グーグル、「OSS-Fuzz」の報酬プログラム拡充とJavaScriptへの対応を発表

Liam Tung (Special to ZDNET.com) 翻訳校正: 編集部

2023-02-03 10:29

 Googleは米国時間2月1日、同社のファジングツール「OSS-Fuzz」の報酬プログラムである「OSS-Fuzz Reward Program」を拡充したと発表した。このプログラムは、大規模なユーザーベースを有する、あるいは世界のITインフラに重大な影響を及ぼすオープンソースプロジェクトにファズターゲットの統合を促すための報奨金制度だ。

PCで作業する人物
提供:Getty Images

 今回新たに報奨金タイプが追加されるとともに、プロジェクトあたりの合計報奨金額が最大3万ドル(約390万円)に引き上げられた。プロジェクト1件あたりの合計報奨金額はこれまで最大2万ドル(約260万円)だった。

 OSS-Fuzzの目的は、オープンソースプロジェクトによるファジングテストの採用を支援することであり、新たな報奨金タイプは、プロジェクトの新しい統合方法を生み出す人々を支援する目的を持つ。

 またGoogleは今回、すべてのOSS-Fuzzプロジェクトを対象とし、幅広い改善に報いるための2つの報奨カテゴリーを新設した。1カテゴリーあたり最大1万1337ドル(約146万円)の報奨金が支払われる。そして、ファジングツールの自動評価ツール「FuzzBench」の大幅な統合や、脆弱性の発見を支援する新たなサニタイザー、すなわち「バグディテクター」の統合にも報奨金が用意された。

 GoogleのOSS-Fuzzチームに所属するOliver Chang氏は「セキュリティリサーチャーやオープンソースのメンテナーに、より強力なインセンティブを与えることで、重要なオープンソースプロジェクトのOSS-Fuzz(エコシステム)への統合を加速させたいとわれわれは願っている」と説明している

 同社によると、Open-Fuzzは2016年以来、850ものオープンソースプロジェクトにおいて、8800件を超える脆弱性と2万8000件を超えるバグの修正を支援してきたという。2021年12月時点でOSS-Fuzzを利用しているプロジェクトの総数は500以上だった。こうしたプロジェクトには、エンドユーザープログラムから、さまざまなOSSプロジェクトで用いられているライブラリーも含まれている。

 OSS-Fuzzは、「ファジング」と呼ばれるテストをリサーチャーらが遂行できるようにするためのコードテスティングサービスだ。ファジングとは、セキュリティ上の欠陥を示唆するプログラムのクラッシュやメモリーリークを発生させるための、自動化されたソフトウェアテストを指す。

 GoogleのOSS-Fuzzチームは、間もなくサポートするプロジェクトの対象言語をJavaScriptにも拡大すると述べた。

 例を挙げると、「C++」で記述された「TinyGLTF」というライブラリーに存在していた深刻なバグの発見にもOSS-Fuzzが用いられた。このバグが修正されるまで、同ライブラリーに依存しているプロジェクトは攻撃者によって任意のコードを実行される危険にさらされていた。Googleは2022年9月にブログで、同ライブラリーの記述言語はC++だったが、このようなバグはあらゆるプログラミング言語に存在し得るとして、ファジングというアプローチの利点と必要性を指摘していた。こういったプログラムには、「Chromium」や「Linux」カーネル、「Windows」「Android」など多数のものが含まれている。

この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。

ZDNET Japan 記事を毎朝メールでまとめ読み(登録無料)

ホワイトペーパー

新着

ランキング

  1. セキュリティ

    「デジタル・フォレンジック」から始まるセキュリティ災禍論--活用したいIT業界の防災マニュアル

  2. 運用管理

    「無線LANがつながらない」という問い合わせにAIで対応、トラブル解決の切り札とは

  3. 運用管理

    Oracle DatabaseのAzure移行時におけるポイント、移行前に確認しておきたい障害対策

  4. 運用管理

    Google Chrome ブラウザ がセキュリティを強化、ゼロトラスト移行で高まるブラウザの重要性

  5. ビジネスアプリケーション

    技術進化でさらに発展するデータサイエンス/アナリティクス、最新の6大トレンドを解説

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNET Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]