OSSに潜在する訴訟・脆弱性リスク | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.10.24(火)

OSSに潜在する訴訟・脆弱性リスク

脆弱性と脅威 脅威動向

ある企業が自社システムにはオープンソースソフトウェア(OSS)を使っていないと考えていた。しかし、業務アプリを3つ任意に調べたところ、約400件のOSSコンポーネントが存在し、その中に286件の脆弱性が発見された。脆弱性には、3年前に大きな話題となったHeartbleedさえ含まれていた。

こう語ったのは、ブラック・ダック・ソフトウェア 代表取締役社長 ジェリー・フィズニック氏だ。ブラック・ダック・ソフトウェアは、OSSの脆弱性とライセンス管理ソリューションを提供する米企業である。

●IT産業のインフラ化しているOSS

現在、インターネット上のサービスを利用する、または関連のシステムを開発するのに、OSSの利用は避けて通れない。LinuxやAndroidは言うに及ばず、PHPやPostgreSQL、Apache、Apache Strutsといった開発ツールや環境、アプリ開発に必要なライブラリ、サービスコンポーネントに至るまで、いまやOSSを利用せず、ソフトウェア開発をするのは不可能といってもよい。

OSSの脆弱性管理やライセンス管理の認識が薄いのは、技術に暗い管理職が、無料で使えるならその他の制約もないだろうと誤解するのかもしれない。現場のエンジニアは自覚している人も少なくないだろうが、対策には管理職や経営層の理解が必要になる。あるいは、納期に追われ余分な手間を増やしたくないという本音もあるかもしれない。

しかし、自社が開発しているソフトウェアをOSSとして公開していないだけで、OSSはソフトウェア開発やITサービスのインフラのひとつなっている。

同社の調査によれば、世の中のソフトウェアの96%になんらかのOSSコンポーネントが含まれており、そのうち67%が既知の脆弱性を含んでいるとする。1アプリケーションあたり平均では、147のOSSコンポーネント、27の脆弱性が発見されるという。また、アプリケーションのうち85%はOSSのライセンスに抵触している可能性があるという意見も存在する。

●OSS特有のライセンス管理

企業がOSSを使うことはリスクにつながるのだろうか。

《中尾 真二》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

脆弱性と脅威 カテゴリの人気記事 MONTHLY ランキング

  1. 「KRACKs」に対して、現時点で想定される脅威と対策をまとめたレポート(NTTデータ先端技術)

    「KRACKs」に対して、現時点で想定される脅威と対策をまとめたレポート(NTTデータ先端技術)

  2. OSSに潜在する訴訟・脆弱性リスク

    OSSに潜在する訴訟・脆弱性リスク

  3. 「JP1/秘文」で作成した自己復号型機密ファイルに、DLL読込に関する脆弱性(HIRT)

    「JP1/秘文」で作成した自己復号型機密ファイルに、DLL読込に関する脆弱性(HIRT)

  4. 「DLL読み込み」の脆弱性の公表件数が急増、対策方法を紹介(IPA)

  5. Apache Tomcat において値検証不備により JSP ファイルがアップロード可能となる脆弱性(Scan Tech Report)

  6. WPA2の脆弱性「KRACKs」に注意喚起、通信を盗聴される可能性(JVN)

  7. 10月10日に「Office 2007」の延長サポートが終了、しかし40万台が今も利用(トレンドマイクロ)

  8. Apache Tomcatにおける、任意のファイルをアップロードされる脆弱性を検証(NTTデータ先端技術)

  9. マイクロソフトが10月のセキュリティ更新プログラムを公開、すでに悪用も(IPA)

  10. インシデントは「スキャン」が半数、フィッシングサイト報告件数は千件超え(JPCERT/CC)

全カテゴリランキング

特集

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×