あなたのソフトはOK？ オープンソースのリスク分析：Synopsysが調査（2/2 ページ）

大半のソフトウェアプログラムが、脆弱（ぜいじゃく）性やライセンス違反の問題を抱えている――。Synopsys（シノプシス）のソフトウェアインティグリティグループ（SIG）は、「2018オープンソースセキュリティ＆リスク分析（OSSRA）」レポートについて、その概要を発表した。

[馬本隆綱，EE Times Japan]

　オープンソースソフトウェアのライセンス形態は、大きく3つに分類することができるという。「一方的利用ライセンス」「コピーレフトライセンス」そして、大きな問題となる「不明確なライセンス」である。今回の調査では、コードベースの85％にライセンスに抵触するものや、不明のライセンスが存在していた。しかも、コードベースの44％はGPL（GNU一般公有使用承諾）に抵触しているという。

　分野別にみると、テレコミュニケーション／ワイヤレス業界では、調査したコード全てがライセンス違反のソフトウェアを包含していることが分かった。このように、オープンソースのライセンス責任がきちんと果たされていないことも、脆弱性の問題を大きくしているとみている。

　さらにMackey氏は、「調査したコードベースの78％から、1件以上の脆弱性が検出された。コードベース当たり平均で64個の脆弱性が認められた。その54％以上がハイリスクに分類されている脆弱性」と述べる。しかも、「調査したコードベースの8％にApache Strutsが組み込まれ、このうちの33％は今でもStrutsの脆弱性を抱えていることが分かった。過去に公表された脆弱性が改善されずに積み上げられている。脆弱性を単に公表しただけでは根本的な課題解決にはならない」と強調した。パッチバージョンにより脆弱性のリスクが高まることもありうるという。

調査したコードベースには、注目度の高い脆弱性が多く含まれていた （クリックで拡大） 出典：Synopsys

産業別に見たハイリスクコンポーネントの割合 （クリックで拡大） 出典：Synopsys

　Synopsysは、ソフトウェアのクオリティーとセキュリティを向上させるためのソリューションを提供している。具体的には、ソースコードを分析し共通脆弱性を発見するための「静的解析」、オープンソースをスキャンし、その脆弱性を発見する「ソフトウェアコンポジション解析」、実行中のアプリケーションを試験し、脆弱性のあるアプリケーションの挙動を発見する「動的解析」といったツールなどを用意している。

Synopsysが提案するソフトウェアセキュリティ関連のプラットフォーム （クリックで拡大） 出典：Synopsys