SOA特有のセキュリティ問題が存在：大手Webサービス製品に

Fortify Softwareによると、大手5製品で一般に用いられている設定／利用方法に重大なセキュリティ問題があるという。

[ITmedia]

　企業向けのアプリケーションセキュリティ製品を手掛ける米Fortify Softwareは7月29日、Webサービス／サービス指向アーキテクチャ（SOA）フレームワークの大手5製品において、一般に用いられている設定／利用方法に重大なセキュリティ問題があることが分かったと発表した。

　Fortifyが調べたのはApache Axis、Apache Axis 2、IBM WebSphere 6.1、Microsoft .NET Web Services Enhancements（WSE）2.0、Microsoft Windows Communication Foundation（WCF）の5製品。特定の設定で、不十分な認証や暗号化、反射攻撃の脆弱性、XPath挿入問題など多数の重大なセキュリティ問題につながることが分かったとしている。

　アプリケーションにWeb攻撃を食い止めるためのセキュリティ対策が施されていても、SOAを通じた攻撃には対抗できないとFortifyは指摘。SOAは利用を誤れば膨大なセキュリティ問題を呼び込む可能性があり、問題発生のリスクが高まるとしている。

　ただし、これらフレームワークそのものに脆弱性があるわけではなく、深刻なセキュリティ問題を避けるためには適切な設定を行って利用する必要があるという。

　Fortifyは今回の発見を受け、アプリケーションセキュリティ製品の「Fortify 360」に、ソースコード分析を通じてSOA特有の脆弱性を見つけ出す新機能を組み込んだ。

過去のセキュリティニュース一覧はこちら