🏅 M2 高橋 黎が EC-CUBE のセキュリティ向上に貢献
本研究室所属の高橋 黎（大学院工学研究科電子情報メディア工学専攻 博士前期課程 2年）が、 オープンソースソフトウェア(OSS)として開発されているeコマースサイト用ウェブアプリケーション EC-CUBE/ec-cube に対して、未知の脆弱性(CVE-2023-22838)を報告し、ソフトウェアのセキュリティ向上に貢献しました。
オープンソースソフトウェア開発では、利用者からの報告（バグレポート）を元にソフトウェアの欠陥を修正が行われています。 OSSの開発者は利用者から寄せられたバグレポートから、どこに原因があるのかを特定し、具体的な修正を行うことになりますが、バグレポートが不完全な場合、欠陥の修正が困難になることがあります。 このような問題の発生を防ぐため、高橋は欠陥を発生させる方法を記録し自動実行するための手法を提案しています。
高橋は修士論文「Web アプリケーションに対する欠陥再現自動化手法」の一環として行われた実験の中で本脆弱性を発見し、開発者に対して報告を行いました。
- JVN#04785663: EC-CUBE における複数のクロスサイトスクリプティングの脆弱性
- EC-CUBE 4系におけるクロスサイトスクリプティングの脆弱性(JVN#04785663)
- CVE-2023-22838
知能ソフトウェア工学研究室は、今後も研究の高度化を図ると共にソフトウェアの品質向上ののための諸活動を通し、世の中のソフトウェアの品質向上に貢献していく所存です。