2024年オープンソース・セキュリティ&リスク分析レポート

コードベースの 3 分の 1 で、脆弱なバージョンの jQuery が使用されていることが判明

OSSRAレポートが示す数字は、開発チームがオープンソース管理を改善し、オープンソース・コンポーネントを最新の状態に保つ必要があることを明確に示しています。オープンソースのより脆弱な古いバージョンを使用すると、悲惨な結果が生じる可能性があります。たとえば、2024年のOSSRAレポートにリストされている上位10件の脆弱性の2番目は、jQueryのバージョン1.2～3.5.0 のクロスサイト・スクリプティングの脆弱性です。 この脆弱性に対して、jQuery 3.5.0 でパッチが提供されましたが、スキャンされたコードベースの3分の1で、この問題に対して脆弱な jQueryのバージョンを依然として使用していました。この脆弱性が悪用されると、悪意のあるデータがシステムに侵入するために使用されたり、パスワードや信用情報などの機密データが漏洩したりする可能性があります。

jQueryは本質的に安全ではありません。それでも、ユーザー、開発者、メンテナーからなる大規模なコミュニティによって、よく管理されたオープンソース・ライブラリです。しかし、OSSRAレポートのデータによれば、レポートにリストされているすべてのjQueryの脆弱性には利用可能なパッチがあるにも関わらず、jQueryは最も脆弱性がある可能性が高いコンポーネントです。jQueryのユーザーだけでなく、すべてのオープンソースのユーザーにとって、古いバージョンのソフトウェアに関連する潜在的なセキュリティリスクを認識し、それらのリスク軽減措置を講じることは非常に重要です。

ほとんどのメンテナー（オープンソース・プロジェクトを牽引するコントリビュータ）は、自分が関わっているプロジェクトを最新の状態に保つことに熱心です。オープンソースの利用者にも同様の勤勉さを奨励する必要があります。オープンソースの利用者は、使用中のバージョンを常に認識し、更新の定期的なリズムを確立し、メンテナーとコントリビュータの健全なエコシステムを持つプロジェクトからのみダウンロードするなど、ソフトウェアの衛生管理を実践する必要があります。