MENU

シノプシスが「オープンソース・セキュリティ&リスク分析レポート」を発表 ~コードベースの74%に高リスクのオープンソース脆弱性、前年から54%増加

ソフトウェア・セキュリティ対策ツール・ポートフォリオ&サービスを提供するシノプシスは4月17日、「2024 オープンソース・セキュリティ&リスク分析(OSSRA:Open Source Security and Risk Analysis)レポート」を発表した。

第9版となる今回のレポートでは、リスク評価を行った商用コードベースの74%に、高リスクの脆弱性にさらされているオープンソース・コンポーネントが含まれており、前年から54%増加していることが明らかになった。

2024 OSSRAレポートは、2023年に17業界にわたる1000以上の商用コードベース監査から得られた匿名化された調査結果をシノプシス サイバーセキュリティ・リサーチ・センター(CyRC)が分析し、所見をまとめたもの。同レポートは、セキュリティ/開発/法務部門に、オープンソース・ソフトウェアの導入と利用の動向、セキュリティ脆弱性の蔓延、ソフトウェア・ライセンスとコード品質リスクなど、オープンソース活用の全体像を包括的に提供している。

コードベースに少なくとも1つのオープンソース脆弱性を含む割合は前年と同じ84%だったが、2023年に高リスクの脆弱性を含むコードベースが大幅に増加している。

経済不安やそれに伴う技術者のレイオフなどにより、脆弱性のパッチ適用を行うためのリソースが減少したことに起因していると考えられる。

高リスクのオープンソース脆弱性(積極的に悪用されている、PoCのエクスプロイトが公開されている、またはリモートコード実行の脆弱性として分類されている)を含むコードベースの割合は、前年の48%から74%に増加した。

主な調査結果は以下のとおりである。

◎古いオープンソース・コンポーネントの使用

組織は時代遅れの、あるいは更新されていないオープンソース・コンポーネントをいまだに使用している。コードベースの91%には、10バージョン以上古いコンポーネントが含まれており、コードベースのほぼ半数(49%)に、過去2年以内に開発活動が行われていないコンポーネントが含まれていた。

また、コードベースに含まれるオープンソース脆弱性の公開からの平均年数は2.5年以上であり、4分の1近くのコードベースに10年以上前から存在する脆弱性が含まれていることが分かった。

◎高リスクのオープンソース脆弱性が業界全体に蔓延

コンピュータ・ハードウェアおよび半導体の業界は高リスクのオープンソース脆弱性を含むコードベースの割合が業種別で最も高い88%に上り、製造、産業機器、ロボットの業界が87%で続いている。

またビッグデータ、AI、BI、機械学習の業界は66%だった。宇宙、航空、自動車、運輸、物流の業界は最も少ないが、コードベースの33%に高リスクの脆弱性が含まれていた。

◎オープンソース・ライセンス問題

ライセンス・コンプライアンス順守は、効果の高いソフトウェア・サプライチェーン・マネジメントにおいて重要だが、レポートでは、コードベースの半数以上(53%)にオープンソース・ライセンスの競合の問題が見つかり、コードベースの31%は識別可能なライセンスがないか、カスタム・ライセンスのコードを使用していることが判明した。

ライセンスに抵触するコードベースの割合が業種別で最も高かったのはコンピュータ・ハードウェアおよび半導体の業界で92%、次いで製造業、産業機器、ロボットの業界が81%だった。ソフトウェアに1つでもコンプライアンス違反のライセンスがあると、知的財産が生み出す利益を失い、修復に時間がかかり、製品の市場投入が遅れる可能性がある。

◎上位10件の脆弱性のうち8件が共通の弱点に由来

今回の調査で最も頻繁に観測されたオープンソースの脆弱性の大部分は、不適切な中和(CWE-707)に分類されるものであった。この脆弱性タイプには、さまざまな形のクロスサイト・スクリプティングが含まれており、悪用された場合、非常に深刻な被害をもたらす可能性がある。

出典:シノプシス

 

[i Magazine・IS magazine]