「ベンダーの指示」が存在しない ― 開発元への問い合わせを求めた唯一の命令（2024年12月）

1指示に従えと言いながら、指示が無い

この項目の命令は、まず定型どおりに始まります。「ベンダーの指示に従って緩和策を適用するか、緩和策が利用できない場合は使用を中止せよ」。252件が共有する二択の形です。そのあとに、一文が足されています。 支援と脆弱性の緩和については、製品の開発元に問い合わせてほしい、と。

2足された一文が意味すること

「ベンダーの指示に従え」と書きながら、その指示の在り処を示せない。 だから開発元への問い合わせを促す一文が要りました。二択の定型は、参照すべき情報が存在することを前提にしています。その前提が成り立たないとき、命令は読み手に橋渡しを求めるほかありません。

3脆弱性そのものにも条件が付いている

説明には、MachineKey は別の脆弱性またはその他の経路を通じて入手されなければならないという注記があります。つまりこの脆弱性は単独では成立せず、他の手段と組み合わさって初めて遠隔コード実行に至ります。

単独で成立しない脆弱性でもカタログに載ります。 悪用が確認されたという事実が基準であり、成立条件の複雑さは掲載の可否を左右しません。

4八つの命令を並べ直す

八つ並べると、「要求される措置」の欄が、その脆弱性固有の事情を書き留める場所として使われていることが見えます。過半の889件は「更新を当てよ」の一行で足ります。足りないときに何が書き足されるかを読むことが、その脆弱性の性質を読むことになります。