KR — 전자신문
クリニティ、PHPのセキュリティ脆弱性に対応 Javaベースのメールセキュリティ技術を強調
セキュリティ2分で読めます
韓国のメールセキュリティ会社Crinity(クリニティ)は、同社の製品SpamBreakerが、新しく公表された2つのPHPのセキュリティ上の欠陥の影響を受けないと発表しました。製品がPHPを使っていないためです。
何が起きたのか
21日、人気のあるウェブサイト用プログラミング言語PHPに、2つのセキュリティ上の欠陥が見つかり、公表されました。この欠陥を使うと、攻撃者はログインせずにサーバー上で勝手にプログラムを動かせます。Crinityは、同社のメールセキュリティ製品SpamBreakerは主にJavaで作られており、PHPを動かす仕組みを含んでいないと説明しました。そのため、PHPの欠陥は直接の影響はないとしています。
主な数字と事実
- 公表されたPHPの欠陥は2つ
- 21日に公表
- 欠陥を使うと、ログインなしで遠隔からプログラムを実行される可能性がある
- SpamBreakerのメール処理部分と管理画面はJavaをベースにした構造
- SpamBreakerはメールを「パケット」「認証」「内容」の3段階で確認する
なぜ部品の確認が大事なのか
メールセキュリティ製品は、外部で作られた「ライブラリ」と呼ばれる部品を多く使います。ライブラリは、すでにできている便利な道具箱のようなものです。どれか一つの部品に弱点があると、全体が危険にさらされることがあります。韓国インターネット振興院(KISA)は、利用者にPHPのバージョンを確認し、最新のセキュリティ修正を入れるよう呼びかけました。
なぜ重要なのか
セキュリティ製品は、攻撃を防ぐ力だけでなく、それ自体が安全であることも大切です。買う側は、製品がどのように作られているか、部品の安全修正がどれくらいの頻度で行われるかを確認する必要があります。Crinityも、顧客に外部ライブラリの管理や更新サポートを見てほしいと話しています。
今後注目すること
- PHPを使う企業が、公式のセキュリティ修正を実際に適用するかどうか
- Crinityが、外部ライブラリの管理や更新の方法についてより詳しく公表するかどうか
- 顧客が、攻撃をどれだけ防ぐかだけでなく、製品自体の安全性でメールセキュリティ製品を判断するかどうか
用語解説
- Crinity
- メールセキュリティ製品を作る韓国の会社。
- SpamBreaker
- Crinityのメールセキュリティ製品。迷惑メールや危険なメールを調べて防ぎます。
- PHP
- ウェブサイトを作るときによく使われるプログラミング言語。
- ライブラリ
- ほかの人が作った、すぐ使える便利な部品の集まり。
- KISA
- 韓国インターネット振興院。韓国のインターネットとセキュリティを担当する政府系機関。
- Java
- さまざまなソフトウェアを作るために使われるプログラミング言語。