OWASP Top 10 2025：ソフトウェアサプライチェーンの障害

待望の 2025年版OWASP Top 10が公開され、企業は新たな脅威への警戒を強める必要があります。その中には、リストの上位に食い込む脅威も含まれています。ソフトウェアサプライチェーンの障害は、今回新たにカテゴリーとして追加されましたが、全く新しい問題というわけではありません。Webアプリケーションセキュリティにおける最も深刻なリスクを4年ごとにまとめるこのリストで、第3位に位置しています。企業は、まだ対策を講じていないのであれば、このリスクを非常に深刻に受け止める必要があります。

「ソフトウェアサプライチェーンの障害」は、2021年の前回リストにおける「脆弱で古いコンポーネント」というカテゴリーから発展したもので、現在では依存関係、ビルドシステム、配布インフラといったソフトウェアエコシステム全体にわたる、より広範な侵害を含んでいます。2019年のSolarWinds事件、今年初めのBybitへのハッキング、そして現在進行中のShai-Huludキャンペーン（開発環境を標的にして猛威を振るう、自己複製型の悪質なnpmワーム）といった、世間を騒がせたサプライチェーン攻撃による被害を考えれば、このカテゴリーがリスト入りしたことは驚くべきことではありません。

OWASP Top 10は4年ごとに更新されるため、全体として一貫性が保たれていますが、その間にもアップデートは行われます。通常、リスト内では順位の入れ替わりがあります。例えば、長年ランクインしていた「インジェクション」は3位から5位へ、「安全でない設計」は2つ順位を下げて6位となりました。一方で、「セキュリティの誤設定」は5位から2位へと急上昇しています。「壊れたアクセス制御」は引き続きトップの座を維持しています。2025年版には、前述の「ソフトウェアサプライチェーンの障害」と、10位に初登場した「例外的な状況の不適切な処理」という2つの新しい項目が加わりました。ここでは、新たに加わったサプライチェーンの脆弱性について詳しく見ていきます。

[動画を見る]

脆弱性はほぼどこにでも潜んでいる

「ソフトウェアサプライチェーンの障害」は、リスト内の10項目の中でOWASPの研究データにおける発生件数は最も少ないものの、カテゴリーに含まれる5つの共通脆弱性タイプ（CWE）に起因する平均的なエクスプロイト（悪用）スコアと影響スコアが最も高いという、少し特殊なカテゴリーです。OWASPは、このカテゴリーの出現頻度が低いのは、現時点でのテスト手法に課題があるためであり、将来的には改善される可能性があると指摘しています。いずれにせよ、調査回答者の多くが「ソフトウェアサプライチェーンの障害」を最優先の懸念事項として挙げています。

多くのサプライチェーンの脆弱性は、ビジネスの相互接続性に起因しており、上流・下流のパートナーやサードパーティが関与しています。あらゆるやり取りにおいて、そのコンポーネント（依存関係やライブラリとも呼ばれる）が保護されていないソフトウェアが介在する可能性があります。企業は、自社のコンポーネント（クライアントサイド、サーバーサイド、ネストされたもの）のすべてのバージョンや、推移的依存関係（他のライブラリからの依存関係）を追跡し、それらが脆弱でなく、サポートが終了しておらず、最新の状態であることを確認しなければ、リスクにさらされることになります。コンポーネントは通常、アプリケーションと同じ権限を持つため、サードパーティやオープンソースのリポジトリから取得したものであっても、侵害されたコンポーネントは広範囲に影響を及ぼす可能性があります。タイムリーなパッチ適用と更新は不可欠であり、月次や四半期の定期的なパッチスケジュールであっても、数日から数ヶ月間、企業を無防備な状態にさらす可能性があります。

同様に、サプライチェーンに関する変更管理プロセスが欠如していると、統合開発環境（IDE）やコードリポジトリ、イメージ・ライブラリリポジトリ、あるいはサプライチェーンの他の部分への変更を追跡できていない場合に脆弱性が生じる可能性があります。組織は、アクセス制御と最小権限の原則を適用し、監督なしでコードを作成して本番環境にデプロイできる者がいないようにし、信頼できないソースからコンポーネントをダウンロードできないようにすることで、サプライチェーンを強化する必要があります。

サプライチェーン攻撃には多くの形態があります。悪名高いSolarWinds攻撃は、ロシアの攻撃者が同社の人気ネットワーク管理ソフトウェアのアップデートにマルウェアを注入したことから始まりました。これにより約18,000の顧客が影響を受けました。実際に被害を受けた企業の数は100社程度でしたが、そのリストには大企業や政府機関が含まれていました。北朝鮮が関与したとされる15億ドル規模のBybitハッキングでは、侵害された暗号資産アプリが利用されました。最近のGlass Wormサプライチェーン攻撃では、Open VSX Marketplaceを感染させた、目に見えない自己複製コードが使用されました。

サプライチェーン攻撃の防止

サプライチェーン攻撃はシステムの相互依存性を利用するため、その防御には包括的なアプローチが必要です。OWASPは、攻撃を防ぐためのヒントとして、以下のようなパッチ管理プロセスの導入を推奨しています。

• Know your Software Bill of Materials (SBOM) for all software and manage the SBOM centrally. It’s best to generate SBOMs during the build, rather than later, using standard formats, such as SPDX or CycloneDX, and to publish at least one machine-readable SBOM per release.
• Track all of your dependencies, including transitive dependencies, removing unused dependencies, as well as unnecessary features, components, files and documentation. 
• Continuously inventory both client-side and server-side components and their dependencies using tools, such as OWASP Dependency Check or retire.js.
• Stay up to date on vulnerabilities, continuously monitoring sources such as the Common Vulnerabilities and Exposures (CVE) website and the National Vulnerability Database (NVD) and subscribe to email alerts for security vulnerabilities related to the components you use.
• Use components obtained only from trusted sources over secure links. A trustworthy provider, for instance, would be willing to work with a researcher to disclose a CVE the researcher discovered in a component.
• Deliberately choose which version of a dependency you will use and upgrade only when you need to. Work with third-party libraries that have had their vulnerabilities published in a well-known source such as NVD. 
• Monitor for unmaintained or unsupported libraries and components. If patching is not possible, consider deploying a virtual patch to monitor, detect or protect against the discovered issue.
• Regularly update developer tooling.
• Treat components in your CI/CD pipeline as part of this process, hardening and monitoring them while documenting changes.

変更管理や追跡プロセスは、CI/CD設定、コードリポジトリ、サンドボックス、統合開発環境（IDE）、SBOMツール、作成されたアーティファクト、ログシステムとログ、SaaSなどのサードパーティ統合、アーティファクトリポジトリ、コンテナレジストリにも適用する必要があります。また、開発者のワークステーションからCI/CDパイプラインに至るまで、システムを強化する必要があります。多要素認証を有効にし、強力なIDおよびアクセス管理ポリシーを強制することも忘れないでください。

ソフトウェアサプライチェーンの障害に対する保護は、高度に相互接続された現代社会において、多面的かつ継続的な取り組みです。組織は、急速に進化するこの現代の脅威に対抗するため、アプリケーションとコンポーネントのライフサイクル全体にわたって強力な防御策を講じなければなりません。

SCW Trust Score™ ユーザーの皆様へ：

学習プラットフォームのコンテンツをOWASP Top 10 2025標準に合わせて更新する過程で、フルスタック開発者のTrust Scoreにわずかな調整が生じる場合があります。ご不明な点やサポートが必要な場合は、カスタマーサクセス担当者までお問い合わせください。