Tweet

バッファオーバーフローなど8種類の脆弱性を検査、修正法をレポート

IPA、Cのソースコードのセキュリティ検査ツールを公開

2012/05/08

　情報処理推進機構（IPA）は5月8日、C言語で書かれたソフトウェアのソースコードを検査し、脆弱性が含まれている個所を検出して修正方法とともにレポートするツール「iCodeChecker」を公開した。

　iCodeCheckerは、脆弱性やソースコード検査技術を学習したいと考える学生や開発者向けのツールだ。Cのソースコードファイルを読み込ませると自動的に解析を行い、何行目にどういった脆弱性が存在し、どのように修正すべきかを示したレポートを日本語で出力する。

　検出できるのは、バッファオーバーフローや整数オーバーフロー、配列インデックスの検証不備といった、開発時に作り込みやすく、かつ危険度の高い脆弱性8種に絞られている。だがそれでも、任意のコード実行につながるような、影響が大きい脆弱性の検出が期待できるという。

　iCodeCheckerは、パッケージ形式とソースコード形式（いずれもUbuntu 11.10 Desktopで動作）のほか、VMware Playerで動作する仮想マシンイメージ形式でも配布され、無償で利用できる。IPAは同ツールの公開によって、ソースコードセキュリティ検査の有効性が認知され、ソフトウェア開発プロセスに取り入れられることを期待しているという。