「Windows Server 2016のマーケティングの事情からMicrosoftによるパッチ適用が遅れた」という、Windowsに存在する脆弱性が公開された（PC Watch、VU#867968）。

この脆弱性はWindowsのファイル共有やプリンタ共有などで使われているSMBプロトコルに関連するもので、悪用することで認証されていない攻撃者が遠隔から該当システムに対するDoS攻撃を行えるという（INTERNET Watch）。

今回、この脆弱性を使った攻撃を行う実証コードも公開されている。この脆弱性は2月14日に配信されるセキュリティパッチで修正されるとのことだが、実証コードを公開したLaurent Gaffie氏によると、この脆弱性は以前より確認されていたにもかかわらず、Microsoftが「マーケティングの事情」でパッチのリリースを遅らせていたと指摘している。

IPAが無償で提供している脆弱性体験学習ツール「AppGoat」に脆弱性が発見された（JVN#39008927：脆弱性体験学習ツール AppGoat におけるクロスサイトリクエストフォージェリの脆弱性）。

AppGoatは「学習テーマ毎に用意された演習問題に対して、埋め込まれた脆弱性の発見、プログラミング上の問題点の把握、対策手法の学習を対話的に実施できる」という学習アプリケーション。意図的に脆弱性を含んだWebアプリケーションに対して攻撃を行う、といったことを試しながら、脆弱性について学べるという（過去記事）。

今回発見された脆弱性は「脆弱性体験学習ツール AppGoat ウェブアプリケーション用学習ツール」にログインした状態で細工された別のページにアクセスすると意図しない操作が行われる可能性がある、いわゆるクロスサイトリクエストフォージェリ（CSRF）。AppGoatは内部的にApache Webサーバーを使用しており、そこでのリクエスト処理に問題があったようだ。

身をもって脆弱性を教えてくれる良い教材というか、ミイラ取りがミイラになるというパターンというか……。