問29　（実践問題）ぜい弱性情報の調査

2007.09.10

あなたは，インターネット公開用Webサーバーの管理者である。外部ユーザーからの報告で，公開用Webサーバーにぜい弱性が存在することがわかった。報告者によると，このぜい弱性は既知のもので，ぜい弱性の識別番号は「JVN#904429FE」とのことである。インターネットを使ってこのぜい弱性の内容を調べ，このぜい弱性による影響を以下の選択肢から一つ選んで答えなさい。（調査時間の目安：5分間）

[選択肢]
a．バッファ・オーバーフローのぜい弱性で、悪意ある第三者に不正なコードを実行される可能性がある
b．クロスサイト・スクリプティングのぜい弱性で，ページ内容の改ざんや，Cookie情報を取得される可能性がある
c． SQLインジェクションのぜい弱性で，データベースの情報を不正に閲覧されたり，改ざんされたりする可能性がある
d． DoS攻撃のぜい弱性で，プロセスがクラッシュしてサービス運用妨害状態となる可能性がある
e．ログイン認証回避のぜい弱性で，パスワードなしでログインされる可能性がある

[解説]
　正解は，選択肢bの「クロスサイト・スクリプティングのぜい弱性で，ページ内容の改ざんや，Cookie情報を取得される可能性がある」です。

　サーバー管理者やネットワーク管理者は，ベンダーからのアップデート情報やセキュリティ検査サービスのレポートなど，さまざまなところでぜい弱性の情報に触れることになります。ぜい弱性を放置していると不正アクセスの原因になりますので，ぜい弱性対策情報データベースで情報収集を行い，対策の要否を判断するスキルが求められます。

　JVN（Japan Vulnerability Notes）は，国内の製品開発者のぜい弱性対応状況を公開するサイトで，日本語で提供されているぜい弱性対策情報データベースの一つです。国内で報告されたぜい弱性情報に加え，米国CERT/CCと英国CPNIからの情報も公開されています。

　日本語で情報が提供されるぜい弱性対策情報データベースに「JVN iPedia」があります。これを使ってぜい弱性の内容を確認する方法を紹介します。

　最初に，WebブラウザでJVN iPedia（http://jvndb.jvn.jp/）にアクセスし，検索キーワードの欄にぜい弱性の識別番号である「JVN#904429FE」を入力して「検索」ボタンをクリックします。

JVN