【ITニュース解説】🔍 Applying Flawfinder: A Lightweight SAST Tool to Secure C/C++ Codebases

システムエンジニアを目指す初心者の方々にとって、ソフトウェア開発におけるセキュリティは非常に重要なテーマである。現代のソフトウェア開発において、セキュリティを確保するための基本的な取り組みの一つにSAST（Static Application Security Testing）、つまり静的アプリケーションセキュリティテストがある。これは、作成したプログラムのソースコードを実際に実行することなく、そのコードの中に潜在的なセキュリティ上の問題点（脆弱性）がないかを解析する方法を指す。コードがまだ実行段階に入る前の、開発の早い段階で脆弱性を発見できるため、修正にかかるコストや手間を大幅に削減できるという大きなメリットがある。

特にC言語やC++言語で書かれたプログラム、組み込みシステム、あるいは古い世代のコードベースを扱う場合、SASTの重要性はさらに増す。これらの言語はメモリ管理をプログラマ自身が行うことが多いため、不注意なコーディングがバッファオーバーフローのような深刻な脆弱性に直結しやすいからだ。しかし、世の中には非常に高機能で複雑なエンタープライズ向けのSASTツールも存在するが、手軽に利用できる軽量なオープンソースツールもまた大きな価値を持つ。その一つがFlawfinderというツールである。

Flawfinderは、C言語およびC++言語のソースコードに特化して設計されたコマンドラインベースの静的解析ツールだ。David A. Wheeler氏によって開発され、プログラムコードの中に存在する、セキュリティ上のリスクが高いとされている特定の関数呼び出しをパターンマッチングという手法で検出する。例えば、strcpy、gets、sprintfといった関数は、使い方を誤ると簡単にバッファオーバーフロー（CWE-120）やフォーマットストリング脆弱性（CWE-134）、コマンドインジェクション（CWE-78）などの危険な脆弱性を引き起こす可能性があると広く知られている。Flawfinderは、このような既知の危険な関数をデータベースとして保持しており、コードをスキャンしてそれらの出現箇所を特定する。

このツールの大きな特徴は、複雑なプログラムの構造を解析する（抽象構文木解析など）のではなく、シンプルなパターンマッチングに徹している点にある。このシンプルさが、Flawfinderを非常に高速で軽量なツールにしている。何千行ものコードを数秒でスキャンでき、プログラムのコンパイルや複雑なセットアップは一切不要である。さらに、無料で利用できるオープンソースソフトウェアであり、インストールも容易で、解析結果の解釈も直感的であるため、セキュリティツールに慣れていない初心者でも手軽に導入できる点が大きな魅力だ。

実際にFlawfinderを使ってみる手順は非常に簡単だ。まず、多くのLinuxディストリビューションやmacOSでは、パッケージマネージャーを使って簡単にインストールできる。例えば、UbuntuやDebianならsudo apt-get install flawfinder、macOSならHomebrewを使ってbrew install flawfinderとコマンドを入力するだけでインストールが完了する。Pythonのパッケージマネージャーであるpipを使ってpip install flawfinderという方法もある。インストールが完了したら、flawfinder --versionと入力してバージョン情報が表示されれば準備は完了だ。

次に、Flawfinderが検出する脆弱性の例として、意図的にセキュリティ上の問題を含むC++のサンプルコードを準備する。例えば、以下のようなvulnerable_example.cppというファイルを作成する。このファイルでは、strcpy関数を使って、コピー先のバッファよりも大きなデータをコピーしようとする箇所、sprintf関数を使って、同様にバッファのサイズを超えて書き込もうとする可能性がある箇所、そして非常に危険であるため通常は絶対に使用すべきではないgets関数の使用例（コメントアウトされているが）を含む。

Copy
1// vulnerable_example.cpp
2#include <iostream>
3#include <cstring>
4#include <cstdio>
5
6int main() {
7    char src[10] = "Hello";
8    char dest[5]; // destのサイズは5バイト
9
10    // 1. Risky function: strcpy (potential buffer overflow)
11    // srcからdestへコピー。destは5バイトしかないので、strcpyではオーバーフローする可能性がある。
12    strcpy(dest, src);
13
14    // 2. Risky function: sprintf (potential buffer overflow)
15    char buffer[10];
16    // bufferは10バイト。"%d"が大きな数字だとオーバーフローする可能性がある。
17    sprintf(buffer, "The number is %d", 42);
18
19    // 3. Risky function: gets (extremely dangerous)
20    // char input[50];
21    // gets(input); // この関数は絶対に使わない。
22
23    std::cout << "Dest: " << dest << std::endl;
24    std::cout << "Buffer: " << buffer << std::endl;
25
26    return 0;
27}

このファイルがあるディレクトリに移動し、flawfinder vulnerable_example.cppとコマンドを実行すると、Flawfinderがソースコードをスキャンし、結果を出力する。ディレクトリ全体をスキャンしたい場合は、flawfinder ./と実行すればよい。

Flawfinderの解析結果は、危険度に応じて色分けされ、リスクレベルが0から5の範囲で表示される（5が最も危険度が高い）。上記のサンプルコードをスキャンした場合、Flawfinderは以下のような報告を出すだろう。

まず、vulnerable_example.cpp:10: [4] (buffer) strcpy:という行が表示される。これは、10行目でstrcpy関数が使われており、リスクレベルが4であることを示している。説明として「バッファオーバーフローのチェックをしていない（CWE-120）。strncpyやsnprintfの使用を検討すべきだ」と具体的な危険性と推奨される代替関数が示される。

次に、vulnerable_example.cpp:14: [4] (buffer) sprintf:という行が表示され、14行目のsprintf関数がリスクレベル4と判定される。ここでも「バッファオーバーフローのチェックをしていない（CWE-120）。snprintfやvsnprintfを使用すべきだ」というアドバイスがある。

さらに、コメントアウトされていたgets関数についても、vulnerable_example.cpp:18: [5] (buffer) gets:として、リスクレベル5の最も危険な関数として報告される。この関数は「非常に危険でバッファをオーバーフローさせる可能性がある。C99規格で廃止されており、決して使うべきではない。fgets()を使用すべきだ」と明確に警告する。

最終結果として、合計で3つの問題が検出され、リスクレベル4が2つ、リスクレベル5が1つという内訳が示される。このように、Flawfinderのレポートは、問題の場所（ファイル名と行番号）、危険度、脆弱性の具体的な説明、そしてどのように修正すべきかという推奨事項を明確に提示するため、初心者でも理解しやすい。

Flawfinderは一度きりのスキャンだけでなく、日々の開発ワークフローに組み込むことも可能だ。例えば、GitHub ActionsのようなCI/CD（継続的インテグレーション・継続的デリバリー）パイプラインにFlawfinderを組み込むことで、コードがリポジトリにプッシュされたり、プルリクエストが作成されたりするたびに自動的にセキュリティスキャンを実行できる。これにより、新たな脆弱性が導入されるのを早期に検出し、開発の早い段階で対処できるようになる。スキャン結果はSARIF形式で出力することもでき、GitHubの「Security」タブでネイティブに表示させるといった連携も可能だ。

また、Flawfinderはコマンドラインオプションを使ってスキャンをカスタマイズできる。例えば、flawfinder --minlevel 4 ./と実行すれば、リスクレベル4以上の深刻な問題のみを結果として表示させることができ、重要な警告に集中できる。flawfinder --html --output results.html ./とすれば、スキャン結果をHTML形式でレポートとして出力することも可能だ。もし、Flawfinderが誤って安全なコードを脆弱性として報告する「偽陽性」が発生した場合でも、--falsepositive vulnerable_example.cpp:10のように特定の行の警告を抑制するオプションも用意されている。

しかし、Flawfinderは銀の弾丸ではないことも理解しておく必要がある。パターンマッチングというシンプルな検出方法のため、安全なコードであってもパターンに一致すれば警告を発する「偽陽性」が起こりうる。また、その検出範囲は内蔵された危険な関数データベースに限定されるため、より複雑なロジックの欠陥や、データがどのようにプログラム内を流れていくか（データフロー解析）を追跡するような高度な脆弱性は検出できない。そのため、特にミッションクリティカルなプロジェクトや、より包括的なセキュリティ監査が必要な場合には、FlawfinderをClang Static Analyzerのような他の静的解析ツールや、より高機能な商用SASTツールと組み合わせて利用することが推奨される。

結論として、Flawfinderは、C/C++コードに潜む既知の、しかし非常に危険な関数呼び出しを高速かつ無料で検出するための、非常に効果的なツールである。万能ではないが、そのシンプルさと手軽さから、特にセキュアコーディングのプラクティスを学び始めたばかりの初心者開発者にとっては、セキュリティ上の第一線の防御として非常に有用だ。開発の早い段階からFlawfinderを継続的に活用することで、よく知られた脆弱性のクラスが本番環境に到達するのを未然に防ぎ、より安全なソフトウェア開発を実現できるだろう。