GoogleのAIバグハンター、人間が見逃していたコードリポジトリのバグ26件を嗅ぎ分ける(CVE-2024-9143ほか) | Codebook|Security News
Codebook|Security News > Articles > Threat Report > GoogleのAIバグハンター、人間が見逃していたコードリポジトリのバグ26件を嗅ぎ分ける(CVE-2024-9143ほか)

Threat Report

AI

Big Sleep

cJSON

GoogleのAIバグハンター、人間が見逃していたコードリポジトリのバグ26件を嗅ぎ分ける(CVE-2024-9143ほか)

nosa

nosa

2024.11.21

11月21日:サイバーセキュリティ関連ニュース

GoogleのAIバグハンター、人間が見逃していたコードリポジトリのバグ26件を嗅ぎ分ける(CVE-2024-9143ほか)

The Register – Wed 20 Nov 2024

大規模言語モデル(LLM)を使ってコードリポジトリのバグを見つけるGoogleのOSS-Fuzzプロジェクトにより、広く使用されているOpenSSLライブラリの重大な欠陥を含む26件の脆弱性が特定された。このOpenSSLのバグ(CVE-2024-9143)は9月中旬に報告され、1か月後には修正されている。

Googleの見解では、ソフトウェアに予期しないデータやランダムなデータを挿入してエラーを検出するAI駆動のファジングツールが、人間によるファジングでは突き止められなかったものを発見したと考えられているようだ。同社オープンソースセキュリティチームは、ブログの記事に「この脆弱性はおそらく20年前から存在しており、人間が作成した既存のファジングターゲットでは発見できなかっただろう」と記した。

Googleのセキュリティチームが挙げたもう1つの例、cJSONプロジェクトのバグもAIによって発見されたもので、人間作成のファジングテストでは見逃されていたと言われている。同社は11月初めにも、別のLLMベースのバグハンティングツール「Big Sleep」が実際のソフトウェアにおいて、これまで知られていなかった悪用可能なメモリ安全性の欠陥を初めて特定したと発表している。

MITRE、ソフトウェア脆弱性の2024年度ワースト25を発表

BleepingComputer – November 20, 2024

米国の非営利研究団体MITREは、2023年6月1日〜2024年6月1日の間に公開された3万1,000件以上の脆弱性から、最も一般的かつ危険なソフトウェアの脆弱性タイプ(CWE)の年間ワースト25を発表した。

今年のランキングでは1位がクロスサイトスクリプティング(CWE-79)、2位が境界外書き込み(CWE-787)となり、昨年度とは両者の順位が逆転する結果に。3位は変わらずSQLインジェクション(CWE-89)で、クロスサイトリクエストフォージェリ(CWE-352)、パストラバーサル(CWE-22)がこれに続く。

CWEにおけるソフトウェアの脆弱性(弱点、weakness)とは、ソフトウェアのコード、アーキテクチャ、実装または設計に見つかった欠陥、バグ、脆弱性やエラーを指す。MITREは今年度のリストを作成するため、米CISAのKEVカタログに追加されたセキュリティ上の欠陥を中心に、この1年間に報告された「再マッピング分析の恩恵を受ける」脆弱性について3万1,770件のCVEレコードを分析し、深刻度と悪用頻度に基づいてそれぞれを採点したという。

MITREは「これらの脆弱性の根本的原因を明らかにすることは、こうした脆弱性の発生を防ぐための投資、方針の策定、実践に向けた強力なガイドとなり、各業界と政府の双方のステークホルダーに利益をもたらす」と語った。同じく先週には、FBI、NSA、ファイブアイズ加盟国のサイバーセキュリティ機関が共同で、2023年に最も頻繁に悪用された脆弱性15件を発表している。

【無料配布中!】ランサムウェアレポート&インテリジェンス要件定義ガイド

ランサムウェアレポート:『2024 Ransomware? What Ransomware?』

以下のバナーより、ランサムウェアのトレンドを扱ったSilobreaker社のレポート2024 Ransomware? What Ransomware?の日本語訳バージョンを無料でダウンロードいただけます。

<レポートの主なトピック>

  • 主なプレーヤーと被害組織
  • データリークと被害者による身代金支払い
  • ハクティビストからランサムウェアアクターへ
  • 暗号化せずにデータを盗むアクターが増加
  • 初期アクセス獲得に脆弱性を悪用する事例が増加
  • 公に報告された情報、および被害者による情報開示のタイムライン
  • ランサムウェアのリークサイト – ダークウェブ上での犯行声明
  • 被害者による情報開示で使われる表現
  • ランサムウェアに対する法的措置が世界中で増加
  • サプライチェーン攻撃を防ぐため、手口の変化に関する情報を漏らさず把握
  • 複数の情報源と脅威インテリジェンスツールを活用することが依然不可欠

インテリジェンス要件定義に関するガイドブック:『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件(PIR)を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック要件主導型インテリジェンスプログラムの構築方法の日本語訳バージョンを無料でダウンロードいただけます。

<ガイドブックの主なトピック>

本ガイドブックでは、優先的インテリジェンス要件(PIR)の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

  • 脅威プロファイルの確立
  • ステークホルダーの特定・分析
  • ユースケースの確立
  • 要件の定義と管理
  • データの収集と処理
  • 分析と生産
  • 報告
  • フィードバック
  • 実効性の評価

Special Feature特集記事

Cyber Intelligenceサイバーインテリジェンス

Security情報セキュリティ