情報を守り、未来を創造するパイオニアとしての信頼と自信で、もっと先へ最高峰のセキュリティサービスと、ITトータルソリューションを提供します。:サイバー救急センター®セキュリティに係るお客様の緊急事態に際し迅速にお客様をご支援する緊急対応サービスです。緊急事態が発生したら今すぐ「サイバー救急センター」にご相談ください。2における任意のコードが実行可能な脆弱性を悪用した攻撃が大規模に行われており、JSOCでも実害を伴う重要インシデント事例が複数のお客様の環境で継続して発生していることから、より一層緊急度を上げた対応の呼び掛けを行います。JSOCアナリストチームの山坂・品川です。新たな脆弱性(S2-045、CVE-2017-5638)が発表されました。今回は、本脆弱性を悪用した攻撃の発生状況などについての情報を本ブログにてお知らせいたします。JSOCでは3月7日頃より、この脆弱性を悪用した攻撃が増加傾向にあることを確認しています。3月9日頃からは非常に重大な被害に繋がる恐れのある攻撃(Webサイトにバックドアの設置を行う攻撃など)を検知しており、複数のお客様の環境で被害が発生、または実際に脆弱性が存在することを確認したことによる重要インシデントが発生※しております。本脆弱性は非常に危険な状態にあると判断できますので、脆弱性の影響を受ける可能性が疑われるシステムについては、安全性の確認が取れるまで一時的にネットワークから隔離を行うなど、より一層緊急度を上げた対応をご検討ください。Analysis(検知されたアラートをパケットレベルで分析を行い、必要に応じて実際にお客様のサーバに対する無害化された疑似攻撃を実施)を行うことにより、高い精度で攻撃による影響の有無を判定しています。JSOCインシデント通知件数の推移3月9日までにJSOCが検知したインシデント通知数は、次のような経過をたどっています。右軸が重要インシデント件数、左軸が攻撃失敗を確認したインシデント件数を示します。暗号化された通信経路で攻撃が行われた事例も確認しました。このような通信はSSLアクセラレータを設置するなど、何らかの復号措置を取っている環境でない場合、IDS/IPS等のネットワーク上で脅威に対応するような製品では、検知することが困難です。SSL/TLS経由でサービスを提供されているシステムを運用されている場合には、特に脆弱性による影響の有無を充分ご確認ください。ヘッダに挿入されます。サーバのログに攻撃の証跡が記録されない可能性が高いと考えられる点にもご留意ください。一方で、WAFなどを導入されている環境では、専用のシグネチャが無い場合でも、「異常なContent-Typeヘッダ」として検出されている可能性がありますので、WAFのログをご確認いただくことをお勧めいたします。して、検知している実績からの一部となりますが、以下に攻撃に含まれる特徴の一部を記載しております。2が利用されている場合には、脆弱性の影響を受けるバージョンであるかどうか等の基本的な確認に加え、これらと類似点が見られる状況がないか、併せてご確認いただくことを推奨いたします。関連のプロセスの意図しない停止など不審なファイルのダウンロードhxxp://180.100.235.26:9/6hxxp://120.210.129.29:5198/back.plhxxp://45.76.210.133/25/V950など※誤って接続することを防止するため、URLの先頭をhxxpに変更しております。アクセスの試行があった時点で、該当のホストには脆弱性がある可能性が考えられる点に注意が必要です。ついては既に公式のサポートが終了しており、影響の有無については公式の情報を得ることができません。Struts1.xには実装されていないことから、影響を受けないと考えられます。