脆弱性診断現場で検出 リスク「高」以上脆弱性ワースト１０

　株式会社ブロードバンドセキュリティ（BBSec）は5月10日、同社のセキュリティサービス本部が管理・運営する情報発信サイト SQAT.jp で「BBSec脆弱性診断結果からみる - 脆弱性を悪用したサイバー攻撃への備えとは - 」を公開した。診断業界大手の視点で脆弱性診断を活用した予防的措置を紹介している。

　同社では2022年下半期に、12業種のべ510の企業や団体、3,964システムに対し脆弱性診断を行っており、脆弱性が検出されたシステムのうち5件に1件はリスクレベル「高」以上の脆弱性が含まれていた。

　2022年下半期におけるWebアプリのリスクレベル「高」以上の脆弱性の検出数ワースト10の上位3項目は、上半期同様、攻撃者にとって悪用しやすくうまみのあるインジェクション系の脆弱性がランクインしている。古い脆弱なバージョンを使用し続けているWebアプリケーションも多く存在し、ワースト10のうち4項目がランクインしている。

　2022年下半期におけるネットワークのリスクレベル「高」以上の脆弱性の検出数ワースト10は、過去と同じような脆弱性が並ぶ中、9位に「SNMPにおけるデフォルトのコミュニティ名の検出」が初めてランクインした。SNMPは、システム内部のステータスや使用ソフトウェア等の各種情報取得に利用されるプロトコルで、管理するネットワークの範囲をグルーピングして「コミュニティ」とし、コミュニティ名にはネットワーク機器のメーカーごとに「public」等のデフォルト値があるが、SNMPにおけるコミュニティ名がデフォルトのままだと、攻撃者に接続されネットワークの内部情報を取得される恐れがある。