- はじめに
- 2021年 人気脆弱性 TOP 10 in GitHub
- 10位 975 pt 『Microsoft Windows Server における権限を昇格される脆弱性 (CVE-2021-42287)』
- 9位 1,005 pt 『Apache Druid における重要なリソースに対する不適切なパーミッションの割り当てに関する脆弱性 (CVE-2021-25646)』
- 8位 1,068 pt 『Microsoft Windows Server における権限を昇格される脆弱性 (CVE-2021-42278)』
- 7位 1,149 pt 『VMware vCenter Server および Cloud Foundation における権限管理に関する脆弱性 (CVE-2021-21972)』
- 6位 1,557 pt 『 Apache HTTP Server におけるディレクトリトラバーサルの脆弱性 (CVE-2021-41773)』
- 5位 1,667 pt 『Microsoft Exchange Server におけるリモートでコードを実行される脆弱性 (CVE-2021-26855 通称 ProxyLogon)』
- 4位 2,034 pt 『Windows 印刷スプーラーのリモートでコードが実行される脆弱性 (CVE-2021-1675 通称 PrintNightmare)』
- 3位 2,696 pt 『Microsoft MSHTML のリモートでコードが実行される脆弱性 (CVE-2021-40444)』
- 2位 2,847 pt 『sudo にヒープベースのバッファオーバーフローの脆弱性 (CVE-2021-3156 通称 Baron Samedi)』
- 1位 15,134 pt 『Apache Log4j における任意のコードが実行可能な脆弱性 (CVE-2021-44228 通称 Log4Shell)』
- まとめ
- WordPressプラグインの脆弱性業界に動きがあった2021年
- 参考
- 更新履歴
はじめに
2021年も終わってしまいました。人気脆弱性ランキングも決まってしまいました。
1位はもちろんアノ脆弱性です。
参考までに 2019年 と 2020年 の人気脆弱性を記載しておきます。
2019年
スコア | CVE ID | リポ数 | スター合計 | |
---|---|---|---|---|
1位 | 5,413 | CVE-2019-0708 / BlueKeep | 111 | 4,303 |
2位 | 1,868 | CVE-2019-11043 / PHP-FPM | 16 | 1,708 |
3位 | 935 | CVE-2019-2725 / Oracle WebLogic | 17 | 765 |
2020年
スコア | CVE ID | リポ数 | スター合計 | |
---|---|---|---|---|
1位 | 3,696 | CVE-2020-0796 / SaltStack Salt | 69 | 3,006 |
2位 | 3,451 | CVE-2020-14882 / Windows Background Intelligent Transfer Service |
23 | 3,221 |
3位 | 3,149 | CVE-2020-1472 / Apache Tomcat | 45 | 2,699 |
2021年 人気脆弱性 TOP 10 in GitHub
10位 975 pt 『Microsoft Windows Server における権限を昇格される脆弱性 (CVE-2021-42287)』
リポジトリ数: 1 スター数: 975
Kerberos 特権属性証明 (PAC) に影響を与えて、潜在的な攻撃者がドメイン コントローラーになりすますことを許可するセキュリティバイパスの脆弱性
9位 1,005 pt 『Apache Druid における重要なリソースに対する不適切なパーミッションの割り当てに関する脆弱性 (CVE-2021-25646)』
リポジトリ数: 7 スター数: 935
8位 1,068 pt 『Microsoft Windows Server における権限を昇格される脆弱性 (CVE-2021-42278)』
リポジトリ数: 5 スター数: 1,018
潜在的な攻撃者がコンピューターアカウント sAMAccountName スプーフィングを使用してドメインコントローラーを偽装できるセキュリティバイパスの脆弱性
7位 1,149 pt 『VMware vCenter Server および Cloud Foundation における権限管理に関する脆弱性 (CVE-2021-21972)』
リポジトリ数: 26 スター数: 889
6位 1,557 pt 『 Apache HTTP Server におけるディレクトリトラバーサルの脆弱性 (CVE-2021-41773)』
リポジトリ数: 76 スター数: 797
5位 1,667 pt 『Microsoft Exchange Server におけるリモートでコードを実行される脆弱性 (CVE-2021-26855 通称 ProxyLogon)』
リポジトリ数: 41 スター数: 1,257
4位 2,034 pt 『Windows 印刷スプーラーのリモートでコードが実行される脆弱性 (CVE-2021-1675 通称 PrintNightmare)』
リポジトリ数: 11 スター数: 1,924
3位 2,696 pt 『Microsoft MSHTML のリモートでコードが実行される脆弱性 (CVE-2021-40444)』
リポジトリ数: 35 スター数: 2,346
2位 2,847 pt 『sudo にヒープベースのバッファオーバーフローの脆弱性 (CVE-2021-3156 通称 Baron Samedi)』
リポジトリ数: 52 スター数: 2,327
1位 15,134 pt 『Apache Log4j における任意のコードが実行可能な脆弱性 (CVE-2021-44228 通称 Log4Shell)』
リポジトリ数: 345 スター数: 11,684
Log4j には JNDI Lookup 機能による外部入力値の検証不備に起因して任意の Java コードを実行可能な脆弱性が存在します。
この脆弱性に関連するリポジトリが345個もあり、この脆弱性の再現が容易であることが分かります。
ニュースでピックアップされるほど影響のある脆弱性でした。
まとめ
簡易一覧
スコア | 公表日 | CVE ID | リポ数 | スター合計 | |
---|---|---|---|---|---|
1位 | 15,134 | 2021/12/10 | CVE-2021-44228 / Apache Log4j | 345 | 11,684 |
2位 | 2,847 | 2021/01/26 | CVE-2021-3156 / sudo | 52 | 2,327 |
3位 | 2,696 | 2021/09/15 | CVE-2021-40444 / Microsoft MSHTML | 35 | 2,346 |
4位 | 2,034 | 2021/06/08 | CVE-2021-1675 / Windows 印刷スプーラー | 11 | 1,924 |
5位 | 1,667 | 2021/03/02 | CVE-2021-26855 / Microsoft Exchange Server | 41 | 1,257 |
6位 | 1,557 | 2021/10/05 | CVE-2021-41773 / Apache HTTP Server | 76 | 797 |
7位 | 1,149 | 2021/02/24 | CVE-2021-21972 / VMware vCenter Server | 26 | 889 |
8位 | 1,068 | 2021/11/09 | CVE-2021-42278 / Microsoft Windows Server | 5 | 1,018 |
9位 | 1,005 | 2021/01/29 | CVE-2021-25646 / Apache Druid | 7 | 935 |
10位 | 975 | 2021/11/09 | CVE-2021-42287 / Microsoft Windows Server | 1 | 965 |
今後、1位の Log4Shell のスコア「15,134」を超えられる脆弱性が現れるのか楽しみです。
リポジトリ数の上位
リポ数 | CVE ID | 概要 |
---|---|---|
345 | CVE-2021-44228 | - |
76 | CVE-2021-41773 | - |
52 | CVE-2021-3156 | - |
41 | CVE-2021-26855 | - |
36 | CVE-2021-26084 | Confluence ServerおよびData CenterのOGNLインジェクション |
35 | CVE-2021-40444 | - |
26 | CVE-2021-21972 | - |
24 | CVE-2021-43798 | Grafana のディレクトリトラバーサル |
21 | CVE-2021-22205 | GitLab CE/EE の認証不要RCE |
12 | CVE-2021-38647 | Open Management Infrastructure (OMI) のRCE |
WordPressプラグインの脆弱性業界に動きがあった2021年
2021年の脆弱性業界に大きな影響を与えたものの1つとして、『WPScanがCNAになった』ということがあります。
WordPressプラグインの脆弱性は今までも多く報告されていましたが、WPScanが窓口になることでより多くの脆弱性がさばける(CVEが採番)ようになった印象があります。
(IPAに報告したら数年後に処理される軽度な脆弱性であっても、1~3日で処理されるようになりました)
WPScanがCNAになったことでCVE取り放題状態なってるの🥺
— motikan2010 (@motikan2010) 2021年7月3日
実際、2020年の3倍近く脆弱性が報告されています。
WPScanの中の人も積極的に脆弱性を探している模様です。
WordPressプラグイン業界への影響としては、『保守されていないプラグインで脆弱性が見つかる → 修正される気配は無し → プラグインがクローズされる』といった事象が多くみられたので個人的には良い影響があった思っています。
参考
更新履歴
- 2022年01月19日 新規作成