今週のダイジェストでは、以下をご紹介します。
- WordPressプラグイン「WPGateway」に存在するゼロデイ脆弱性
- Visual Studioのコードに特権昇格の脆弱性
- Snyk社「State of Cloud Security Report 2022」からのハイライト
WPGatewayプラグインにおけるゼロデイについて
CVE-2022-3180は、WPGatewayとして知られるWordPressプレミアムプラグインの最新バージョンに存在するゼロデイ欠陥で、悪意のある行為者が影響を受けるサイトを完全に乗っ取ることができる可能性があり、野放し状態で活発に悪用されています。WordPress のセキュリティ企業である Wordfence が指摘するように、この脆弱性は CVSS スコア 9.8 であり、WPGateway プラグインを実行しているサイトに悪意のある管理ユーザーを追加するために武器として利用されています。
ウェブサイトが侵害されたかどうかを確認する方法。
- 最も一般的な指標は、ユーザー名「rangex」の管理者が存在することです。
- Webサイトが侵害されているかどうかを検出するもう一つの方法は、アクセスログに「//wp-content/plugins/wpgateway/wpgateway-webservice-new.php?wp_new_credentials=1」に対するリクエストが現れるかどうかを調べることですが、これは必ずしも侵害が成功したことを意味するわけではありません。
Wordfence は、この脆弱性の悪用と悪意ある行為者の利用を防止するため、脆弱性の詳細について言及を控えています。また、パッチが提供されるまで、このプラグインを WordPress から削除することを推奨しています。
Visual Studio Codeの特権の昇格
CVE-2022-38020は、VS Code v1.71.0 およびそれ以前のバージョンに存在する特権昇格の脆弱性で、共有の Windows マシンで、低権限の攻撃者は、ターミナルプロファイルが検出される場所にbash.exe 実行ファイルを作成することができるようになります。この検出されたプロファイルは、ターミナルプロファイルのリストに公開され、脆弱なユーザーによって容易に実行することができます。問題となったパスは
- C:\Cygwin64binbash.exe
- C:\Cygwin_Binbash.exe
- C:\ProgramDatascoop ↵apps git-with-openssh current ↵bash.exe
この修正は、VS Code 1.71.1以降で利用可能です。この修正（0b356bf）は、これらのパスをターミナルプロファイルの検出機能から完全に削除することで、この攻撃を緩和します。また、マシンにインストールされていないターミナルプロファイルを実行しないようにするなど、他の回避策も適用可能です。管理者は、問題のフォルダをロックすることができるかもしれません。
Snyk社「State of Cloud Security Report 2022」のハイライト。
- 80%の企業が昨年中に深刻なクラウドセキュリティインシデントを経験しています。
- 急成長中の新興企業は、89％が影響を受け、最悪の結果となった。公共部門（政府および非営利団体）もほぼ同様の影響を受けました。
- ユースケースに基づくインシデントでは、主にデータセンターから移行したアプリケーションをホストするプラットフォームとしてクラウドを使用している企業が、過去1年間に深刻なクラウドセキュリティインシデントを報告した（89%）のに対し、サードパーティ製アプリケーションをホストするためにクラウドを使用している企業は、78%、社内アプリケーションの実行および構築のプラットフォームとしてクラウドを使用しているチームは73%で、これは環境に対する可視性と制御性が高いためであると説明されています。
- インフラ as Code (IaC) セキュリティは、クラウドインフラ のセキュリティを SDLC の早い段階（デプロイ前）で検証する機会を提供し、時間の節約と実行時の誤設定問題の頻度の低減を可能にします。
- IaCセキュリティは設定ミスを70%削減し、生産性の向上と導入スピードの向上というIaCセキュリティのROIは、どちらも中央値で70%に達しています。
- クラウドセキュリティを向上させるための5つの提言。
- 環境を知る。クラウド環境で稼働しているすべてのリソース、各リソースがどのように構成されているか、そしてそれらがどのように相互に関連しているかを常に把握しておくこと。
- 予防と安全設計に重点を置くクラウドの侵害を回避する方法は、リソースの誤設定やアーキテクチャの設計上の欠陥など、侵害を可能にする条件を防ぐことである。
- クラウド開発者が安全に構築・運用できるようにする。 インフラ コード採用が主流になるにつれ、クラウドエンジニアは SDLC の設計および開発フェーズでセキュリティを適切に確保するためのツールを必要としています。
- Policy as Code (PAC)による整合と自動化。セキュリティポリシーが人間の言葉だけで表現され、PDF文書で存在する場合、それは全く存在しないのと同じことかもしれません。
- 重要なことを測定し、クラウドセキュリティを運用する。クラウドセキュリティは、運用の規律と適切なプロセスの導入が重要です。
SNYKレポートの全文はこちら。クラウドセキュリティの現状2022」はこちらでご覧いただけます。
コメント