PCデポよりゴルスタより「アカウントロック」が気になる？：セキュリティクラスタまとめのまとめ 2016年8月版（3/3 ページ）

» 2016年09月13日 05時00分公開

修正済みの脆弱性を使ったWebアプリケーションの攻撃方法を公開するのって問題なの？

　日本のネット通販を行うサイトの多くで使用されている「EC-CUBE」というECサイトを構築するためのWebアプリケーションがあります。開発主体となる会社はありますが、オープンソースであり、ソースコードやパッチは全て公開されています。

　このEC-CUBEの脆弱性を多く発見しているg_sato（@secmemoblog）氏がブログで、過去に発見して既に修正された脆弱性に対する攻撃方法を2回に分けて公開しようとしたところ、前編を公開したところで開発元のロックオンから公開中止を求めるクレームが入り、後編の公開が中止となりました。

　また、これを受けて、EC-CUBEを使ったサイト構築の経験が長いというサンクユーの堀川治（@ohorikawa）氏がブログを書き、EC-CUBEのユーザーはオープンソースであることを理解していない上に、サイトが公開されてからメンテナンスをしていないところも多いということで、カジュアルに攻撃できるような情報公開を止めたロックオンを支持する意見を表明します。

　これらの動きを見て、セキュリティクラスタではアプリケーションの攻撃手法を公開することの是非が議論の的となりました。Webのセキュリティに関わっている人からは、「攻撃者は公開を停止してもしなくても、既に公開されている脆弱性に対するパッチや差分を見ることで攻撃は可能なのでは」といった意見を述べていました。

　とはいえ、たくさんのサイトが未修正のまま放置されている以上、バグ報告者もなかなか簡単に攻撃情報を公開するわけにはいかないようです。

　この他にも、2016年8月のセキュリティクラスタは以下のような話題で盛り上がっていました。9月はどのようなことが起きるのでしょうね。