確かに、ソクラテス。しかし、現実のLinux運用者として、私はまず確認すべきことがいくつかある。まず、Forma LMSが導入されているか、導入されている場合は4.1.43以下のバージョンなのか。それから、/appCore/ajax.adm_server.php?r=adm/userselector/getDataというスクリプトが存在し、Nameパラメータがユーザー入力を受け付けていないかを、ソースコードや設定ファイルで確認する必要がある。

その際、ベンダー（Forma LMSの開発者）がパッチを公開しているかを公式サイトで確認し、適用の可否を判断する。CVSSが6.3と中程度の深刻度ではあるが、公開されたexploitがある以上、攻撃が即座に試される可能性もある。パッチ適用は、変更管理プロセスに沿ってテスト環境で検証し、本番環境への適用を慎重に進めるべきだ。

その場合、監視に注力する必要がある。例えば、ログに異常なSQLクエリや異常なアクセスパターンが記録されていないかを定期的に確認し、WebアプリケーションファイアウォールでNameパラメータの入力制限を補強するなど、代替的な防御策を検討する。また、ベンダーへの問い合わせを再試行し、情報の更新を待ちつつ、自社のリスク評価を再考する。

いや、むしろ「責任」はベンダーにもある。彼らが公式にパッチを公開せず、連絡にも応じなかった点を問うべきだ。しかし、運用者はその責任を自らの手で補うしかない。つまり、情報の把握、検証、対応という「倫理的行動」を、日々の運用業務として実践する。

「確認」だ。バージョンを確認し、コードを確認し、ベンダー情報を確認する。そして、その確認を怠った時、それが後の「大惨事」の種になることを忘れてはならない。というわけで、今からForma LMSの設定ファイルをチェックしに行きます。