新たな脆弱性や攻撃への対応・新機能

Scutumでは、2023年12月10日時点で、Apache Struts2 の新たな脆弱性（S2-066、CVE-2023-50164）を狙った攻撃について防御できる状態に更新いたしました。

シックス・アパート社が提供するMovable TypeのXMLRPC APIのコマンドインジェクションの脆弱性（CVE-2022-38078）について、Scutumでは2022年8月26日の時点で防御できる状態に更新いたしました。
※今後追加で情報が公開された場合は、再度対応を検討します。

Scutumでは、Apache Struts2 の新たな脆弱性（S2-062、CVE-2021-31805）について、既存の防御機能によって防御できていることを確認しております。

オープンソースJava開発環境フレームワーク「Spring」のリモートコード実行の脆弱性（CVE-2022-22965）について、Scutumでは2022年3月31日時点で既存の防御機能により防御可能なことを確認しております。

VMWare社が提供するオープンソースJava開発環境フレームワーク「Spring」の「Spring Cloud Function」の脆弱性（CVE-2022-22963）について、Scutumでは既存の防御機能で防御可能なことを確認しております。

WAF「Scutum」では、2021年12月10日時点で、本脆弱性を狙った攻撃について、防御できる状態に更新いたしました。

【追記】 追加対策を含む本脆弱性への対応詳細は、「Apache Log4j の任意のコード実行の脆弱性（CVE-2021-44228）を利用した攻撃への対応」ページにてご確認ください。

シックス・アパート社が提供するCMS「Movable Type」の XMLRPC API においてOS コマンドインジェクションの脆弱性（CVE-2021-20837）が確認されており、IPAおよびJPCERT/CCからも注意喚起が行われています。
WAF「Scutum」では、既存の防御機能により本脆弱性公開前から本脆弱性を狙った標準的な攻撃を防御できていることを確認しております。また、難読化を含めた攻撃バリエーションについても、幅広く防御できるよう2021年10月21日までに対応を完了いたしました。

日本時間2021年10月5日に公開された Apache HTTP Serverのパストラバーサルの脆弱性（CVE-2021-41773）への対策として、The Apache Software Foundationからバージョン2.4.50がリリースされましたが、同バージョンにもパストラバーサルおよびリモートコード実行の脆弱性（CVE-2021-42013）が存在し、悪用されるとリモートから任意のコード実行も可能となる旨が発表されました。JPCERT/CCからも、CVE-2021-41773の脆弱性に関する情報への追記として本脆弱性について注意喚起が行われています。
WAF「Scutum」では、CVE-2021-42013の脆弱性についても、既存の防御機能により本脆弱性公開前から攻撃を防御できていることを確認しております。

Apache HTTP Server 2.4.49について、パストラバーサルの脆弱性（CVE-2021-41773）が報告されており、JPCERT/CCおよびIPAからも注意喚起が行われています。
本脆弱性につき、Scutumでは既存の防御機能により本脆弱性公開前から攻撃を防御できていることを確認しております。

Atlassian社のConfluence ServerおよびData Centerに関する脆弱性が確認されており、JPCERT/CCからも注意喚起が行われています。
本脆弱性につき、Scutumでは既存のStruts2脆弱性対策と共通の汎用的機能「OGNLインジェクション防御機能」により、公開された攻撃コードについて本脆弱性公開前から防御できていることを確認しております。

HTTPプロトコルスタックのリモートでコードが実行される脆弱性（CVE-2021-31166）が報告されています。Scutumでは2021年5月20日時点で、本脆弱性を狙った攻撃について、防御できる状態に更新いたしました。

Scutumでは、Apache Struts2 の新たな脆弱性（S2-061、CVE-2020-17530）について、既存の防御機能によって防御できていることを確認しております。

Scutumで検知した防御ログや詳細な攻撃リクエスト内容を取得できる、API機能を実装いたしました。

Apache Struts2 の新たな脆弱性（S2-060）について、2020年8月14日午前（日本時間）にScutumで防御が出来る状態に更新いたしました。

Scutumでは、Apache Struts2 の新たな脆弱性(S2-059)について、既存の防御機能によって防御できていることを確認しております。

Scutumでは、Apache Tomcat の脆弱性 （CVE-2020-9484）を狙ったほとんどの攻撃パターンを既存の防御機能によって防御できていることを確認しております。

「PHPのFastCGI Process Manager（PHP-FPM）における脆弱性」（CVE-2019-11043）を利用した攻撃を防御できる状態に更新いたしました。

Scutumでは「Oracle WebLogic Server の脆弱性」（CVE-2019-2729）を利用した攻撃への対応を完了しております。

「Oracle WebLogic Server の脆弱性」（CVE-2019-2725）を利用した攻撃について、2019年4月26日の段階でScutumの既存の防御機能により防御できていることを確認済みです。

Apache Struts2の脆弱性（S2-057、 CVE-2018-11776）につき、Scutumでは既存の防御機能により攻撃を防御できることを確認済みです。

Artifex Ghostscript の -dSAFER オプションに脆弱性が存在することが報告されています。本脆弱性につき、Scutumでは2018年8月23日に防御できる状態に更新いたしました。

2017年11月、新たに OWASP Top10 2017（最終版）が発表されました。

Apache Struts2の脆弱性（CVE-2017-9805、S2-052）につき、Scutumでの対応をご報告します。

日経BP社「すべてわかるセキュリティ大全2018」（2017年7月刊）にて、Scutum技術チームのメンバー（ビットフォレスト取締役CTO 佐藤匡、同シニアマネージャー 野村真作）がStruts2の一連の脆弱性の背景を解説した取材記事が掲載されました。

Apache Struts2の脆弱性（CVE-2017-9791、S2-048）につき、Scutumでの対応をご報告します。

Apache Struts2の脆弱性（CVE-2017-5638、S2-045、S2-046）につき、Scutumでの対応をご報告します。

2017/2/6にJPCERT/CCより注意喚起がなされた「WordPress の REST APIの脆弱性」を狙った攻撃につき、Scutumでは対応を完了しております。

PHPMailerの脆弱性（CVE-2016-10033、CVE-2016-10045）を狙った攻撃につき、Scutumでは対応を完了しております。

Scutumでは、Webサイトからのレスポンスをチェックし、該当スクリプトがあった場合はそれを無害化し、閲覧ユーザーに影響が及ばない対応を行いました。

Apache Struts2の脆弱性（CVE-2016-4438、S2-037）につき、Scutumでは対応を完了しております。

Apache Struts2の脆弱性（CVE-2016-3081、S2-032）につき、Scutumでは対応を完了しております。

SSL 3.0 プロトコルで使用されるCBC暗号アルゴリズムに深刻な脆弱性（CVE-2014-3566）、通称「POODLE」が発見されております。Scutumでは、独自開発の技術により、SSL3.0は有効にしたままで、POODLEの攻撃のみを特定して検知し、Webサイトへの攻撃を遮断することが可能となりました（2015年1月26日より実装）。

bashの脆弱性(CVE-2014-6271,CVE-2014-7169)、通称 ShellShockが発見されております。本脆弱性に関するScutumご利用サイトへの影響についてご説明いたします。

OpenSSL 1.0.1に含まれる深刻な脆弱性（通称：Heartbleed）が報告されております。本脆弱性に関するScutumご利用サイトへの影響についてご説明いたします。

Scutum利用サイトのユーザ認証を手軽に強化できる、2種類の二要素認証追加機能を正式リリースいたします。
「キャプチャ認証追加機能」は2014年4月より、現在β版としてご提供中の「SMS認証追加機能」についても2014年6月より、正式オプションとして提供を開始いたします。

現在被害が多発している、Apache Struts の脆弱性を利用した攻撃につき、Scutumでの対応をご報告します。

Scutumでは、パスワードリスト攻撃へのより強固な対応策として、Scutum利用中のサイトにWebアプリケーションの追加開発なしで「二要素認証」を追加できる新機能を実装いたしました。
本機能は、2013年8月1日よりβ版オプションサービスとしてご提供を開始いたします。

Scutumでは、悪意を持つ第三者があらかじめ入手してリスト化したID・パスワードを利用してWebサイトへの不正ログインを試みる「パスワードリスト攻撃」を抑制する機能を標準サービスとして搭載いたしました。

Scutumでは、PHPやTomcat等を利用して開発されたWebアプリケーションにおけるサービス運用妨害（DoS）の脆弱性、通称「hash DoS」（ハッシュDoS）を狙った攻撃を検知し防御する機能を標準サービスで搭載いたしました。

Scutumでは、SSLの脆弱性を悪用した「SSL BEAST攻撃」を検知し防御する機能を標準サービスとして搭載いたしました。

現在各機関より報告されている、Apache HTTPD サーバの脆弱性を利用したサービス運用妨害（DoS）攻撃につき、Scutumでの対応をご報告します。

各所より報告されている大規模SQLインジェクション攻撃（以下LIZAMOON攻撃）について、Scutumでの対応をご報告します。