OracleはJavaの執事にとどまれるか？

「JavaはGoogleへ売却すべき」――脆弱性放置のOracleに忠告

Javaの脆弱性をなくせない米Oracleに批判が集まっている。だがOracleには、事業領域が急拡大する中、収益源ではないJavaへ十分なセキュリティ投資ができない内情もある。

公開 2013年02月26日 08時06分

[TechTarget]

印刷する

　企業が手にできる最悪の保証といえば、政府によるソフトウェア使用禁止令だろう。2013年1月10日（米国時間）、米Oracleに起きたことは、まさにそれだった。米国土安全保障省（DHS）が、全てのコンピュータユーザーに対して、重大な脆弱性があることを理由に、クライアントPCのJavaを無効にすべきだと警告したのだ。

　「Java 7 Update 10」に、「Red October」というグローバルマルウェアネットワークへ接続する重大な脆弱性悪用プログラム（エクスプロイト）が見つかった。そのエクスプロイトは、世界中の政府系機関にある数百台のクライアントPCに侵入し、数カ月間にわたって活動していた。

　Oracleは、脆弱性を修正した「Java 7 Update 11」をリリースした。だが直後に、その修正プログラム自身にも脆弱性があることがセキュリティ専門家たちによって指摘された。こうした事態を受けてDHSは、「WebブラウザでJavaを実行することが絶対不可欠でない限り、7u11（Java 7 Update 11）へアップデートした後も、下記の説明に従って無効にすること」と再び警告している。

　米セキュリティ企業、Rapid7の最高セキュリティ責任者（CSO）、HDムーア氏が米Reutersに語ったところによると、Oracleが現行バージョンのJavaで特定されたバグを完全に修正するまでには、最長2年はかかるという。同氏もまた、コンピュータからJavaをアンインストールするようにアドバイスしている。

　こうした問題は、特に新しくはない。Javaエクスプロイトは以前から存在しており、その数も多かった。ロシアKasperskyの報告書によると、2012年第3四半期に修正されたセキュリティ脆弱性の56％をJavaが占めており、Kasperskyの研究者たちもOracleへの厳しい評価を撤回していない。

　「他の企業がさまざまなレベルでセキュリティ対策を改善している中、ここ数年、Oracleは完全に停滞を続けてきた。このソフトウェアの安全性を高めるいかなる努力も、あるいはアップデートメカニズムの改善さえもなされてない。Oracleのセキュリティ脆弱性への対応は、全く不十分だ。簡単に修正できる脆弱性を何カ月も放置している」と語るのは、Kaspersky Labsの上級研究員、ロエル・ショーウェンバーグ氏である（参考：米Oracleの怠慢を批判――「Javaはアンインストールすべき」）。

　こうなると当然、次のような疑問が出てくる。果たしてOracleは、Java言語の見張り番として正しい会社なのだろうか？

　Oracleは、ゆっくり慎重に行動するエンタープライズソフトウェア業界の会社だ。20年以上もハッカーの標的になってきた米Microsoftのような経験はない。Microsoftは長い間攻撃されてきたため、迅速に対応することの重要性を理解している。そこがOracleとの大きな違いだ。この件について、Oracleにコメントを求めたが返答はなかった。

Oracleを擁護する声も

　米調査会社Technology Business Researchのエンタープライズソフトウェアアナリストであるエリザベス・ヘドストロム・ヘンリン氏は、Oracleを擁護する1人だ。「いずれ問題は解決されるだろう。ただ、Javaに特化したアプローチではなく、正しく機能すべき要素の全てを最適化する広範な改革によって解決される。それは包括的で長期的な取り組みだ」

　Oracleのビジネスは拡大を続けている。2010年に米Sun Microsystemsを買収してJavaを獲得したときよりも、さらに事業は多様化している。そのため、Oracleは現在、自社製品をエンドツーエンドで統合化することを検討しており、そこにJavaも含まれる。

　さらに同社は、クラウドサービスの提供を始めたことにより、一層セキュリティに敏感な企業になったとヘンリン氏は指摘する。「クラウドのハッキングに悠長な対応はできない。従って、Oracleがパブリッククラウドの拡張を続けるとともに、コアとなるJavaも強化せざるを得ない。彼らはJavaをサービスとして提供しており、オンプレミスにおいても、こうした対応は波及していくだろう」

　一方、米調査会社Enderle Groupの主席アナリストであるロブ・エンダール氏は、もうOracleはJavaを米Googleに売却し、利益にならない製品から手を引くべきだと考える。「ラリー（エリソンCEO）は（損益の）数字を重視する。今はまだ小さな出費だが、この先大きな負担になっていくはずだ」

　そして、「DHSが製品を危険だと警告していることは、どのベンダーにとっても良い広告とはいえないだろう」と、同氏は付け加えた。

　Microsoft、Google、そして米Appleは、自社のOSのエクスプロイトを積極的に監視している。Red OctoberにつながるJavaエクスプロイトは、ある人によって偶然発見された。その攻撃は数カ月に及んでいたという。エンダール氏は、投資に見合う利益がない製品に、Oracleが資金と労力を投じるとは思っていない。

　「Oracleは、保守コストを正当化するのに十分な利益をJavaから得ていない。彼らは、Googleからわずかな市場を奪える可能性にしがみついているが、それはうまくいっていない。JavaはGoogleに売るべきだ。Googleは恐らく、その知的財産を手に入れることができれば喜ぶだろう」

印刷する