むしろ、まずsys/config/state/sanitizedエンドポイントへのアクセスが、本当に適切に制限されているか確認すべきです。たとえば、このエンドポイントがインターネット経由で公開されていないか、認証やIP制限が適切かを確認しましょう。また、OpenBaoのバージョンが影響範囲に含まれているかを、公式サイトやパッケージ管理システムで照会する必要があります。

パッチ適用はもちろんですが、まず影響を評価する必要があります。たとえば、このエンドポイントが運用環境で実際に使用されているか、MACキーが漏洩した場合にどうなるかを想定してください。現状でこのエンドポイントにアクセスできる外部システムが存在するか、ログを確認するのもいいでしょう。

パッチ適用後は、変更管理プロセスに従って影響範囲を文書化し、リロールやロールバックの手順を整えるべきです。また、このエンドポイントのアクセスログを定期的に監視し、異常なアクセスを検出できるようにする必要があります。ベンダーの情報確認も忘れずに——OpenBaoの公式リリースノートや、セキュリティアドバイスを確認し、他の同様の脆弱性が存在しないかをチェックしましょう。

CVSSの数値は指針だが、現実の運用環境では「本当にこのエンドポイントがセキュリティの要となるか」が重要です。たとえば、ACMEアカウントのバインディングが重要な運用に使われている場合、軽く見過ごすと後で大変なことになりますよ。定期的なセキュリティ監査の一環として、こうしたエンドポイントの設定を確認する習慣をつけましょう。