メインコンテンツへスキップ
Taniumのソフトウェア部品表を使用してOpenSSL v3 の脆弱性から組織を守る方法
新たな課題

Taniumのソフトウェア部品表を使用してOpenSSL v3 の脆弱性から組織を守る方法

オープンソース・ツールキットの開発者らが、OpenSSL v3に2つの「高」深刻度の脆弱性を公表しました。Taniumには、この問題に対処するためのソリューションがあります。

本日、OpenSSLチームはOpenSSLバージョン3.0.7をリリースしました。 このリリースには、OpenSSL 3.0.0 から 3.0.6 までのすべてのバージョンに影響を及ぼす、注目すべき「High」深刻度の脆弱性 2 件（CVE-2022-3786 および CVE-2022-3602） に対する修正が含まれています。 セキュリティチームには、該当するOpenSSLのバージョンを特定し、できるだけ早くバージョン 3.0.7 にアップグレードすることをお勧めします。

OpenSSLとは何ですか？

OpenSSLは、Webサーバーやアプリケーションにおける安全な通信をサポートするツールキットです。 そのため、これはトランスポート層セキュリティ（TLS）プロトコルにおいて不可欠な要素であり、インターネットを介して送信されるデータが第三者の目から守られることを保証しています。

なぜ、このことを気にする必要があるのでしょうか？

当初、これはOpenSSLに存在する「重大（Critical）」な脆弱性として発表されましたが、公開後は「高（High）」に格下げされました。 OpenSSLチームから提供された詳細によると、この脆弱性が悪用されるために必要な条件が揃う可能性は、当初考えられていたよりも低いようです。 CVE-2022-3786 とCVE-2022-3602 は、ダウングレードされたとはいえ、依然としてパッチを適用する必要があります。 OpenSSLにおける直近の深刻な脆弱性は、8年前に発生した悪名高い の「Heartbleed」バグ（ ）でした。

課題は、それを見つけることです

組織のリスクを軽減するための鍵は、影響を受ける実装をできるだけ早く特定し、パッチを適用するか、その他の方法でリスクを軽減することです。 しかし、OpenSSLのような広く利用されているサードパーティ製のオープンソースライブラリにパッチを適用する際の課題は、企業全体でそのライブラリが使用されている箇所をすべて特定することにあります。

OpenSSL は、ソフトウェアベンダーがコンパイルする必要があるソースコードであり、プログラム内に静的に組み込まれる場合から、動的にリンクされたリソースとして提供される場合まで、さまざまな形で配布される可能性があります。 こうした種類の依存関係は、従来の脆弱性スキャナーでは検出が困難（あるいは多くの場合、不可能です）です。 だからこそ、発見には多角的なアプローチが必要なのです。

Tanium SBOMはどのように役立つのでしょうか？

Taniumは最近、ソフトウェアパッケージに関連するサードパーティ製ライブラリを顧客が特定できるよう支援する、「 Tanium Software Bill of Materials (SBOM)」 という新機能をリリースしました。 Tanium SBOMは、Tanium Assetのアドオンです。

Tanium SBOMは、単一のTaniumエージェントを活用して、複雑なソフトウェア環境に対するリアルタイムの可視性を提供し、組織がエンドポイントのリスク管理に関して、より的確な判断を下せるようにします。

Tanium SBOM を設定すると、環境内のすべてのソフトウェアアプリケーションの詳細や、脆弱性のあるパッケージがどこにあるかが把握できるようになります。 Tanium SBOMに簡単な質問を投げかけるだけで、環境全体から回答が得られます。大規模な環境でも、わずか数秒で結果が得られます。

この短いデモ動画をご覧いただき、Tanium SBOMがOpenSSLの脆弱性にどのように対処できるかをご確認ください。 

https://youtu.be/8McUTAFdyh8

Tanium SBOM を使用して OpenSSL の問題に対処する方法

Tanium SBOMは現在、Java、JavaScript、Python、PHP、Ruby、GoLangバイナリ、およびOpenSSL共有ライブラリといったエコシステムの解析に対応しています。 SBOMコンテンツをインストールおよび設定するには、さらにいくつかの手順が必要です。 OpenSSL の SBOM 属性を追加する手順の詳細については、Tanium コミュニティの記事「 」（）をご覧ください。

Tanium をご利用いただくと、次のようなことが可能になります：

  • 実行時にすべてのソフトウェアコンポーネントを把握する。ソフトウェアベンダーに依頼することなく、ソフトウェアパッケージを特定し、それらを分解して構成要素をすべて調査します。 このツールは、シッククライアントのファイルを解析し、シンクライアント環境の内部状況を把握することができます。
  • これらのコンポーネントで によって発見された脆弱性や設定ミスを修正してください。
  • リスクを軽減するために、影響を受けたデバイスの使用を停止したり、関連するプロセスを終了させたり、さらには影響を受けたエンドポイント全体からアプリを完全に削除したりするなど、適切な措置を講じてください。

のTaniumプラットフォーム（ ）は、本日OpenSSL v3 で発見されたような脆弱性を特定し、是正することができ、今後発生するサプライチェーンの脆弱性に対して、貴社をより強固に備えさせることができます。

お使いの環境における OpenSSL の特定方法（ ）など、詳細については、Tanium コミュニティの記事 をご覧ください。

弊社では、この脆弱性に関する動向を注視してまいります。 詳細情報が判明次第、こちらのページやTaniumコミュニティの記事をご確認ください。