脆弱性
このタグの記事 18 件
MOVEit 大規模情報漏えい（2023）— SQLインジェクションのゼロデイが2,700社超に波及した原因と防御
入口はインターネット公開のファイル転送製品MOVEit TransferのSQLインジェクションのゼロデイ（CVE-2023-34362）。Web shell（LEMURLOOT）が仕込まれ背後のDBからデータが一括窃取され、2,700社超・約9,330万人分が流出。多くの被害者は委託先・取引先がMOVEitを使っていたことで間接的に巻き込まれた。あなたの環境ではKEV即時パッチ・公開面の最小化・Web↔DBの最小権限と分離・委託先の棚卸しとデータ最小化で備える。
CORSとは — 仕組みと、設定ミス（CORS misconfiguration）で起きること
CORSは『別オリジンのJSが自分のAPI応答を読めるか』をブラウザが制御する仕組み。設定ミス＝任意Originの反射や Access-Control-Allow-Origin:* と認証情報の併用で、第三者サイトからログイン済みデータを読まれる。本命の防御は許可リスト方式・Originを鵜呑みに反射しない・既定で拒否。
セッション固定（Session Fixation）とは — 攻撃者が用意したIDでログインさせる穴
セッション固定は、攻撃者が用意した既知のセッションIDを被害者に使わせ、ログイン後にそのIDでなりすます攻撃。本命の防御は『ログイン（と権限変化）のたびにセッションIDを再生成する』こと。URLからのID受け取りを禁じ、Cookieは HttpOnly/Secure/SameSite で固める。
クリックジャッキングとは — 透明な罠で“見えないボタン”を押させる攻撃
クリックジャッキングは、自サイトを透明な iframe で別サイトに重ね、利用者に意図しない操作（送金・設定変更・同意）をさせる攻撃。本命の防御は『自サイトを他サイトの枠に埋め込ませない』＝CSP frame-ancestors と X-Frame-Options。
オープンリダイレクトとは — 信頼されたURLを踏み台に、別サイトへ飛ばされる穴
オープンリダイレクトは、?next= 等の遷移先パラメータに外部URLを入れられ、信頼ドメインを踏み台に別サイトへ飛ばせる脆弱性。フィッシングの土台になる。本命の防御は『遷移先に外部URLを受け取らない／許可リストか相対パスだけにする』。
パストラバーサルとは — ../ でサーバーの“出してはいけないファイル”を読まれる穴
パストラバーサルは、ファイル名の入力に ../ を混ぜて基準ディレクトリの外へ抜け出し、.env・設定・鍵などを読み書きさせる脆弱性。本命の防御は『利用者入力を生のファイルパスに使わない』『正規化して基準ディレクトリ内に閉じ込める』。
IDORとは — IDを書き換えるだけで他人のデータが見えてしまう穴
IDORは、?id=124 を 125 に書き換えるだけで他人の請求書・個人情報が見える、アクセス制御不備の脆弱性。本命の防御は『サーバー側で“このログイン中の利用者が、この対象を見てよいか”を毎回チェックする』。推測されにくいIDは対策にならない。
XSS（クロスサイトスクリプティング）とは — 他人のブラウザで勝手にコードが動く穴
XSSは、攻撃者の用意した文字列が“スクリプトとして”別の利用者のブラウザで実行される脆弱性。セッション窃取・なりすましに直結。本命の防御は『出力時のエスケープ』。フレームワークの自動エスケープを外さないことが最大の対策。
CSRF（クロスサイトリクエストフォージェリ）とは — ログイン中の利用者に“勝手に操作”させる攻撃
CSRFは、ログイン中の利用者のブラウザに“本人が意図しない操作”を勝手に送らせる攻撃。ブラウザがCookieを自動送信する性質を悪用する。本命の防御はCSRFトークン＋SameSite Cookie。状態変更にGETを使わないことも重要。
SQLインジェクション（SQLi）とは — 入力でデータベースの命令を書き換えられる穴
SQLiは、入力が“データ”でなく“命令の一部”として解釈され、DBへの問い合わせの意味が変わる脆弱性。読み出し・改ざん・全削除に直結。本命の防御は『文字列連結をやめ、プレースホルダ（プリペアドステートメント）で値を渡す』こと。
Heartbleed（CVE-2014-0160）— 暗号通信の土台から記憶が漏れた事件
OpenSSLのメモリ過読み取りで、秘密鍵やセッションまで漏れうる事件。要求した長さより多くメモリを返してしまう実装ミスが原因。教訓は『漏れた前提で動く＝証明書再発行・鍵と秘密の総入れ替え』と、土台ソフトの監視・メモリ安全性の価値。
Log4Shell（CVE-2021-44228）— 世界中が一晩で“使っているか分からない”脆弱性に震えた日
Log4jの脆弱性(CVSS 10.0)。本質は『間接的な依存（推移的依存）で、知らないうちに使っている』怖さ。ログ出力という受け身の処理が攻撃経路になった。SBOMと依存の機械監視、迅速なパッチ、追随CVEの追跡が教訓。
CVE とは — 脆弱性に付く“共通の背番号”のしくみ
CVEは脆弱性に付く世界共通の識別番号（例 CVE-2025-12345）。同じ穴を皆が同じ名前で参照でき、対策・監視の起点になる。CVE=名前、CVSS=深刻度、KEV=悪用中かで役割が違う。個人は機械監視で追うのが現実的。
RCE（リモートコード実行）とは — なぜ最悪クラスの脆弱性なのか
RCEは攻撃者がサーバー上で任意のコードを実行できてしまう脆弱性。情報漏洩にとどまらず乗っ取りに直結する最悪クラス。被害範囲は『そのプロセスの権限』で決まる。防御の要は迅速な更新・CVE監視・最小権限。
CVSS とは — 脆弱性の“深刻度スコア”と、その採点基準
CVSSは脆弱性の深刻度を0.0〜10.0で表す共通スコア。点数は『攻撃元・複雑性・必要権限・利用者関与・影響範囲・CIA』という決められたメトリクスを計算式に通して算出される。基準を知れば10.0の意味も読める。ただし優先度はKEV（悪用中か）と自分が使っているかも併せて判断する。
Equifax 情報漏えい事件（2017）— 未パッチのApache Strutsで1.47億人が漏れた原因と防御
原因は『修正パッチが出ていた既知CVE（CVSS 10.0）を公開システムに当てなかった』こと。監視装置の証明書失効で76日間も持ち出しに気づけず被害が拡大。あなたの環境では資産の棚卸し・パッチSLA・機械監視・検知の健全性で再発防止する。
SSRF（サーバーサイドリクエストフォージェリ）とは
SSRFは、外部入力のURLを使ってサーバーに内部リソース（内部IPやクラウドメタデータ）を叩かせる攻撃。URLを取りに行く機能を作るなら、宛先の許可リスト・内部遮断・リダイレクト/DNS再解決の抜け道塞ぎが必須。Capital One事故の入口でもあった。
XZ Utils バックドア（CVE-2024-3094）— 信頼そのものが狙われたサプライチェーン事件
圧縮ライブラリxzに、信頼を得た維持者がバックドアを仕込んだ供給網攻撃。安定版到達寸前で一技術者の『遅い』という違和感が食い止めた。コードでなく『人と信頼』が狙われた。依存の最小化・版固定・再現性・違和感の追跡・維持者支援が教訓。