Oracleは脆弱性の発見と修正をもっと的確にすべき

Java狙いの攻撃が活発化、米Oracleはどう対処している？

Javaの脆弱性を突く攻撃の発生が止まらない。Javaをメンテナンスする米Oracleは対応に追われるが、ゼロデイ脆弱性の発見が相次ぐなど、セキュリティ確保で越えるべきハードルは多い。

公開 2012年09月21日 08時06分

[TechTarget]

印刷する Googleで優先するソースとして追加

　サイバー犯罪者が、自動攻撃ツールキットを駆使したJava狙いの攻撃を活発化させている。Javaの既知の脆弱性を悪用するだけでなく、ゼロデイ脆弱性を突くエクスプロイトも利用している。こうした攻撃の横行は、米OracleがJavaのセキュリティを強化できるまで続くだろうと専門家は指摘する。ただし、Javaのエンジン関連の保護を強化するのは容易ではない。

狙われるAdobe製品とJavaの脆弱性
コード操作、リバースエンジニアリングに対するJavaの脆弱性を克服する（ホワイトペーパー）

　Javaの開発元で、2010年に米Oracleに買収された米Sun Microsystems（以下、Sun）の開発者は、Javaに対する攻撃が一般化するはるか前から、Javaアプレットの主実行エンジンであるJava仮想マシン（JVM）を安全に動作させることを目指していた。Sunは、1995年にJavaサンドボックスを作成。Javaアプレットをサンドボックスの保護領域内に隔離して動作させることで、Webブラウザやファイルシステムの重要なプロセスにアクセスさせないようにした。

セキュリティ強化のはずが逆効果？　HTML5「サンドボックス」の盲点

　米Adobe SystemsやWebブラウザベンダーもサンドボックスを作成し、Webブラウザにおけるアプレットの動作をその保護領域内に封じ込めている（参考：FlashやAcrobatの使用禁止はマルウェア感染防止に効くのか？）。これに対してOracleは、任意のディレクトリに書き込める本格的なデスクトップアプリケーションの作成にJavaの利用を推進していると、ドイツ在住のソフトウェア開発者で、Javaの専門家であるミヒャエル・シアール氏は語る。このことは、攻撃の防止メカニズムを追加するプロセスを極めて複雑にしていると、シアール氏は指摘する。

　「Javaのサンドボックスというパーミッションシステムを包含する2つ目のサンドボックスを追加すれば、Javaがより安全になるのは確かだろう」とシアール氏は指摘。「ただし、それは困難であるか、あるいは不可能だ」（同氏）

　Javaのコードベースには、Javaプログラムを実行するクライアントマシンによって信頼されているコードが膨大にあると、シアール氏は言う。Javaプログラムが構成ファイルやレジストリを読み込んだり、データをキャッシュディレクトリに保存したりできるのは、こうした信頼されたコードがあるためだ。サンドボックスが正規のJavaアプレットを終了させないようにするには、こうした“安全な”機能を別のサンドボックスでホワイトリスト化する必要があると、シアール氏は付け加える。

　Javaの脆弱性を悪用する攻撃のほとんどは、「Blackhole」などのツールキットを使って実行されている。ツールキットによって、脆弱性の悪用プロセスが容易になる。専門家は、最新のパッチがインストールされていないシステムが最も危険だと警告する（参考：Windows管理者が見落としがちな5つのリスクとは？）。ただし、最新パッチをインストール済みのシステムであっても標的になる恐れがある。

　実際、2012年8月下旬にも、Javaの最新版に存在する2件のゼロデイ脆弱性が研究者によって発見された。脆弱性検出ツールを手掛けるデンマークのセキュリティ企業Secuniaは、これらの脆弱性を「極めて重大」と評価。脆弱性を突くエクスプロイトコードも公開された。攻撃者は、こうした脆弱性を悪用してアクセス制限を回避し、ドロッパー（他のマルウェアをダウンロードするプログラム）を攻撃対象にインストール。さらにトロイの木馬「Poison Ivy」の亜種を使ってマルウェアをリモート操作し、データを盗み出すことが可能だ。

標的型トロイの木馬――サイバー脅威の新たな手口

　Oracleのエンジニアは、こうした事態を機に、Java仮想マシンに潜む脆弱性の発見と修正をもっと的確にしなければならないだろうと、ソフトウェアセキュリティコンサルティング会社の米CigitalでCTO（最高技術責任者）を務めるゲーリー・マグロー氏は語る。現在、JavaはOracleがメンテナンスしている。

　「Javaに組み込まれているセキュリティメカニズムは、それほどひどいものではないが、複雑であり、極めて厳密に実装しなければならない。ただし、『極めて厳密に』実装するのは非常に大変であることが分かっている」（マグロ―氏）

　Oracleのコードベースのうち、数億行ものコードがJavaで書かれている――。Oracleのソフトウェアセキュリティ保証ディレクターであるエリック・モーリス氏は2012年2月、Javaのセキュリティに関するブログ記事でこう述べた。モーリス氏はその記事で、OracleがJavaセキュリティ専任の開発スタッフを増員し、脆弱性の検出と対処のためのコードスキャニングツールを追加導入したことを明らかにしている。

　「Java開発チームは、OracleによるSun買収の結果として、こうした新たなリソースを利用できるようになった。同チームは、Javaに潜むバグの除去を進めるとともに、Javaがユーザーに提供するセキュリティ環境を改善する方法を検討している」とモーリス氏は明かす。

　Javaは、使われてきた年数や複雑さ、インストールベースの大きさから、攻撃者にとって極めて魅力的なターゲットとなっていると、脆弱性管理ベンダー米QualysのCTO、ウルフガング・カンデク氏は語る。Oracleは、JVMが使用するリソースを制限する可能性があるが、制限を増やすのはあまり現実的ではないだろうと同氏は指摘する。

　「Oracleは巨大なコードベースを手に入れた。それは非常に成功したコードベースだが、問題も残っている。同社は、そうした課題を解決していかなければならない」（カンデク氏）

　カンデク氏によると、企業にとって最も現実的な解決策は、どこでJavaを実行するかを管理し、必要なときにだけJavaを実行することだという。

印刷する

この記事の著者

Robert Westervelt

Java狙いの攻撃が活発化、米Oracleはどう対処している？

関連記事

関連記事

関連記事

関連記事

関連記事

この記事の著者

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓