受け入れられる是正は二つだけ ― Log4j2の脆弱性でCISAが選択肢を限定した（2021年12月）

1命令文にも型がある

既知の悪用された脆弱性のカタログは、脆弱性を並べるだけの一覧ではありません。各項目には「要求される措置」という欄があり、連邦機関が何をすべきかが書かれています。多くは「ベンダーの指示に従って更新を当てよ」という一行で終わります。この連載では、その一行で済まなかった8つの場合を見ていきます。

2「更新を当てよ」で終わる項目が半分以上

要求される措置の文面は40通りしかありません。過半の889件は同じ一行です。一方で、22通りは1件から4件にしか使われていない個別の命令で、その一つひとつに、その脆弱性固有の事情が現れます。

3二つしか認めない

この項目の命令は、選択肢を明示的に限定しています。

「受け入れられる」という語が使われていることが、この命令の性格を示します。他の対処法を思いついたとしても、それは是正として数えない。緩和策で凌ぐことは、更新が存在しない間に限って認められる例外にすぎません。

4なぜここまで書いたのか

掲載は2021年12月10日、期限は12月24日。14日です。Log4j2 は多くのソフトウェアに部品として組み込まれており、影響範囲が自組織だけでは把握しきれないという性質がありました。ランサムウェアによる悪用も既知とされています。

そうした状況では、「対処した」と各機関が個別に判断する余地を残すことがそのまま危険になります。 二つに限定するという書き方は、判断の幅を閉じるための書き方です。次の記事では、直す前にまず通信を止めよと順序まで指定した項目を見ます。