2020年 人気脆弱性 TOP 10 in GitHub

はじめに

　「CVE-2020-XXXXXX」が採番された脆弱性の人気TOP 10です。

脆弱性の PoC リポジトリ数やそのリポジトリへのスター数からポイントを算出しています。
算出方法については下の2019年版に記載しています。

blog.motikan2010.com

TOP 10

10位 495 ポイント 『SaltStack Salt における入力確認に関する脆弱性 (CVE-2020-11651)』

公表日:2020/04/30

SaltStack のロゴ

SaltStack とは

SaltStack/Saltは、システム管理者がサーバーのプロビジョニングおよび管理タスクを自動化するための構成管理（Confuguration Management、CM）とオーケストレーションのツールです。

blog.ipswitch.com

脆弱性の内容

脆弱性が悪用された場合、リモートからの攻撃によって、認証不要でマスターサーバ上のユーザトークンが窃取されたり、管理対象サーバ上で任意のコマンドを実行されたりするなどの可能性があります。

www.jpcert.or.jp

9位 508 ポイント 『複数の Microsoft Windows 製品における権限を昇格される脆弱性 (CVE-2020-0787)』

公表日:2020/03/12

ベンダは、本脆弱性を「Windows Background Intelligent Transfer Service の特権の昇格の脆弱性」として公開しています。

Background Intelligent Transfer Service (BITS) とは

BITSとは、Windowsの機能の一つで、通信回線の空いている伝送容量を用いて他のプログラムの通信を阻害せずにファイルの送受信を行うもの。

e-words.jp

脆弱性の内容

www.terabitweb.com

8位 1026 ポイント 『Apache Tomcat の不適切な認可処理 (CVE-2020-1938 通称「Ghostcat」)』

公表日:2020/02/24

Ghostcat のロゴ

脆弱性の内容

　脆弱性を発見したリサーチャ(Chaitin Tech)の記事。
www.chaitin.cn

　脆弱性の解説記事。
blog.trendmicro.co.jp

7位 1076 ポイント 『Microsoft Exchange Server におけるリモートでコードを実行される脆弱性 (CVE-2020-0688)』

公表日:2020/02/11

Exchange Server とは

Exchange Serverとは、Microsoftが開発しているサーバーソフトウェアの一種である。メールサーバーの機能とグループウェアの機能を統合的に管理することができる。

www.weblio.jp

脆弱性の内容

blog.macnica.net

jp.tenable.com

6位 1185 ポイント 『複数の BIG-IP 製品におけるコードインジェクションの脆弱性 (CVE-2020-5902)』

公表日:2020/07/01

脆弱性の内容

　製品提供元である F5 社による脆弱性情報です。
K52145254: TMUI RCE vulnerability CVE-2020-5902

　日本語での情報は下の記事が参考になります。
medium.com

5位 1520 ポイント 『Oracle Fusion Middleware の Oracle WebLogic Server における WLS Core Components に関する脆弱性 (CVE-2020-2551)』

公表日:2020/01/15

IIOP プロトコル関連

IIOPを使用すると、異なるプログラミング言語で記述された分散プログラムどうしがインターネット経由で通信できるようになります。

サーバー: 管理: プロトコル: IIOP

docs.oracle.com

脆弱性の内容

medium.com

4位 1709 ポイント 『Microsoft Windows CryptoAPI における Elliptic Curve Cryptography (ECC) 証明書の検証不備の脆弱性 (CVE-2020-0601)』

公表日:2020/01/14

脆弱性の内容

jovi0608.hatenablog.com

3位 3149 ポイント 『複数の Microsoft Windows 製品における権限昇格の脆弱性 (Netlogon) (CVE-2020-1472 通称「Zerologon」)』

公表日:2020/08/17

Netlogon とは

　脆弱性と共に Netlogon リモートプロトコルの解説が記載されています。
www.nri-secure.co.jp

脆弱性の内容

　脆弱性の発表元である Secura のホワイトペーパーです。
www.secura.com

解説動画

2位 3451 ポイント 『Oracle Fusion Middleware の Oracle WebLogic Server における Console に関する脆弱性 (CVE-2020-14882)』

公表日:2020/10/21

脆弱性の内容

nekochansecurity555.hatenablog.com

www.npa.go.jp

1位 3696 ポイント 『Microsoft SMBv3 の接続処理にリモートコード実行の脆弱性 (CVE-2020-0796)』

公表日:2020/03/12

脆弱性の内容

　脆弱性の検証レポートです。
www.intellilink.co.jp

　脆弱性に関する情報がまとめられています。
piyolog.hatenadiary.jp

脆弱性に関連するアクセスの観測状況

Microsoft SMBv3の脆弱性（CVE-2020-0796）に関連するアクセスの観測状況（グラフ）

Microsoft SMBv3の脆弱性（CVE-2020-0796）に関連するアクセスの観測について | 警察庁 @police

TOP 10 一覧

	スコア	CVE ID	リポ数	スター合計
1位	3696	CVE-2020-0796 / SaltStack Salt	69	3006
2位	3451	CVE-2020-14882 / Windows Background Intelligent Transfer Service	23	3221
3位	3149	CVE-2020-1472 / Apache Tomcat	45	2699
4位	1709	CVE-2020-0601 / Microsoft Exchange Server	32	1389
5位	1520	CVE-2020-2551 / BIG-IP 製品	8	1440
6位	1185	CVE-2020-5902 / Oracle WebLogic Server	51	675
7位	1076	CVE-2020-0688 / Microsoft Windows CryptoAPI	17	906
8位	1026	CVE-2020-1938 / Netlogon	23	796
9位	508	CVE-2020-0787 / Oracle WebLogic Server	3	478
10位	495	CVE-2020-11651 / Microsoft SMBv3	12	375

おまけ

リポ数	CVE ID	概要 (上のTOP 10に入っているものは「-」表記)
69	CVE-2020-0796	-
51	CVE-2020-5902	-
45	CVE-2020-1472	-
32	CVE-2020-0601	-
23	CVE-2020-14882	-
23	CVE-2020-1938	-
17	CVE-2020-0688	-
15	CVE-2020-16898	Microsoft Windows 10 および Windows Server におけるリモートでコードを実行される脆弱性 (Windows TCP/IP のリモートでコードが実行される脆弱性)
14	CVE-2020-1350	複数の Microsoft Windows 製品におけるリモートでコードを実行される脆弱性 (Windows DNS サーバーのリモートでコードが実行される脆弱性)
13	CVE-2020-3452	Cisco Adaptive Security Appliance ソフトウェアおよび Firepower Threat Defense ソフトウェアにおける入力確認に関する脆弱性

参考

• JPCERT コーディネーションセンター https://www.jpcert.or.jp/
• Japan Vulnerability Notes https://jvn.jp/

更新履歴

• 2020年1月1日 新規作成