CVEノートの記事の読み方｜各欄の見方をわかりやすく解説

記事の並び

記事の題には、CVE番号が入っています。ふだんの記事では製品の名前も、特集の記事では通称（Log4Shellなど）も入ります。題のすぐ下には、解説がAIを使用して作成されていることの断り書きがあります。

そのあとに、基本情報の表、何が起きた、攻撃の流れ、誰が影響を受ける、何をすればいい、用語メモ、元データの順に並びます。

解説の文章は、AIを使用して公開データと公式情報の範囲で作成し、公式情報と照らし合わせてから公開しています。それでも誤りを含む可能性があるので、対策の前には公式情報も確かめてください。

基本情報の表

表は「基本情報（データから表示）」という見出しのとおり、データの値をそのまま表示しています。AIは使っていません。

「CVE番号」は脆弱性の共通の番号、「製品」は影響を受ける製品です。「深刻度（CVSS）」は、NVDのデータにある点数と区分（緊急・重要など）、CVSSの版です。その下に、だれの評価かを書き添えています。「NVD による評価」か「NVD に登録された、他の機関（開発元など）による評価」のどちらかです。点数がなければ「不明」です。

「KEVへの追加日」は、米国CISAがKEV（実際に悪用が確認された脆弱性の一覧）に載せた日です。「米国政府機関の対応期限」は、CISAがKEVに設けている期限です。米国の連邦政府の行政機関は、決められた期間内の対応が求められています。CISAは、それ以外の組織にも、KEVに載った脆弱性を優先して対応するよう強く勧めています。

「ランサムウェアでの悪用」は、身代金を要求する攻撃に使われたかどうかです。KEVの記録で確認されていれば「悪用が確認されている」と出ます。そうでなければ「不明（確認されていない）」と出ます。「弱点の種類（CWE）」は、弱点のタイプを表す番号です。

何が起きた・攻撃の流れ

「何が起きた」は、どんな製品に、どんな弱点があったのかを、やさしい言葉で説明する欄です。

「攻撃の流れ」は、攻撃がどう進むかを、番号付きの短い手順で図にしたものです。データをもとにAIを使用して作成した図なので、実際の攻撃はこれと異なる場合があります。

誰が影響を受ける・何をすればいい

「誰が影響を受ける」には、影響を受ける製品や版の範囲が書かれています。自分の使っている製品と版が当てはまるかを、ここで確かめます。

「何をすればいい」には、メーカーの公式情報などにもとづく対策が書かれています。修正版への更新のほか、すぐ更新できないときの一時的な対策が書かれていることもあります。

記事によっては、その下に「やることチェックリスト」があります。対策を短い項目にまとめたもので、作業の抜けがないかの確認に使えます。

用語メモ・元データ・公式情報

「用語メモ」は、その記事に出てきた難しい言葉の短い説明です。

「元データ（英語・CISA KEV より）」は、KEVに書かれている英語の文章です。「概要」と「推奨対応」を、そのまま載せています。解説の文章と見比べたいときに使えます。

その中の「公式情報」には、メーカーの公式の対策のページ、NVDのページ、CISAのKEVのカタログへのリンクがあります。製品の更新など実際の作業は、これらの公式情報を確かめてから行ってください。

まずやること

記事を開いたら、まず基本情報の表の「製品」を見て、自分に関係があるかを確かめます。

関係がありそうなら、「誰が影響を受ける」で版を確かめ、「何をすればいい」（チェックリストがあればそれも）に沿って対応します。最後に「公式情報」のリンク先で、最新の案内を確かめましょう。

なお、特集「定番の脆弱性」の記事は、少し形が違います。表には「通称」と「いつ起きたか」（NVDに登録された日とKEVに追加された日）が載ります。「米国政府機関の対応期限」の欄はありません。元データには、KEVの概要に加えて、NVDの英語の説明が載ります。