【技術のことば】脆弱性：深刻度9.2は攻撃のしやすさと影響の大きさを合わせた点数

IPA（情報処理推進機構）は、脆弱性を製品などの「セキュリティ上の問題箇所」と説明してるんだ。
そこをねらわれると、プログラムが本来の働きをできなくなるおそれがある弱点だよ。

たとえるなら、家の窓の鍵がこわれてるようなもの。
こわれた鍵だけでは何も起きないけど、だれかに見つかれば入られるおそれがあるんだ。

そこが家の鍵と違うところでね。プログラムの弱点は、世界中で同じ製品を使う大勢に関わるんだ。
だから届け出の仕組みでは、見つかった脆弱性はまず作り手に知らされて、作り手が直した版を用意するんだよ。

そう。使う側がその版へ更新すると、穴がふさがるって流れだね。

脆弱性は次々に見つかるから、どれが重いかを比べる物差しが要るんだ。
そこで使われるのが、アメリカの非営利団体FIRSTが管理するCVSSだよ。

IPAによると、作った会社が違っても深刻度を同じ基準で比べられるのが特長なんだ。
学校ごとに採点が違うと点は比べられないけど、全国の模試なら比べられるよね。それと同じ考え方だよ。

0から10までで、模試と違って、点が大きいほど悪い知らせなんだ。
FIRSTはこれを5つの区分に分けてて、9.0以上が最も重いところだよ。

IPAの解説では、そこを「緊急」と呼んでるんだ。
9.2は、2023年に出たCVSSの第4版で付けた数値だよ。
5つに分ける点の境目は、IPAが解説してる第3版と同じなんだ。

そう単純じゃないんだ。CVSSは、いきなり1つの数を付けるわけじゃない。
まず脆弱性をいくつもの観点に分けて、1つずつ見ていくんだよ。

見るところは大きく2つ。1つ目は攻撃のしやすさで、どこから攻め込めるか、ログインや他人の操作が要るかなどを調べる。
2つ目は成功したときの影響で、情報が漏れるか、書き換えられるか、止まるかを調べるんだ。

テストの合計点みたいなものだね。合計が同じでも、どの科目で点を取ったかは人によって違う。
9.2の中身を知るには、科目にあたる項目を1つずつ見る必要があるんだ。

PHPの脆弱性には、9.2と一緒に「AV:N/AC:H/AT:P…」っていう記号の列が付いてたんだ。
見るところごとの判定を短く書いたもので、コロンの左が何を見るか、右がその判定だよ。

主な記号を、ふつうの言葉に直すとこうなるんだ。

そうだね。攻撃する人以外のだれも何もしなくても成り立つし、影響の3つもすべて高い判定だった。
でも、悪用を難しくする事情も評価に表れてるんだよ。

1つは、攻撃を防ぐためにもともと組み込まれた守りの仕組みを、かいくぐらないと成功しないこと。
もう1つは、プログラムの置かれ方や動き方の条件がそろわないと成功しないこと。
FIRSTの説明では、何度も試してやっと成功する場合も、2つ目にあたるんだ。

こわれた鍵の窓で言えば、窓は道路に面してて、合鍵もいらないし、住人がうっかり開けてくれる必要もない。
ただ窓の前には、もともと防犯の柵がある。その柵をくぐり抜けたうえに、家の事情やタイミングがうまく重なったときしか入れない、って感じかな。

あるよ。たとえばIPAは、リンクのクリックやファイルを開くことを例に挙げてる。
その場合は、だれかにリンクを押させるところまでが悪用の一部なんだ。

ここまでの項目で決まるのが、CVSSの基本の点数なんだ。
見ているのはどれも脆弱性そのものの性質で、FIRSTは、時間がたっても使う場所が変わっても同じ値だとしてるよ。
NVD（アメリカの脆弱性データベース）などが出すのも、ふつうはこっちなんだ。

変わらないよ。9.2の中には、そのプログラムを使うサイトの数は入ってないんだ。
FIRSTは、影響を受ける客の数やお金の損失を、CVSSの外のこととしてるんだよ。

車の衝突試験の評価が、その車が何台売れたかで変わらないのと同じだね。
だからPHPを使うサイトがどれだけ多いかは、9.2とは別に考える必要があるんだ。

それも基本の点数には含めないんだ。
ねらわれてるかは「分からない」扱いになって、最も重い場合を仮に置いて計算するんだよ。

使う人があとから攻撃の様子や自分の使い方を足すと、基本の点数とは別に、絞り込んだ値を出せるんだ。