2025年1月のKudelski Securityによる脆弱性開示への対応：対策と継続的改善

Our response to the January 2025 Kudelski Security vulnerability disclosure: Action & continuous improvementの日本語訳です。

顧客データへのアクセスはなく、脆弱性は開示から数時間以内に迅速に修正されました

CEOとして、Kudelski Securityの研究者が2025年1月に発見したセキュリティ脆弱性に関する最近の報道について説明し、直ちに行った対応、その後に講じた措置、セキュリティへの継続的な取り組みを共有します。

発生したこと

2025年1月24日、 Kudelski Securityのセキュリティ研究者が、脆弱性開示プログラム（VDP）を通じて脆弱性を開示しました。研究者は、当社のツールの1つであるRuboCopが、安全なサンドボックス環境の外で実行されており、標準のセキュリティプロトコルから逸脱した設定になっていることを特定しました。

当社は直ちに調査を開始し、迅速なインシデント対応プロトコルを通じて、この問題を数時間以内に修正しました。Kudelski Securityが開示した問題を確認し、その他の不正アクセスを示す証拠がないことを確認し、根本原因を特定して修正を実装しました。さらに、以下で説明するように、同様のインシデントを防ぐため、包括的なセキュリティプロトコルを強化しました。

明確に申し上げると、当社はインフラストラクチャ全体で、安全なサンドボックスを標準的に使用しています。 今回は当社の見落としであり、全責任を負います。

直ちに行った対応

開示を受けると、セキュリティチームはインシデント対応プロトコルを開始しました。

• 1時間以内： 脆弱性を確認し、修正できるまでまずRuboCopを無効にして、直ちに修正作業を開始しました。
• 3時間以内： 関連するすべての認証情報とシークレットを完全にローテーションしました。
• 12時間以内： RuboCopを安全なサンドボックス環境へ移し、包括的な修正を本番環境へデプロイしました。
• さらに、以下を実施しました：
  • すべてのシステムを徹底的に監査し、サンドボックスインフラストラクチャの外で動作する他のサービスがないことを確認しました。
  • サンドボックスの適用を自動化しました。
  • 強化されたデプロイゲートを導入しました。
  • すべてのエンジニアに義務付けているセキュリティ研修を監査し、更新しました。

当社は不正アクセスの可能性を特定するため、速やかに調査しました。調査では、顧客データへアクセスされたこと、または悪意ある活動が行われたことを示す証拠は確認されませんでした。

私たちにとって重要である理由

セキュリティは単なるチェック項目ではなく、当社の使命の根幹です。当社のサービスは設計どおり安全なサンドボックス内で動作しますが、今回の調査では、RuboCopがこのセキュリティ境界の外へデプロイされていたことが判明しました。当社の標準からのこの逸脱は、迅速に封じ込められ、顧客への影響もありませんでしたが、当社にとって容認できないものです。再発を防ぐため、直ちに対応しました。

変更したこと

1. 包括的なサンドボックス監査： すべてのサービスがサンドボックス要件へ100%準拠していることを確認するため、直ちに全体的なレビューを完了しました。サンドボックス環境の外にあったサービスはRuboCopだけであり、すでに是正しました。
2. サンドボックス適用の自動化： セキュリティ境界の外へサービスがデプロイされることを防ぐ自動チェックを直ちに実装し、その後も機能しています。
3. デプロイゲートの強化： 現在、すべてのデプロイで、本番環境へ到達する前に追加の明示的なサンドボックス検証を必須としています。
4. 研修の更新： すべてのエンジニアに義務付けているセキュリティ研修も監査し、更新しました。

VDPプログラム：協力によるセキュリティ

今回の脆弱性開示は、当社が脆弱性開示プログラムの構築へ多大な投資を行ってきた理由を示しています。このプログラムには次の特徴があります。

• 研究者との積極的な連携： 世界各地の複数のセキュリティ研究者と継続的な関係を維持しています。
• 競争力のある報奨金： セキュリティ研究の価値を評価する最高水準の報奨金を提供します。
• 迅速な対応時間： 初回応答は平均24時間以内、解決は7日以内です。
• 明確なコミュニケーション： 専任のセキュリティチームが開示プロセス全体を通じて定期的に進捗を共有します。

責任ある開示の価値

Kudelski Securityの専門的な対応により、この脆弱性が悪意を持って悪用される前に対処できました。これは、セキュリティエコシステムが本来機能すべき姿そのものです。研究者と企業が協力し、すべての人のセキュリティを改善します。

同社の専門的な対応に感謝するとともに、すべてのセキュリティ研究者へ、https://vdp.coderabbit.ai/のVDPプログラムを通じた連携を呼びかけます。独立した研究者でも、実績ある企業の一員でも、当社のセキュリティへの貢献を高く評価します。

私たちの約束

ユーザーの皆様に対し、当社は今後も次のことを続けます。

• すべてのサービスで、安全なサンドボックスを既定のセキュリティ境界として維持する
• セキュリティインフラストラクチャとツールへ多大な投資を行う
• 業界で最も包括的なVDPプログラムの1つを運営する
• セキュリティ研究者と積極的に連携し、報奨を提供する
• どれほど小さくても、すべての脆弱性開示とインシデントから学ぶ
• 最高水準のセキュリティ標準を自らに課す
• SOC 2 Type 2など、業界のセキュリティ標準への準拠を維持する

Kudelski Securityの研究に感謝するとともに、データを託してくださるユーザーの皆様への責任を果たしていきます。

ご質問や懸念がある場合は、security@coderabbit.aiまたはhttps://vdp.coderabbit.ai/のVDPポータルまでお問い合わせください。