オープンソースソフトウェアの脆弱性対応について

実体験からの脆弱性対応〜CVE-ID発行まで

Transcript

1. ιϑτ΢ΣΞ։ൃͰͷ ੬ऑੑରԠ ੬ऑੑൃݟʙରࡦʙެ։ʙ$7&࠾൪·Ͱ ౦ژՊֶେֶ ৘ใཧ޻ֶӃ ৘ใ޻ֶܥ ܀ݪ ३
2. എܠ u ֎෦ݚڀࢿۚɿ ݚڀ੒ՌΛ޿͘ެ։͠ɺଟ͘ͷਓʹར༻Մೳͱ͢Δ͜ͱ͕ٻΊΒΕΔ u ιϑτ΢ΣΞͰͷ࣮ূΛ൐͏ݚڀɿ ࿦จࠪಡɾൃදͰͷ࠶ݱੑఏࣔɺ͓Αͼ࢈ۀ΁ͷૣظؐݩͷͨΊɺ 1SPPGPG$PODFQU
   1P$
   ιϑτ΢ΣΞ΍ϨϑΝϨϯειϑτ΢ΣΞ ͷιʔείʔυͷ։ࣔ΋ॏཁʹ ݚڀऀɾݚڀ૊৫ͷ044
   0QFO
   4PVSDF
   4PGUXBSF
   ׆ಈ͕ॏཁʹͳ͍ͬͯΔ
3. ιϑτ΢ΣΞͷ੬ऑੑ ݚڀͷҰ؀Ͱެ։ͨ͠ιϑτ΢ΣΞʹ͓͍ͯ΋ɺ ੬ऑੑ΁ͷରԠ͸ॏཁͳࣾձత੹೚ͷͻͱͭ ˞ऴྃͨ͠ϓϩδΣΫτͰɺ΋͏ରࡦ͠ͳ͍ Ͱ͖ͳ͍ ΋ͷ͸ɺ ͦͷࢫΛ໌ه্ͨ͠ͰzΞʔΧΠϒzͱ͢Δͱྑ͍ ϓϩάϥϜͷ࣮૷ෆ۩߹΍ઃܭϛε͕ݪҼͱͳͬͯൃੜ͢ΔαΠόʔηΩϡϦςΟ্ͷܽؕɻ ૯຿ল
   IUUQTXXXTPVNVHPKQNBJO@TPTJLJDZCFSTFDVSJUZLPLVNJOCBTJDSJTL ˞όά
   ҙਤ͠ͳ͍ෆ۩߹ɻˠ
   ੬ऑੑ͸όάͷҰछ͕ͩɺશͯͷόά͕੬ऑੑͰ͸ͳ͍ ੬ऑੑ όά όάಉ༷ɺ੬ऑੑ΁ͷ׬શͳରࡦ͸ࠔ೉ɻ࣍ʑͱ৽ͨͳ੬ऑੑ͕ൃݟ͞Ε͍ͯΔͷ͕ݱঢ়ɻ ݚڀ։ൃͰެ։ͨ͠ιϑτ΢ΣΞ΋ɺ੬ऑੑΛሃΉՄೳੑɻ lVTF BU
   ZPVS
   PXO
   SJTLzͰ͸ࡁ·ͳ͍৔߹΋͋Δɻ޿͘αʔ Ϗε౳Ͱར༻͞Ε͍ͯͨ৔߹ɺ৘ใ࿙ӮɾαʔϏεఀࢭͳ ͲΛҾ͖ى͜͠ɺ์ஔ͢Δͱ৴པɾ৴༻Λࣦ͏͜ͱ΋ɻ
4. ੬ऑੑରԠͷجຊϑϩʔ 044։ൃऀ Ͱ͸ɺ044ͷ੬ऑੑ͸ͲͷΑ͏ͳྲྀΕͰରॲ͢Δɾ͞ΕΔͷ͔ʁ B
   ։ൃऀʹΑΔ ੬ऑੑͷൃݟ C
   ୈࡾऀʹΑΔ ੬ऑੑͷൃݟใࠂ ݟ͚ͭ· ͨ͠ʂ ݟ͚ͭͯ͠ ·ͬͨʜ 
   ੬ऑੑͷ෼ੳධՁɾ
   ٕज़తରࡦ ύον࡞੒ ͷ࣮ࢪ • ڴҖ౓ɾۓٸ౓ͷ෼ੳධՁ FH
   $744
   ੬ऑੑͷਂࠁ౓ΛධՁ͢ΔͨΊͷࢦඪ • ࠜຊతରࡦ͸Մೳ͔ʁ.JUJHBUJPO8PSL
   "SPVOEʹ͗͢ͳ͍͔ʁ 
   ରࡦιϑτ΢ΣΞͷެ։
   7FS6Qɾ.JUJHBUJPO 
   ੬ऑੑͷެ։
   $7&౳ େن໛ʹར༻͞Ε͍ͯΔϥΠϒϥϦͳͲɺӨڹ͕ ڊେͳ৔߹͸ɺύονద༻༛༧Λ༩͑ΔͨΊɺؔ ܎͢Δར༻૊৫౳΁ࣄલ࿈བྷ͢Δ͜ͱ΋ɻ $7&
   ੬ऑੑʹϢχʔΫͳ*%Λ෇༩
   ޙड़ ඇެ։ϑΣʔζ ະରࡦͰͷ੬ऑੑͷެ։͸ ߈ܸΛ༠ൃ
   θϩσΠ߈ܸ ˠରࡦ׬ྃ·Ͱඇެ։Ͱ࣮ࢪ ެ։ϑΣʔζ
5. 脆弱性報告を受けたとき (GitHubを例に) u ެ։ͷ৔
   FH
   (JU)VC
   *TTVFT
   ͰใࠂΛड͚ͨ৔߹ ˠ
   બ୒ࢶ
   ඇެ։ͷ৔΁ͷ༠ಋɾެ։৘ใͷ࡟আɾରԠ ˠ
   બ୒ࢶ ྫ֎ 
   ଈ࠲ʹରԠ͕Մೳͳ৔߹ɺͦͷ··ਝ ଎ͳύον࡞੒ɾެ։ ˠ/(ɿະमਖ਼ͷ੬ऑੑΛ*TTVF্Ͱৄࡉʹٞ࿦ u ඇެ։ͷ৔ FH
   (JU)VC
   4FDVSJUZ
   "EWJTPSJFT
   ()4" Ͱ ใࠂΛड͚ͨ৔߹͸ɺͦͷ··ใࠂऀͱ΍ΓऔΓͯ͠ରࡦ Λߦ͍ɺύονɾमਖ਼Λެ։ޙʹɺ੬ऑੑ৘ใΛެ։ 実際にGHSAで非公開報告を受けた例 (後述)
6. $7&
   $PNNPO
   7VMOFSBCJMJUJFT
   BOE
   &YQPTVSFT u ૊৫"ͷग़͢੬ऑੑ৘ใͱɺ ૊৫#ͷग़͢੬ऑੑ৘ใͱ͕ɺ ಉ͡੬ऑੑʹؔ͢Δରࡦ৘ใͰ͋Δ͜ͱΛ൑அ u ରࡦ৘ใಉ࢜ͷ૬ޓࢀর΍ؔ࿈෇͚ʹར༻ ιϑτ΢ΣΞɾϥΠϒϥϦͷ੬ऑੑΛमਖ਼ͨ͠ޙʹొ࿥͢Δʮ$7&ʯͱ͸Կ͔ ඇӦརஂମͷ.*53&ࣾ
   ˞
   ͕࠾൪͍ͯ͠Δ੬ऑੑͷࣝผࢠ
   $7&*% ɻ ੬ऑੑͷৄࡉɺରࡦํ๏ɺڴҖ౓ͱڞʹొ࿥࠾൪͞ΕΔɻ *1"
   IUUQTXXXJQBHPKQTFDVSJUZWVMOTDBQDWFIUNM ˞ถࠃ੓෎ͷࢿۚఀࢭͷՄೳੑ΋͋ͬͨͨΊɺࢿۚ໘Ͱಠཱͨ͠ʮ$7& 'PVOEBUJPOʯ΁Ҡߦத ʙ ૊৫" ૊৫# *%
   $7&YYZZ ฐࣾ੡඼ʹӨڹͷ͋ Δ$7&YYZZ͸ɺ੡ ඼ͷϚΠφʔWFSVQ ͰରࡦՄೳ ฐࣾ੡඼ʹӨڹͷ͋ ͬͨ$7&YYZZ͸ɺ ੡඼ʹϦϯΫ͢Δϥ ΠϒϥϦΛมߋ͢Ε ͹ରࡦՄೳ ʹ ҟͳΔ੡඼Ͱ΋ɺಉҰ ੬ऑੑͱͯ͠؅ཧՄೳ  ੬ऑੑʹରͯ͠ͷ৘ใ࿈ܞɾରࡦͷਝ଎Խ  ؅ཧਫ਼౓΍ɺ੬ऑੑεΩϟφ౳ͷπʔϧͷ࿈ܞੑͷ޲্  άϩʔόϧͳڴҖΠϯςϦδΣϯε ڴҖ৘ใ ͷਝ଎͔ͭ༏ઌ ౓෇ͨ͠׆༻ͷ࣮ݱ ৘ใγεςϜͷ҆৺ɾ҆શͳӡ༻Λଓ͚͍ͯͨ͘ΊͷࣾձΠϯϑϥ
7. <࣮࿥>
   3VTU੡044ϥΠϒϥϦ
   IUUQTJHST
   ΁ͷ੬ऑੑใࠂ
   $7& u 
   (JU)VC
   4FDVSJUZ
   "EWJTPSJFT
   ()4"ܦ༝ ͰɺϢʔβ͔Βඇެ։ʹ ͯ੬ऑੑͷใࠂɾύονͷఏग़ u )."$ͱ͍͏҉߸ϓϦϛςΟϒ࣮૷͕ʮλΠϛϯά߈ܸʯʹ੬ऑͰ͋Δใࠂ u ੬ऑੑڴҖ౓ɿ.PEFSBUF u 
   ()4"্ʹͯɺඇެ։ʹͯύονͷϨϏϡʔɾ੬ऑੑΛ֬ೝ u 
   ύονͷऔࠐΈ NFSHF ͱରࡦόʔδϣϯެ։ɾ੬ऑੑ৘ใͷެ։ u 
   (JU)VCܦ༝Ͱɺ$7&*%ͷ࠾൪ґཔ u 
   $7&*%࠾൪ɾެ։ IUUQTHJUIVCDPNKVOLVSJIBSBIUUQTJHSTTFDVSJUZBEWJTPSJFT()4"RQHQSNSQ IUUQTXXXDWFPSH$7&3FDPSE JE$7& ͜ͷ࣌఺Ͱ()4"ͷϖ ʔδΛެ։ঢ়ଶʹมߋ ͢Δ͜ͱͰ৘ใެ։ ੬ऑੑใࠂʙରࡦ·Ͱඇެ։ɺ ͞Βʹެ։ɾ$7&*%࠾൪·Ͱۇ͔೔ؒͰߦΘΕͨɺ ࣾձతӨڹΛ࠷খݶʹͨ͠ཧ૝తͳέʔεͱݴ͑Δ ཧ૝έʔε ✔ඇެ։Ͱͷਝ଎ରԠ͕ཧ૝ ✔ใࠂऀͱͷ࿈ܞ͕ॏཁ
8. 採番されたCVE-ID 分析した脅威度 (Moderate) 報告者が見つけた脆弱性の詳細 ＋対策パッチの提出 対象ライブラリ
9. <࣮࿥>
   3VTU੡044ϥΠϒϥϦIUUQTJHST ΁ͷ੬ऑੑใࠂ
   $7& u 
   (JU)VC
   1VMM
   3FRVFTUʹΑΓɺϢʔβ͔Βެ։Ͱ੬ऑੑͷใࠂ ɾύονͷఏग़ u ϋογϡ஋ಉ࢜ͷ౳ՁੑͷνΣοΫ͕ɺܕͷಉҰੑνΣοΫʹͱͲ·͍ͬͯͨ u ϝοηʔδվ͟Μ͕ݕग़Ͱ͖ͳ͍ॏେͳ੬ऑੑ u 
   ਝ଎ʹύονΛϨϏϡʔͨ͠΋ͷͷɺڴҖ౓͕௿͍ଞͷ੬ऑੑ ͕ൃੜ͢ΔՄೳੑΛൃݟɻҰ୴ύονΛऔࠐΜͰରࡦΛݕ౼ɻ u 
   ৽ͨͳରࡦύονΛ࡞੒ɾऔࠐΈɾରࡦόʔδϣϯͷެ։ u 
   ()4"ʹͯڴҖ౓Λ෼ੳɾ੬ऑੑϨϙʔτΛఏग़ɾ$7&*%ͷϦ ΫΤετΛఏग़ u 
   $7&*%ͷ࠾൪ɾެ։ IUUQTHJUIVCDPNKVOLVSJIBSBIUUQTJHSTTFDVSJUZBEWJTPSJFT()4"WHWYSDI IUUQTXXXDWFPSH$7&3FDPSE JE$7& ຊདྷ͸ඇެ։ͰରԠ ͢΂͖ɻ ΍ΉΛಘͣશͯެ։ ঢ়ଶͰҰؾʹରࡦɻ ެ։ঢ়ଶͰใࠂΛड͚औͬͯ͠·ͬͨ΋ͷͷɺରࡦόʔδϣϯެ։·Ͱ೔Ͱ׬ྃ ࣄނέʔε ✔ެ։ใࠂ͸ϦεΫ͕ߴ͍ ✔ਝ଎ରԠͰඃ֐Λ࠷খԽՄೳ
10. 採番されたCVE-ID 分析した脅威度 (High…) 報告者の報告から分析し直した脆弱性の詳細 対象ライブラリ
11. ·ͱΊ u ݚڀ੒Ռͷ044ެ։͸զʑʹͱͬͯॏཁ͕ͩɺͦͷ੬ऑੑରԠͷ੹೚΋൐͏ u ੬ऑੑରԠͷݪଇɿରࡦ׬ྃ·Ͱඇެ։ɺ׬ྃޙʹ$7&࠾൪ɾެ։ u ඇެ։ϑΣʔζͰͷ෼ੳɾύον࡞੒ ˠ
    ެ։ϑΣʔζͰͷ৘ใެ։ u ਝ଎ͳରԠ͕ࣾձతӨڹΛ࠷খݶʹ͢Δ u ใࠂΛड͚ͨΒʮ์ஔ͠ͳ͍ʯ͜ͱ͕࠷΋ॏཁ ੬ऑੑ͸ඞͣग़Δɻ໰୊͸lͲ͏ѻ͏͔zɻ