2024年オープンソース・セキュリティ&リスク分析レポート

コードベースの 3 分の 1 で、脆弱なバージョンの jQuery が使用されていることが判明

OSSRAレポートが示す数字は、開発チームがオープンソース管理を改善し、オープンソース・コンポーネントを最新の状態に保つ必要があることを明確に示しています。オープンソースのより脆弱な古いバージョンを使用すると、悲惨な結果が生じる可能性があります。たとえば、2024年のOSSRAレポートにリストされている上位10件の脆弱性の2番目は、jQueryのバージョン1.2～3.5.0 のクロスサイト・スクリプティングの脆弱性です。 この脆弱性に対して、jQuery 3.5.0 でパッチが提供されましたが、スキャンされたコードベースの3分の1で、この問題に対して脆弱な jQueryのバージョンを依然として使用していました。この脆弱性が悪用されると、悪意のあるデータがシステムに侵入するために使用されたり、パスワードや信用情報などの機密データが漏洩したりする可能性があります。

jQueryは本質的に安全ではありません。それでも、ユーザー、開発者、メンテナーからなる大規模なコミュニティによって、よく管理されたオープンソース・ライブラリです。しかし、OSSRAレポートのデータによれば、レポートにリストされているすべてのjQueryの脆弱性には利用可能なパッチがあるにも関わらず、jQueryは最も脆弱性がある可能性が高いコンポーネントです。jQueryのユーザーだけでなく、すべてのオープンソースのユーザーにとって、古いバージョンのソフトウェアに関連する潜在的なセキュリティリスクを認識し、それらのリスク軽減措置を講じることは非常に重要です。

ほとんどのメンテナー（オープンソース・プロジェクトを牽引するコントリビュータ）は、自分が関わっているプロジェクトを最新の状態に保つことに熱心です。オープンソースの利用者にも同様の勤勉さを奨励する必要があります。オープンソースの利用者は、使用中のバージョンを常に認識し、更新の定期的なリズムを確立し、メンテナーとコントリビュータの健全なエコシステムを持つプロジェクトからのみダウンロードするなど、ソフトウェアの衛生管理を実践する必要があります。

コードに何が含まれているかを知る

組織がソフトウェアを開発しているか使用しているかにかかわらず、2024年のOSSRAレポートは、ソフトウェアにオープンソース・コンポーネントが含まれていることはほぼ確実であることを示しています。これらのコンポーネントが何であるか、セキュリティやライセンスのリスクを引き起こすかどうかを正確に知っているでしょうか。そのためには、コード内のオープンソースの可視化を優先する必要があります。まだ作成していない場合は、最初のステップとして、バージョン、ライセンス、出所に関する情報など、コードに含まれる内容の詳細を示すソフトウェア部品表（SBOM）を作成して維持しましょう。

インベントリを取得し、特に攻撃者のターゲットになることが多い人気のオープンソース・コンポーネントに関しては、オープンソース・コンポーネントを最新の状態に保ちます。オープンソース・コンポーネントを常に最新の状態に保つことは、チームが開発するコードと同じ優先順位で扱う必要があります。特に頻繁にメンテナの活動が行われる人気のあるプロジェクトのオープンソース・ライブラリを使用している場合は、定期的なアップグレードの頻度上げるようにしてください。

そして、常に最新情報を入手してください。SBOM内のオープンソース・コンポーネントに影響を与える問題についての実用的なアドバイスや詳細を提供するニュースフィードや定期的に発行されるアドバイザリーを探して購読しましょう。スプレッドシートを使用してオープンソースを管理するのではなく、自動化されたSCAツールを使用し、開発者がコードの作成にエネルギーを集中できるようにします。