セキュリティエンジニアの夢！CVE、JVN番号の取得経験者になろう！(私の経験談)

1. セキュリティエンジニアの夢！
ＣＶＥ、ＪＶＮ番号の取得経験者になろう！
（私の経験談）
２０２０/１２/０９
パナソニック株式会社
製品セキュリティセンター 検証対策部
前田 朋久
『総関西サイバーセキュリティＬＴ大会（第24回）』

2. 自己紹介
■名前
前田 朋久（Maeda Tomohisa）
Twitter： @kazkiti_ctf
■職業
本業：セキュリティエンジニア(会社員)
副業：バグハンター(個人事業主)
兼業：米国株式投資家
■本業の経歴
パナソニック株式会社に入社
・設計/製造品質コンサルタント（プロセス改善活動） ９年
・システムエンジニア（SIer） ※IT系へ異動希望 ２年
・セキュリティエンジニア ６．５年
（現職）脆弱性診断、脅威分析、OAuth2.0/OIDCの設計支援
Web脆弱性診断スペシャリストの育成の仕組み（kazkitiCTF）構築
マネージメントなどに従事

3. RCEを狙っていく
↓
RCEを報告し
報奨金獲得
実績と経験 ※業務除く
■セキュリティ関連
ＳＥＣＣＯＮ
国内決勝進出
準優勝 準優勝 優勝
医療セキュリティハッキングコンテスト
２０１６ ２０１７ ２０１８２０１５
国内ＣＴＦを開始
海外ＣＴＦを開始
バグ
バウンティ
開始
弊社ＣＴＦチーム（Ｐｗｎａｓｏｎｉｃ）発足
２０１９ ２０２０
ＳＥＣＣＯＮ
国内決勝進出
CVE取得
RCE、XSS
バグバウンティ
RCEなど報告
CVE
JVN
取得
目標達成
目標達成
目標達成
RCEを狙っていく
↓
【RCE】
・CVE-2020-5593
【XSS】
・CVE-2020-5592
目標達成
セキュリティエンジニアになってから実現したい目標はおよそ達成！

4. この実績の中で簡単にとれる
を紹介します

5. 遅い 速い
まず実績の難易度の見える化！
求められる
技術レベル
低
高
求められる
速度レベル
Ｃ
Ｖ
Ｅ
・
Ｊ
Ｖ
Ｎ
取
得
ＳＥＣＣＯＮ
国内決勝
ハッキング
大会優勝
ハッキング
大会準優勝

6. 遅い 速い
ＣＶＥ、ＪＶＮ取得は意外と簡単なのでオススメ！！
求められる
技術レベル
低
高
求められる
速度レベル
ＳＥＣＣＯＮ
国内決勝
ハッキング
大会優勝
ハッキング
大会準優勝
この辺が
オススメ！
Ｃ
Ｖ
Ｅ
・
Ｊ
Ｖ
Ｎ
取
得

7. ＣＶＥ、ＪＶＮ番号とは？
■共通脆弱性識別子ＣＶＥ（Common Vulnerabilities and Exposures）
『プログラム上のセキュリティ問題』を一意に識別するために付けら
れる識別番号。
■ＪＶＮ（Japan Vulnerability Notes）
脆弱性識別番号は、「情報セキュリティ早期警戒パートナーシップ」
制度に基づいて、調整・公表された脆弱性情報。

8. ＣＶＥ、ＪＶＮを同時に取得するには？（１／２）
▼前提条件１
ＩＰＡの「脆弱性関連情報の届出受付」から報告する
【およその流れ】
脆弱性を発見する
↓
ＩＰＡの「脆弱性関連情報の届出受付」へ報告
https://www.ipa.go.jp/security/vuln/report/
↓
ＩＰＡから開発担当者へ連絡し、間に入って調整してくれる
※英語わからなくても大丈夫(私は途中から英語でやりとりした)
↓
開発担当者の質問などに対応
↓
開発担当者が修正完了&新バージョン公開
↓
ＣＶＥ、ＪＶＮが発行＆公開される
開発担当者
報告者
IPA
JPCERT

9. ＣＶＥ、ＪＶＮを同時に取得するには？（２／２）
▼前提条件２．
日本国内で利用されているor日本国内からアクセスするものである

10. 対象の絞り方
よし！やるぞ！

11. まず注意点！！
注意点１
報告しても修正されない場合がある！
⇒ＣＶＥ、ＪＶＮ番号が発行されない！
注意点２
報告後の修正が遅い場合がある！
⇒数年後に対応という場合もある！
商品によって対応が異なる！！（人が違うので当然…ほぼ運！？）
↓
ＣＶＥ、ＪＶＮ番号を取得したいものからしたら死活問題！！
せっかく
報告したのに…

12. 運に左右されないための解決策！
過去にＪＶＮ番号が発行された実績のある商品を対象にする！
https://jvndb.jvn.jp/
（検索例）WebアプリでPHPを利用しているサイトを探したい！
⇒「XSS PHP」など代表する脆弱性で探すとよい。

13. ソフトウェア一覧が検索される
ＪＶＮが発行された (修正対応してくれる開発者のいる)
ソフトウェア一覧が取得できた！

14. このリストから
対象を選ぶときのＰｏｉｎｔ！

15. 【Point1】バグバウンティに公開されている商品は避ける！
有名な商品は避けましょう！
難易度が
格段に上
がります
「簡単」という
前提条件が
崩れてます！

16. 【Point2】ソースコードが確認できるＯＳＳが理想！
ＯＳＳ（Open Source Software）は、
下記の両方のアプローチが取れて、それぞれのメリットを活かせる！
理由１：ソースコードから静的解析（目grep）できる！
⇒プログラミングが得意な人向け
ソース単体での脆弱性を発見しやすい
理由２：環境構築すれば脆弱性診断もできる！
⇒脆弱性診断が得意な人向け
複合的に関係している脆弱性も発見できる
二刀流

17. 私が対象としたソフトウェア

18. たまたま「Zenphoto」というソフトウェアを選択
【私の目標】
最強の脆弱性RCE(リモートコード実行)でＣＶＥ，ＪＶＮを取得したい！
【追加条件】
「アップロード機能のあるOSS」を探しました。
ここは人それぞれ、得意分野（武器）が異なると思います。
自分に合ったやり方を選択してください！
【結果】
数個確認したところで「Zenphoto」を発見！

19. 環境構築

20. 【Point1】Dockerで構築しておく！
ＯＳＳはgithubに公開されていることが多いです！
修正対応された後に、githubの内容が修正されることになります。
その時に、迅速に再現性のある環境構築ができるように
Dockerで環境構築しておくことをオススメします！！
gitとDockerは必須スキルでもあり、
基本スキルでもあるので習得しましょう！
とにかく、独学でいいので勉強すべし！
githubからソースコードを取得して、
必要な設定をDockerfileに書いて作っていく！（意外と簡単です）

21. 環境構築し
脆弱性を探した結果

22. 無事、ＲＣＥとＸＳＳを発見しＣＶＥ，ＪＶＮ番号を取得！
■ＪＶＮ＃３２２５２６４８ （ＲＣＥ）ＣＶＥ-２０２０-５５９２、（ＸＳＳ）ＣＶＥ-２０２０-５５９３
謝辞に名前も掲載されます！
※未掲載も可
https://jvn.jp/jp/JVN32252648/

23. スケジュール感

24. １００日間！（報告からＣＶＥ，ＪＶＮ番号発行まで）
■具体的な進捗
０日目 ２０２０/０３/０２ 某バグハンター仲間にＣＶＥ，ＪＶＮ取得を勧めてもらい、即実施！
（対象ソフトウェアの選定＆環境構築＆脆弱性探索）
１日目 ２０２０/０３/０３ ＸＳＳを発見し、ＩＰＡに報告
２日目 ２０２０/０３/０４ ＩＰＡからお礼の返答
３日目 ２０２０/０３/０５ ＲＣＥを発見し、ＩＰＡに報告
４日目 ２０２０/０３/０６ ＩＰＡからお礼の返答
１１日目 ２０２０/０３/１３ ＩＰＡから受理証明書発行
４２日目 ２０２０/０４/１３ 開発者の質問が返ってくる
（複数回やりとり～修正確認）
１００日目 ２０２０/０６/１１ 脆弱性が開示され、ＣＶＥ，ＪＶＮが発行される
■昨年度の公表日数実績と比較
1
出典：ソフトウェア等の脆弱性関連情報に関する届出状況[2019年第4四半期（10月～12月）]
１００日は
ほぼ平均的な日数

25. 最後に…
裏話

26. 実は…
３月初旬は１６連休で旅行予定だった…
↓
しかし！コロナの影響で、急遽、自宅待機！！
↓
これは１６連休で取得したＣＶＥ，ＪＶＮです！！
コロナ自粛
頑張りました
（裏話）

27. まとめ
ＣＶＥ、ＪＶＮ番号を取得し
楽しみながら
技術力を向上させていきましょう！