米政府の2つのサイバーセキュリティ機関が、2016～2019年にかけての4年間に、もっとも頻繁に悪用されたソフトウェアの脆弱性のトップ10を公表している。
提供：ZDNet
このレポートは、米政府の国土安全保障省サイバーセキュリティインフラストラクチャーセキュリティ庁（DHS CISA）と連邦捜査局（FBI）が作成したものだ。レポートでは、公的部門と民間部門の組織に対して、今日もっとも一般的に使用されている攻撃を防ぐために、必要なアップデートを適用するよう求めている。
このレポートで扱われている事例には、国家が支援する攻撃グループ、国家以外のグループ、正体が不明なグループによる攻撃が含まれている。
米政府の当局者は、セキュリティパッチを適用することで、米国の組織を標的とする外国の攻撃者の攻撃手段を弱体化させられる可能性があると述べている。これは、効果が実証済みの古いバグに頼れなくなり、新たな攻撃手段の開発にリソースを投じる必要が生じるためだ。
米国政府は、既知の古い「これらの脆弱性を悪用するには、パッチが存在しないゼロデイ脆弱性を悪用するよりも、必要とするリソースが少ない場合が多い」と述べている。
「これらの脆弱性にパッチを適用する取り組みを協調して進めれば、敵対国によるスパイ工作が困難になり、相手はより高価で効果も低い攻撃手段の開発や入手を強いられることになる」
このCISAとFBIの合同レポートには、次のような内容も含まれていた。
- もっともよく攻撃に使用されていたのは、「Office」文書に他のアプリケーションのコンテンツを埋め込むために使われている、MicrosoftのOLE（Object Linking and Embedding）に存在する脆弱性だった。
- CVE-2017-11882、CVE-2017-0199、CVE-2012-0158などのOLEに関連する脆弱性は、中国、イラン、北朝鮮、ロシアなどの国家が支援する攻撃グループによく利用されている。
- 2番目に利用されることが多かったのは、「Apache Struts」だった。この内容は、最近発表されたRiskSenseのレポートとも一致する。
- 2020年に入ってからもっともよく悪用されている脆弱性は、CVE-2019-19781（Citrixの製品に存在する脆弱性）とCVE-2019-11510（Pulse SecureのVPN製品に存在する脆弱性）だった。
- 新型コロナウイルスの感染拡大を受けて在宅勤務に移行している組織の多くが、Office 365で設定ミスをしている。
もっともよく悪用されている脆弱性のトップ10（順不同）は以下の通りだ。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
対象製品：Microsoft Office 2003 SP3/2007 SP2/2007 SP3/2010 Gold/2010 SP1、Office 2003 Web Components SP3、SQL Server 2000 SP4/2005 SP4/2008 SP2/2008 SP3/2008 R2、BizTalk Server 2002 SP1、Commerce Server 2002 SP4/2007 SP2/2009 Gold/2009 R2、Visual FoxPro 8.0 SP1/9.0 SP2、Visual Basic 6.0
関連するマルウェア：Dridex
緩和策：対象のMicrosoft製品に最新のセキュリティパッチを適用する。
詳細：https://www.us-cert.gov/ncas/alerts/aa19-339a、https://nvd.nist.gov/vuln/detail/CVE-2012-0158
IOC：https://www.us-cert.gov/ncas/analysis-reports/ar20-133i、https://www.us-cert.gov/ncas/analysis-reports/ar20-133j、https://www.us-cert.gov/ncas/analysis-reports/ar20-133k、https://www.us-cert.gov/ncas/analysis-reports/ar20-133l、https://www.us-cert.gov/ncas/analysis-reports/ar20-133n、https://www.us-cert.gov/ncas/analysis-reports/ar20-133o
