グーグルの「Project Zero」、脆弱性情報の公開に14日間の追加猶予

ZDNET Japan Staff

2015-02-17 12:43

 ゼロディ攻撃の撲滅を目指すGoogleのセキュリティチーム「Project Zero」が、脆弱性に関する情報公開の方針を変更した

 Project Zeroはこれまで、発見した脆弱性に関する情報を、開発元に通知してから90日後に一般公開するという方針を堅持してきた。2014年12月から翌1月にかけて、「Windows 8.1」などの脆弱性に関する90日の期限が切れたとして複数の脆弱性情報をパッチ発行前に公開したことから、この方針について疑問の声が挙がっていた。

 Googleは、脆弱性の修正状況に関するデータを考慮するとともに、脆弱性の公開期限に関する異例ケースについての議論や外部からのフィードバックを参考に、以下のように方針を改定したとしている。

  • 週末と祝日。期限が週末または米国の祝日に到来する場合、次の平日までその期限を延長する。
  • 猶予期間。新たに14日間の猶予期間を設けた。90日という期限内でパッチがリリースできない場合であっても、ベンダーからその後の14日間以内の特定日にパッチをリリースするという通知があれば、該当パッチの一般公開まで情報の公開を延期する。これにより、パッチが公開されていない脆弱性に関する情報公開は、期限を大幅に(2週間を超えて)過ぎた場合にのみ実施されることになる。
  • 共通脆弱性識別子(CVE)の割り当て。CVEは脆弱性を識別するために付与される、業界標準の識別子だ。脆弱性を初めて公表する際には、混乱を避けるためにCVEを割り当てておくことが重要となる。公開期限を過ぎた脆弱性については、CVEが既に付与されていることを確認する。

 Googleは、状況が特殊である場合に期限を前倒しまたは延長する権利をこれまで通り保持するとしている。また、どのベンダーも平等に扱うことを約束し、自社にも同じ基準を適用するとした。Project Zeroは実際にGoogle製品(「Google Chrome」や「Android」)に存在する脆弱性も扱っており、これらの公開期限にも同じ方針を適用しているという。

 今回の方針改定は、セキュリティ関連の脆弱性に業界が対応する時間を短縮したいという同社の意向に沿いながらも、期限をわずかに超過する脆弱性については対応を緩和するものだという。

ZDNET Japan 記事を毎朝メールでまとめ読み(登録無料)

ホワイトペーパー

新着

ランキング

  1. セキュリティ

    警察把握分だけで年間4000件発生、IPA10大脅威の常連「標的型攻撃」を正しく知る用語集

  2. セキュリティ

    まずは“交渉術”を磨くこと!情報セキュリティ担当者の使命を果たすための必須事項とは

  3. セキュリティ

    「2024年版脅威ハンティングレポート」より—アジアでサイバー攻撃の標的になりやすい業界とは?

  4. セキュリティ

    生成AIを利用した標的型攻撃とはどのようなものなのか?実態を明らかにして効果的な対策を考える

  5. ビジネスアプリケーション

    Microsoft 365で全てを完結しない選択、サイボウズが提示するGaroonとの連携による効果

ZDNET Japan クイックポール

所属する組織のデータ活用状況はどの段階にありますか?

NEWSLETTERS

エンタープライズコンピューティングの最前線を配信

ZDNET Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]