攻撃に悪用され得る脆弱性について企業は広く注意を払わなければならないが、その中でも特に警戒すべき脆弱性がある。Googleが「特に危険」と指摘する脆弱性とは。
Googleのセキュリティ研究部隊Threat Analysis Group(TAG)と、Google傘下のセキュリティベンダーMandiantは2024年3月にセキュリティレポート「We're All in this Together: A Year in Review of Zero-Days Exploited In-the-Wild in 2023」を公開した。このレポートによれば、さまざまな脆弱(ぜいじゃく)性が存在する中でも、さまざまなIT製品に影響し得る“ある脆弱性”が特に危険だ。
GoogleとMandiantは、2023年にさまざまな攻撃に悪用されたとみて、サードパーティーのソフトウェアの脆弱性に対して注意を呼び掛けている。サードパーティーのソフトウェアは幅広いIT製品やシステムに影響を与えるので、ベンダー独自のソースコードだけに関わる脆弱性よりも危険になる可能性があると両者は指摘する。
具体例としてGoogleとMandiantは、GoogleのWebブラウザ「Chrome」の脆弱性「CVE-2023-4863」と、Appleの画像処理用のフレームワーク(特定の機能を実装するための型)「ImageIO」の脆弱性「CVE-2023-41064」を挙げる。両社によると、この2つの脆弱性はサードパーティーの同一の脆弱性から派生したものだ。このように、1つの脆弱性が幅広い製品やサービスに影響しかねない。
Mandiantの主任アナリスト、ジェームズ・サドウスキー氏によると、2022年と2023年には主要なWebブラウザベンダーがセキュリティの強化に取り組んできた。「これを受けて攻撃者は、Webブラウザベンダー側の脆弱性よりもサードパーティーから“持ち込まれた”脆弱性に目を向けるようになった」とサドウスキー氏は述べる。
ベンダー側での脆弱性修正について、GoogleとMandiantはGoogleが手掛けるセキュリティプロジェクト「MiraclePtr」を一例として挙げる。両社によると、MiraclePtrの一環としてChromeにおけるメモリの脆弱性を修正したことで、Chromeのセキュリティを高めることができた。他には、Appleが 同社のモバイルOS「iOS」に追加したセキュリティ機能「ロックダウンモード」もセキュリティ向上につながったという。ロックダウンモードは、デバイスが通常通りには機能しなくなることで攻撃を防止する仕組みだ。
米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。
SASのCMOが語る マーケティング部門が社内の生成AI活用のけん引役に適している理由
データとアナリティクスの世界で半世紀近くにわたり知見を培ってきたSAS。同社のCMOに、...
SALES ROBOTICSが「カスタマーサクセス支援サービス」を提供
SALES ROBOTICSは、カスタマーサクセスを実現する新サービスの提供を開始した。
「Fortnite」を活用 朝日広告社がメタバース空間制作サービスとマーケティング支援を開始
朝日広告社は、人気ゲーム「Fortnite」に新たなゲームメタバース空間を公開した。また、...