Last Updated on 2024-08-08 09:46 by admin
セキュリティ研究者たちは、OpenJS Foundationを標的とした「信頼できる」乗っ取り試みを発見した。この試みは、最近発覚したオープンソースのXZ Utilsプロジェクトを狙った事件と類似している。OpenJS FoundationとOpen Source Security Foundation (OpenSSF)は共同で警告を発し、OpenJS Foundation Cross Project Councilが似たメッセージを含む疑わしい一連のメールを受け取ったと述べた。これらのメールは、特定の詳細を提供せずに、OpenJSが人気のあるJavaScriptプロジェクトの1つを更新して重大な脆弱性を修正するよう行動を促した。また、メールの送信者は、以前にほとんど関与していないにもかかわらず、自分たちをプロジェクトの新しいメンテナーとして指名するようOpenJSに要求した。同様の活動を受けた他の2つの人気のあるJavaScriptプロジェクトもOpenJSによってホストされていないと言われている。しかし、OpenJSに連絡した人々の中で、OpenJSがホストするプロジェクトへの特権アクセスを許可された者はいなかった。
この事件は、XZ Utilsの唯一のメンテナーが架空の人物によって標的にされた方法に焦点を当てている。これらの人物は、Jia Tan（別名JiaT75）をプロジェクトの共同メンテナーにすることを目的として明らかに作成された。Jia Tanには、その貢献以外にデジタル上の足跡がなく、何年にもわたってオープンソース開発コミュニティの信頼を得て、最終的にXZ Utilsに潜在的なバックドアを挿入することを目的としていたことを示している。また、このキャンペーンの背後にある計画と実行の洗練さと忍耐力を指摘しており、多くのLinuxディストリビューションで使用されているオープンソースのボランティア運営プロジェクトを標的にすることで、組織とユーザーをサプライチェーン攻撃のリスクにさらしている。XZ Utilsのバックドア事件は、オープンソースエコシステムの「脆弱性」と、メンテナーの燃え尽きによって生じるリスクを浮き彫りにしている。
米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、オープンソースコンポーネントを組み込む技術メーカーやシステムオペレーターに対し、ソースコードを定期的に監査し、脆弱性の全クラスを排除し、他のセキュア・バイ・デザイン原則を実装することを支援するか、直接行うべきだと推奨している。これらのソーシャルエンジニアリング攻撃は、プロジェクトとコミュニティに対するメンテナーの義務感を悪用し、彼らを操作することを目的としている。
【ニュース解説】
OpenJS Foundationが、JavaScriptプロジェクトの乗っ取りを試みる「信頼できる」攻撃の標的になったことがセキュリティ研究者によって発見されました。この攻撃は、オープンソースのXZ Utilsプロジェクトを狙った最近の事件と類似しています。OpenJS FoundationとOpen Source Security Foundation (OpenSSF)は、OpenJS Foundation Cross Project Councilが似たメッセージを含む疑わしい一連のメールを受け取ったと共同で警告しました。これらのメールは、OpenJSに対して、特定の詳細を提供せずに、人気のあるJavaScriptプロジェクトの1つを更新して重大な脆弱性を修正するよう促しました。また、メールの送信者は、以前にほとんど関与していないにもかかわらず、自分たちをプロジェクトの新しいメンテナーとして指名するよう要求しました。
この事件は、オープンソースのプロジェクトが直面しているセキュリティ上の脅威と、ソーシャルエンジニアリング攻撃の洗練された手法に光を当てています。攻撃者は、プロジェクトのメンテナーに対する信頼とコミュニティへの貢献を悪用し、最終的にはプロジェクトを乗っ取ることを目論んでいます。このような攻撃は、オープンソースエコシステムの脆弱性を露呈し、メンテナーの燃え尽きやセキュリティ対策の不足がもたらすリスクを浮き彫りにしています。
この事件から学ぶべき重要な教訓は、オープンソースプロジェクトのセキュリティとメンテナンスには、個々のメンテナーだけでなく、技術メーカーやシステムオペレーターを含むコミュニティ全体の協力が必要であるということです。CISAの推奨するように、技術メーカーやシステムオペレーターは、オープンソースコンポーネントのソースコードを定期的に監査し、セキュア・バイ・デザイン原則を実装することで、脆弱性の排除とセキュリティの向上に貢献するべきです。
また、この事件は、ソーシャルエンジニアリング攻撃がいかに巧妙であるか、そしてそれに対抗するためには、メンテナーが自分たちの直感に注意を払い、不審な要求やプレッシャーに対して警戒する必要があることを示しています。プロジェクトとコミュニティに対する義務感を悪用されないよう、メンテナーは自分たちの感情に注意を払い、疑わしい活動には迅速に対応することが重要です。
長期的には、このような攻撃を防ぐためには、オープンソースプロジェクトのガバナンスとセキュリティプロトコルを強化し、メンテナーのサポートと教育を強化することが必要です。コミュニティ全体でセキュリティ意識を高め、オープンソースエコシステムを守るための共同の取り組みが求められています。
from OpenJS Foundation Targeted in Potential JavaScript Project Takeover Attempt.