まず、ソクラテス。この脆弱性が本当に我々の環境に影響するか確認する必要があります。たとえば、PHPベースのWebアプリケーションで、/index.php?q=orderdetailsというパスが存在し、locationパラメータが不正に操作できるかをチェックしなければなりません。それと、公式のパッチが公開されているかを確認し、適用の可否を検討すべきです。

そのときは、変更管理の観点で、locationパラメータの入力処理を再評価する必要があります。たとえば、ユーザー入力に対して適切なエスケープ処理や、入力制限の仕組みを導入するなど、設計の見直しを検討すべきです。また、ベンダーの公式情報や、この脆弱性に関する更新履歴を確認するのも重要です。

ソクラテス、公開されたエクスプロイトが存在するため、リスクはゼロではないのです。たとえ低severityでも、攻撃が実際に利用される可能性を考慮し、監視や影響調査を怠ってはなりません。たとえば、ログにXSS攻撃の痕跡が残っていないか、定期的に確認する習慣をつけるべきです。

いや、むしろ実践的な対応が肝心です。たとえば、この脆弱性が「哲学的」に重要かどうかよりも、日々の運用の中で「本当に必要な対応」をどう選ぶかが重要なのです。そして、その判断は、現実のリスクと、我々の運用環境の現状をよく知ることから始まるでしょう。

たとえば、誰かが「おや、このlocationパラメータにJavaScriptを注入するなんて、簡単ですね」と言いながら、我々のシステムを攻撃し始めたかもしれません。そのとき、我々は「ああ、あの脆弱性が本当に問題だったのか」と後悔するでしょう。だから、今からでも、現実的な対応を始めましょう。