PHPプロジェクトではCVEに対応したセキュリティパッチリリースを行っていません。しかし、
CVEとは
CVEとはCommon Vulnerabilities and Exposuresの頭文字です。日本語にすると
CVEに登録されたエントリはCVE識別子が与えられます。CVE識別子には以下の情報が含まれます。
- CVE識別番号
(例: CVE-1999-0067) - エントリ
(entry) または候補 (candidate) の状態 - 簡単な脆弱性と危険性露出の解説
- 協力者へのリファレンス
(例:脆弱性報告、 アドバイザリなど)
正確にはCVE識別番号と呼ぶべきですが、
CVEエントリの読み方
以下はCVEエントリの見本です。見本といっても本物のCVEエントリです。これは2011/

CVEエントリだけではどのような脆弱性か分かりません。CVEのエントリに対する分析は米国の機関であるNISTのNVD

NISTのNVDにはさまざまな情報が掲載されていますが、
OverviewとImpact
Overviewは名前の通り脆弱性情報の概要です。脆弱性の概要と影響する範囲が簡潔に記載されています。
Impactは脆弱性の影響です。さまざまな脆弱性の危険性や攻撃の難易度などを数値化および分類化しています。詳しい計算方法を覚える必要はありませんが、
- CVSS v2 Base Score ─ CVSS基本値。CVSS
(Common Vulnerability Scoring System) の脆弱性が持つ危険性のスコア - Impact Subscore ─ 影響度。攻撃が成功した場合の深刻度のスコア
- Exploitability Subscore ─ 攻撃容易性。攻撃の難易度のスコア
これらのスコアはそれぞれ、
- CVSS 基本値 = ((0.
6×影響度)+(0. 4×攻撃容易性)-1. 5)×f(影響度)
CVSS Version2の計算方法は比較的複雑なので、
低(Low) | 0. |
中(Medium) | 4. |
高(High) | 7. |
CVSSは脆弱性の危険性の目安となりますが、
CVSSでは脆弱性の特徴が一目で判別できるようにCVSS基本値の横に記号が記載されています。この脆弱性の場合は次のような記号です。
(AV:N/AC:L/Au:N/C:N/I:N/A:P) (legend)
この記号は
AV | アクセスベクタ | 値: L = ローカル, A = 近隣のネットワーク, N = ネットワーク |
AC | アクセス難易度 | 値: H = 高, M = 中, L = 低 |
Au | 認証 | 値: N= 不要, S= 単一の認証, M= 複数の認証 |
C | 機密性への影響 | 値: N = 無し, P = 部分的, C = 完全 |
I | 完全性への影響 | 値: N = 無し, P = 部分的, C = 完全 |
A | 可用性への影響 | 値: N = 無し, P = 部分的, C = 完全 |
つまり
(AV:N/AC:L/Au:N/C:N/I:N/A:P) (legend)
は
- アクセスベクタ ― ネットワーク
- アクセス難易度 ― 低
- 認証の必要性 ― 無し
- 機密性への影響 ― 無し
- 完全性への影響 ― 無し
- 可用性への影響 ― 部分的
となっています。
PHPアプリケーションのCVE情報
先ほどの解説でCVEエントリとNVDデータベースの読み方は理解できたと思います。執筆時点で公開されているPHPアプリケーションのCVEのNVDデータベースを幾つか見てみましょう。
Overview
Mahara before 1.3.6 does not properly restrict the data in responses to AJAX calls, which allows remote authenticated users to obtain sensitive information via a request associated with (1) blocktype/myfriends/myfriends.json.php, (2) json/usersearch.php, (3) group/membersearchresults.json.php, or (4) json/friendsearch.php, as demonstrated by information about friends and e-mail addresses.
Impact
CVSS Severity (version 2.0):
CVSS v2 Base Score:4.0 (MEDIUM) (AV:N/AC:L/Au:S/C:P/I:N/A:N) (legend)
Impact Subscore: 2.9
Exploitability Subscore: 8.0
CVSS Version 2 Metrics:
Access Vector: Network exploitable
Access Complexity: Low
Authentication: Required to exploit
Impact Type:Allows unauthorized disclosure of information
http://
MaharaというEポートフォリオを作成するアプリケーションの脆弱性です。AJAXによるデータ読み取りが正しく制限されてないため、
CVSS v2 Base Score:4.0 (MEDIUM) (AV:N/AC:L/Au:S/C:P/I:N/A:N)
CVSSベーススコアが4.
Overview
Cross-site scripting (XSS) vulnerability in title.php in OPEN IT OverLook 5.0 allows remote attackers to inject arbitrary web script or HTML via the frame parameter.
Impact
CVSS Severity (version 2.0):
CVSS v2 Base Score:4.3 (MEDIUM) (AV:N/AC:M/Au:N/C:N/I:P/A:N) (legend)
Impact Subscore: 2.9
Exploitability Subscore: 8.6
CVSS Version 2 Metrics:
Access Vector: Network exploitable
Access Complexity: Medium
Authentication: Not required to exploit
Impact Type:Allows unauthorized modification
http://
OPEN IT OverLookはイタリア製のWebメールアプリケーションのようです。title.
CVSS v2 Base Score:4.3 (MEDIUM) (AV:N/AC:M/Au:N/C:N/I:P/A:N) (legend)
CVSSベーススコアが4.
XSSなので、
CVE/NVDの信頼性
昨年2010年の間に登録されたCVEはおよそ5000程あります。この脆弱性情報は商用・
CVE/
CVE/
既知の脆弱性を利用した攻撃は後を立ちません。これは新たな脆弱性を発見するより既知の脆弱性を修正しないで放置しているコンピュータを攻撃するほうが効果的に攻撃ができるからです。CVE/
まとめ
今回はCVEとNVDの読み方について簡単に解説しました。CVE/