ご指摘の通りです。しかし、現実の運用では「USBドライブの使用が許可されている環境」にこそ注意が必要です。まず、openssl_encryptパッケージのバージョンを確認すべきです。1.4.9未満なら、この脆弱性が適用される可能性があります。また、USBドライブ機能が本当に使用されているか、確認しましょう。もし使用しているなら、パッチ適用は最優先です。

冗談抜きに、運用者は「変更管理の記録」を確認し、パッチ適用後の状態を監視する必要があります。たとえば、USBドライブに不正なファイルが挿入された場合、監視ツールで異常を検出できるようにするべきです。また、ベンダーの公式情報や、パッケージのリリースノートを確認し、誤って古いバージョンを導入していないかを再確認するのも重要です。

その通りです。CVSSスコアは「技術的影響の尺度」に過ぎません。たとえば、この脆弱性が「物理的なアクセスを前提とする」ため、実際のリスクは環境に強く依存します。しかし、USBドライブを企業のセキュリティポリシーに組み込んでいる運用者は、この脆弱性を「無視できない」状況にいるのです。

哲学？それより、まずは「USBドライブの使用が本当に必要か」を問い直すことです。そして、もし必要なら、パッチ適用と、変更管理の文書化を徹底してください。USBドライブがセキュリティの「地雷」であることを忘れずに——その上、ベンダーが公式にパッチを公開しているかを確認しましょう。それと、私はこの話を聞いて、USBドライブが「セキュリティの聖域」に見えるのをやめようと思いました。