で終わらない。完了＝①スキャン②修正③隔離/引き継ぎ④監視の4点が揃って初めて。特に監視（日次の変化検知）を載せるまでは未完——依存は明日また脆弱になるから。修正の中身が100点でも、次のデプロイで消える運用なら0点。小さな現場こそ、自動の変化検知と『local→push→deploy』の規律で驚くほど守れる。
osv-scannerの導入と使い方：依存パッケージのCVEを機械で見つける
osv-scannerはロックファイルやコンテナを走査して依存のCVEを洗い出す無料ツール。導入・実行・CI組込みを手順化し、npm/pnpm audit・Dependabotとの使い分けまで整理する。当サイトの視点＝ツール選びの正解は『あなたの構成』で決まる。複数言語混在やGitHub非依存ならosv-scanner、単一npmなら同梱のpnpm auditで十分。
Log4Shell（CVE-2021-44228）— 世界中が一晩で“使っているか分からない”脆弱性に震えた日
Log4jの脆弱性(CVSS 10.0)。本質は『間接的な依存（推移的依存）で、知らないうちに使っている』怖さ。ログ出力という受け身の処理が攻撃経路になった。SBOMと依存の機械監視、迅速なパッチ、追随CVEの追跡が教訓。
CVE とは — 脆弱性に付く“共通の背番号”のしくみ
CVEは脆弱性に付く世界共通の識別番号（例 CVE-2025-12345）。同じ穴を皆が同じ名前で参照でき、対策・監視の起点になる。CVE=名前、CVSS=深刻度、KEV=悪用中かで役割が違う。個人は機械監視で追うのが現実的。
RCE（リモートコード実行）とは — なぜ最悪クラスの脆弱性なのか
RCEは攻撃者がサーバー上で任意のコードを実行できてしまう脆弱性。情報漏洩にとどまらず乗っ取りに直結する最悪クラス。被害範囲は『そのプロセスの権限』で決まる。防御の要は迅速な更新・CVE監視・最小権限。
Equifax 情報漏えい事件（2017）— 未パッチのApache Strutsで1.47億人が漏れた原因と防御
原因は『修正パッチが出ていた既知CVE（CVSS 10.0）を公開システムに当てなかった』こと。監視装置の証明書失効で76日間も持ち出しに気づけず被害が拡大。あなたの環境では資産の棚卸し・パッチSLA・機械監視・検知の健全性で再発防止する。
Next.js を安全に運用する：公開済みCVEに後れを取らないしくみ
フレームワークの最大リスクは公開済みCVEの放置。実稼働版で判定し、Dependabot/osv-scannerで機械監視、迅速更新、最小権限の4本柱で守る。当サイトの視点＝個人開発者が負けるのは知識でなく『運用の継続性』。速さより見落とさない仕組みで勝つ。