Cloudflareの脆弱性情報Zero Wire、JVNと何が違うか

新しい脆弱性が公表されたとき、「うちは影響を受けるのか、だれが何をするのか」を1枚にまとめたページを、だれでも読めるようになった。Cloudflareが11月3日に公開した「Zero Wire」で、同社のCloudflare Radarの中にある。Cloudflareを使っていない会社にも役立つ内容だと、同社のブログは説明している。

すべての脆弱性を載せる一覧ではない。Webアプリとその実行環境、外に開いたサービスなど、インターネットに公開するソフトの重大なCVEから、Cloudflareが選んで載せる。1枚のカードには、平易な説明、調べるべき担当、勧める対応、根拠と各社の案内へのリンクが入る。トップは、いま確認や対応が要る「Needs attention」と、案内が落ち着いた「Reference」に分かれ、CVEの番号や名前で探せる。

JVNとKEVと並べると

情シスが見てきた2つの公的な情報源と並べると、次のようになる。

情報源	運営	載る範囲	向いている使い方
Zero Wire	運営Cloudflare	載る範囲外に公開するソフトの重大なCVEから選んだもの	使い方担当と次の対応を社内で話す土台
JVN	運営JPCERT/CCとIPA	載る範囲国内外の連絡を受けて調整した脆弱性と注意喚起	使い方国内の製品も含めて日本語で追う
KEV	運営米国のCISA	載る範囲実際に悪用された脆弱性	使い方直す順番を決める材料

3つは置き換えの関係ではない。KEVは悪用されたことを示し、CISA自身が優先順位を決める材料に使うよう勧めている。Zero Wireのカードは、そのKEVやCVEの記録へリンクを張る形で、調べる順番を示す側に回る。Cloudflareも、各社の案内や脆弱性のデータベースを補うものだと位置づけている。

一方、社内のパソコンや、外に公開しない業務システムの脆弱性は、この選び方では載りにくいだろう。国内の製品を追うなら、JVNは引き続き外せない。ただし、検索用のデータベースJVN iPediaとMyJVNは、システムの保守のため10月22日から止まっていて、再開の時期は未定だ。JVNそのものは、通常どおり読める。

php2shellのカードに見る読み方

ブログは例として、PHPの脆弱性「php2shell」を挙げている。これはPHPの実行環境の脆弱性で、WordPressやMagentoの本体やプラグインを更新しても直らない。カードは、どの実行環境が動いているか、修正は当たっているか、だれが更新を受け持つかを聞くように勧めている。詳しい対応は、情シスの相棒の記事が扱っている。

カードに付く図の読み方には注意がいる。php2shellのカードは、CloudflareのWAFのルールに当たった要求の量をグラフで見せる。ただし、これは侵害された台数でも、成功した攻撃の数でもない。Cloudflareのネットワークで試みが見えないからといって、ほかで悪用が無いとも言えない、とブログ自身が書いている。

カードの最終確認日と更新の履歴も役に立つ。修正の案内は調査が進むと変わるので、同じカードに戻って読み直す使い方ができる。AIエージェントに渡して自社の状況を調べさせる文面も付くものの、文面を写すだけでは何も調べないし、何も変えない。

Cloudflareの情報源だと知って読む

カードには、CloudflareのWAFのルールで防げるか、有料とFreeのプランでどの画面を開くかも載る。専用の保護機能があることは載せる条件ではない、と同社は説明している。とはいえ、対象の説明には「プロキシで悪用を和らげられるところ」とあり、選ぶのも書くのも1社だ。自社の製品が効く話が目に入りやすい点は、差し引いて読みたい。WAFのルールも、修正の代わりにはならない。応答を止めてもサーバーで済んだ処理は戻らないことは、Cloudflare WAFの応答の検査の記事でも触れた。

毎朝の入口を増やすなら、Zero Wireでは「Needs attention」だけを見て、自社で使っているソフトの名前があれば担当へ回す。国内の製品はJVNで、直す順番はKEVで補う。この分担なら、見る場所が増えても時間はあまり増えない。