問い合わせフォームが設置できるWebアプリケーションに脆弱性…

2000年前後において、外部から直接アクセス可能なドキュメント領域下に個人情報を含むCSVファイル等が保存されているのが多数のWebサイトで発見され、アングラ系の掲示板等で相次いで暴露される事例がありました。

JB問い合わせフォームも、設置したディレクトリ下に作成されるデータ用ディレクトリ内のファイルに問い合わせ内容を保存する仕組みをとっていましたが、当該ディレクトリに直接アクセスできないためのApache用設定ファイルが同梱されており、アプリケーションに対する不正なリクエストで脆弱性を悪用することによるデータファイルへの不正アクセスが可能だったと推測されます。

Webサーバーにファイルをアップロードする形でインストールされたアプリケーションについては、概ね自動更新やその通知機能がないと考えられるため、最新バージョンのリリース時には早急にアップデート対応ができるよう把握・管理しておくこと、またインストール時のファイルのパーミッション設定については、単にWebサーバーから書き込み可能かだけでなく、不必要な読み書き設定がないか等にも十分に注意を払ってください。

それぞれの発表は2022～2023年の年末年始の時などと大きく異なるようなものではなく、経産省等の発表では管理者に向けて、休暇前の「対処手順・連絡体制」「バックアップ」について特に注意するよう呼び掛けています。

IPAではランサムウェアによるサイバー攻撃に関する相談、特にリモートデスクトップサービス(RDP)やVPN装置への侵入の事例が多く寄せられているとしています。

GWまでに日にちがなく十分な対応が間に合わなかったとしても、GW明け以降に点検すべきことは多く存在しますし、以後も夏季休暇等に備えて対応しておくべき事柄も変わらず、また長期休暇に関係なく常時から注意すべき普遍的なものも「日常的に実施すべき情報セキュリティ対策(https://www.ipa.go.jp/security/anshin/measures/everyday.html )」として別途まとまっており、それぞれにおいて準備・点検を行うよう意識していくことが肝要です。