A08:2021 OWASP – ソフトウェアとデータ整合性の失敗

脆弱性の概要

A08:2021は最新の脆弱性で、現代のソフトウェアやアプリがもたらす顕在および潜在の危険性について語る。

「ソフトウェアとデータ整合性の失敗」とも呼ばれるこの脆弱性は、重要なCI/CDパイプライン、データ管理、そしてソフトウェア更新の整合性に関する前提条件について述べる。要するに、最適な検証や認証を行わずにソフトウェア、アプリ、または重要なデータを利用すると、さまざまな脅威が近づくということだ。A08:2021はそのすべてに対処する。

認証手続を省くと、ハッカーなどが制限されたアプリやソフトウェアへ正規のアクセスを得る機会が生まれる。その後、悪意あるコードの注入、データ窃盗、さらにはアプリ・ソフトウェアの運用制御といった混乱を招く恐れがある。

‍

攻撃の例

A08:2021に見られる一般的な例は次のとおりだ:

• エンドユーザー更新時に署名が行われない場合

多くのアプリやソフトウェアには自動更新機能が備わっているが、デジタル署名による利用者確認が行われていない場合がある。署名されない更新は、攻撃者が対象システムやソフトウェアを改ざんする機会を与える。この問題は深刻で直接的な解決策はなく、将来のバージョンでの修正が唯一の対策となる。

• 安全でないデシリアライズの発生

ReactアプリがSpring Bootマイクロサービスを利用する際、プログラマーがコードの不変性を確保するためにユーザーステートのシリアライズを行うが、これが不十分だと攻撃者が「r00」というJavaオブジェクトの署名を容易に特定できる。Java Serial Killerツールを用いれば、攻撃者は遠隔からコード実行を行う可能性がある。

1. ハッカーが組織の安全でないCI/CDパイプラインを突き、悪意あるコードを本番環境に導入する。
2. 貴社の顧客が、気づかぬうちに組織の代替サーバから悪意あるコードをダウンロードする。
3. 悪意ある代替サーバが顧客環境に接続し、ハッカーがそれを利用して顧客ネットワークへ侵入する。

‍

防止策

この脆弱性は想像を超える被害をもたらす可能性があるが、継続的な監視、有効なツールや技術の活用、最適な認証・検証手法の導入によって大きな効果が得られる。

A08:2021に対する有効な防止策は以下の通りだ:

1. 認証 

提供されるソフトウェアや重要なデータが信頼できるものであることを確認するため、デジタル署名を利用する。

2. ユーザーレベルの制限

アプリやソフトウェアで利用される依存関係やライブラリは、検証済みのリポジトリを使用し、アクセスを制限することが重要だ。リスクの高い利用者については、内部で厳重に管理されたリポジトリを使用することが推奨される。

3. テスト

ソフトウェアやアプリ作成に用いられるコードは、開発段階や設定変更時に十分なテストを行い、コードの安全性を高めることで、OWASP Top 10 2022におけるA08:2021のリスクを低減できる。

4. ソフトウェアチェーンの安全性支援ツールの利用

OWASP CycloneDXやOWASP Dependency-Checkなどのツールを活用することで、アプリやソフトウェアのコンポーネントに脆弱性がないか確認できる。

5. パイプライン展開の標準に従う

ソフトウェアやアプリの開発に使用されるCI/CDパイプラインは、適切な分離、アクセス制御、設定が施されるべきだ。これにより、開発から実行までコードの一貫性が保たれる。

6. 全データの暗号化と検証

暗号化や検証がされていないデータが、許可されていない相手と共有されないようにすることが非常に重要である。共有前にすべてのデータに十分な整合性チェックを実施するか、デジタル署名で証明する必要がある。この対策により、データの改ざんや再送信などの事象を早期に発見できる。

Wallarmはソフトウェアとデータ整合性の失敗にどう役立つか？

Wallarmは、REST、gRPC、GraphQLなど主要なAPIに対応した、効果的なエンドツーエンドAPIセキュリティソリューションを提供するオンラインプラットフォームだ。サイバーセキュリティの向上とソフトウェアおよびデータ整合性の失敗の影響低減に向けた、多角的な防止策を提案する。

機能豊富なCloud WAF、高機能なAPIセキュリティ・脅威防止プラットフォーム、そして技術的に優れたAPIおよびOWASP脆弱性攻撃シミュレーションツールで構成される。

Cloud WAFを利用すれば、サーバーレスのワークロードやAPIを簡単に守ることができる。最適なCDNの恩恵を受け、誤検知をほぼゼロに抑え、PCI DSS準拠の支援も行う。アカウント乗っ取り、APIの乱用、設定ミスなどの攻撃を早期に防止できる。

WallarmのエンドツーエンドAPIセキュリティ・脅威防止プラットフォームは、包括的なサイバー防御に必要なすべての機能を備えている。初期段階で問題を検知し、適切な防御策で対処、さらにセキュリティ対策の効果を検証できる。優れたAPI連携機能により、あらゆるエコシステムで各種APIのテストが可能だ。

GoTestWAFは、APIの安全性を検証し、潜在的な脆弱性を見つけるのに役立つ。高度なシミュレーションにより、現実に近い環境でAPIのテストを実施でき、必要に応じた悪意あるコードをAPIやシステムに挿入して防御力を確認する。各種APIプロトコルに対応しており、APIの安全性向上を目指す場合には欠かせないツールだ。