GoogleのAIバグハンター、人間が見逃していたコードリポジトリのバグ26件を嗅ぎ分ける（CVE-2024-9143ほか）

nosa

2024.11.21

11月21日：サイバーセキュリティ関連ニュース

GoogleのAIバグハンター、人間が見逃していたコードリポジトリのバグ26件を嗅ぎ分ける（CVE-2024-9143ほか）

The Register – Wed 20 Nov 2024

大規模言語モデル（LLM）を使ってコードリポジトリのバグを見つけるGoogleのOSS-Fuzzプロジェクトにより、広く使用されているOpenSSLライブラリの重大な欠陥を含む26件の脆弱性が特定された。このOpenSSLのバグ（CVE-2024-9143）は9月中旬に報告され、1か月後には修正されている。

Googleの見解では、ソフトウェアに予期しないデータやランダムなデータを挿入してエラーを検出するAI駆動のファジングツールが、人間によるファジングでは突き止められなかったものを発見したと考えられているようだ。同社オープンソースセキュリティチームは、ブログの記事に「この脆弱性はおそらく20年前から存在しており、人間が作成した既存のファジングターゲットでは発見できなかっただろう」と記した。

Googleのセキュリティチームが挙げたもう1つの例、cJSONプロジェクトのバグもAIによって発見されたもので、人間作成のファジングテストでは見逃されていたと言われている。同社は11月初めにも、別のLLMベースのバグハンティングツール「Big Sleep」が実際のソフトウェアにおいて、これまで知られていなかった悪用可能なメモリ安全性の欠陥を初めて特定したと発表している。

MITRE、ソフトウェア脆弱性の2024年度ワースト25を発表

BleepingComputer – November 20, 2024

米国の非営利研究団体MITREは、2023年6月1日〜2024年6月1日の間に公開された3万1,000件以上の脆弱性から、最も一般的かつ危険なソフトウェアの脆弱性タイプ（CWE）の年間ワースト25を発表した。

今年のランキングでは1位がクロスサイトスクリプティング（CWE-79）、2位が境界外書き込み（CWE-787）となり、昨年度とは両者の順位が逆転する結果に。3位は変わらずSQLインジェクション（CWE-89）で、クロスサイトリクエストフォージェリ（CWE-352）、パストラバーサル（CWE-22）がこれに続く。

CWEにおけるソフトウェアの脆弱性（弱点、weakness）とは、ソフトウェアのコード、アーキテクチャ、実装または設計に見つかった欠陥、バグ、脆弱性やエラーを指す。MITREは今年度のリストを作成するため、米CISAのKEVカタログに追加されたセキュリティ上の欠陥を中心に、この1年間に報告された「再マッピング分析の恩恵を受ける」脆弱性について3万1,770件のCVEレコードを分析し、深刻度と悪用頻度に基づいてそれぞれを採点したという。

MITREは「これらの脆弱性の根本的原因を明らかにすることは、こうした脆弱性の発生を防ぐための投資、方針の策定、実践に向けた強力なガイドとなり、各業界と政府の双方のステークホルダーに利益をもたらす」と語った。同じく先週には、FBI、NSA、ファイブアイズ加盟国のサイバーセキュリティ機関が共同で、2023年に最も頻繁に悪用された脆弱性15件を発表している。