まったり技術ブログ

Webエンジニアのセキュリティブログ

2021年 人気脆弱性 TOP 10 in GitHub

人気脆弱性 セキュリティ

はじめに

　2021年も終わってしまいました。人気脆弱性ランキングも決まってしまいました。

　1位はもちろんアノ脆弱性です。

　参考までに 2019年 と 2020年 の人気脆弱性を記載しておきます。

2019年

スコア CVE ID リポ数 スター合計
1位 5,413 CVE-2019-0708 / BlueKeep 111 4,303
2位 1,868 CVE-2019-11043 / PHP-FPM 16 1,708
3位 935 CVE-2019-2725 / Oracle WebLogic 17 765

2020年

スコア CVE ID リポ数 スター合計
1位 3,696 CVE-2020-0796 / SaltStack Salt 69 3,006
2位 3,451 CVE-2020-14882
/ Windows Background Intelligent Transfer Service 		23 3,221
3位 3,149 CVE-2020-1472 / Apache Tomcat 45 2,699

2021年 人気脆弱性 TOP 10 in GitHub

10位 975 pt 『Microsoft Windows Server における権限を昇格される脆弱性 (CVE-2021-42287)』

　リポジトリ数: 1 スター数: 975

Kerberos 特権属性証明 (PAC) に影響を与えて、潜在的な攻撃者がドメイン コントローラーになりすますことを許可するセキュリティバイパスの脆弱性

support.microsoft.com

9位 1,005 pt 『Apache Druid における重要なリソースに対する不適切なパーミッションの割り当てに関する脆弱性 (CVE-2021-25646)』

　リポジトリ数: 7 スター数: 935

nicksecuritylog.com

8位 1,068 pt 『Microsoft Windows Server における権限を昇格される脆弱性 (CVE-2021-42278)』

　リポジトリ数: 5 スター数: 1,018

潜在的な攻撃者がコンピューターアカウント sAMAccountName スプーフィングを使用してドメインコントローラーを偽装できるセキュリティバイパスの脆弱性

support.microsoft.com

7位 1,149 pt 『VMware vCenter Server および Cloud Foundation における権限管理に関する脆弱性 (CVE-2021-21972)』

リポジトリ数: 26 スター数: 889

kb.vmware.com

6位 1,557 pt 『 Apache HTTP Server におけるディレクトリトラバーサルの脆弱性 (CVE-2021-41773)』

　リポジトリ数: 76 スター数: 797

www.nri-secure.co.jp

www.jpcert.or.jp

5位 1,667 pt 『Microsoft Exchange Server におけるリモートでコードを実行される脆弱性 (CVE-2021-26855 通称 ProxyLogon)』

　リポジトリ数: 41 スター数: 1,257

www.ipa.go.jp

security.macnica.co.jp

4位 2,034 pt 『Windows 印刷スプーラーのリモートでコードが実行される脆弱性 (CVE-2021-1675 通称 PrintNightmare)』

　リポジトリ数: 11 スター数: 1,924

www.jpcert.or.jp

3位 2,696 pt 『Microsoft MSHTML のリモートでコードが実行される脆弱性 (CVE-2021-40444)』

　リポジトリ数: 35 スター数: 2,346

www.jpcert.or.jp

msrc.microsoft.com

2位 2,847 pt 『sudo にヒープベースのバッファオーバーフローの脆弱性 (CVE-2021-3156 通称 Baron Samedi)』

　リポジトリ数: 52 スター数: 2,327

www.jpcert.or.jp

www.miraclelinux.com

1位 15,134 pt 『Apache Log4j における任意のコードが実行可能な脆弱性 (CVE-2021-44228 通称 Log4Shell)』

　リポジトリ数: 345 スター数: 11,684

Log4Shellのロゴ

Log4j には JNDI Lookup 機能による外部入力値の検証不備に起因して任意の Java コードを実行可能な脆弱性が存在します。

　この脆弱性に関連するリポジトリが345個もあり、この脆弱性の再現が容易であることが分かります。

　ニュースでピックアップされるほど影響のある脆弱性でした。

www.jpcert.or.jp

まとめ

簡易一覧

スコア 公表日 CVE ID リポ数 スター合計
1位 15,134 2021/12/10 CVE-2021-44228 / Apache Log4j 345 11,684
2位 2,847 2021/01/26 CVE-2021-3156 / sudo 52 2,327
3位 2,696 2021/09/15 CVE-2021-40444 / Microsoft MSHTML 35 2,346
4位 2,034 2021/06/08 CVE-2021-1675 / Windows 印刷スプーラー 11 1,924
5位 1,667 2021/03/02 CVE-2021-26855 / Microsoft Exchange Server 41 1,257
6位 1,557 2021/10/05 CVE-2021-41773 / Apache HTTP Server 76 797
7位 1,149 2021/02/24 CVE-2021-21972 / VMware vCenter Server 26 889
8位 1,068 2021/11/09 CVE-2021-42278 / Microsoft Windows Server 5 1,018
9位 1,005 2021/01/29 CVE-2021-25646 / Apache Druid 7 935
10位 975 2021/11/09 CVE-2021-42287 / Microsoft Windows Server 1 965

　今後、1位の Log4Shell のスコア「15,134」を超えられる脆弱性が現れるのか楽しみです。

リポジトリ数の上位

リポ数 CVE ID 概要
345 CVE-2021-44228 -
76 CVE-2021-41773 -
52 CVE-2021-3156 -
41 CVE-2021-26855 -
36 CVE-2021-26084 Confluence ServerおよびData CenterのOGNLインジェクション
35 CVE-2021-40444 -
26 CVE-2021-21972 -
24 CVE-2021-43798 Grafana のディレクトリトラバーサル
21 CVE-2021-22205 GitLab CE/EE の認証不要RCE
12 CVE-2021-38647 Open Management Infrastructure (OMI) のRCE

WordPressプラグインの脆弱性業界に動きがあった2021年

　2021年の脆弱性業界に大きな影響を与えたものの1つとして、『WPScanがCNAになった』ということがあります。

　WordPressプラグインの脆弱性は今までも多く報告されていましたが、WPScanが窓口になることでより多くの脆弱性がさばける(CVEが採番)ようになった印象があります。
(IPAに報告したら数年後に処理される軽度な脆弱性であっても、1~3日で処理されるようになりました)

　実際、2020年の3倍近く脆弱性が報告されています。
WPScanの中の人も積極的に脆弱性を探している模様です。

　WordPressプラグイン業界への影響としては、『保守されていないプラグインで脆弱性が見つかる → 修正される気配は無し → プラグインがクローズされる』といった事象が多くみられたので個人的には良い影響があった思っています。

参考

更新履歴

  • 2022年01月19日 新規作成