【ITニュース解説】「VMware Tanzu for Valkey」の脆弱性を修正 - 「クリティカル」も

ITニュース概要

クラウドで使われる高速データベース「VMware Tanzu for Valkey」に、複数のセキュリティ上の欠陥（脆弱性）が発見された。中には最も危険度が高い「クリティカル」なものも含まれており、開発元が修正アップデートを公開。利用者は速やかな適用が求められる。

ITニュース解説

Broadcom社が「VMware Tanzu for Valkey」という製品のセキュリティアップデートを公開した。このアップデートは、製品に含まれる複数の脆弱性、すなわちセキュリティ上の弱点を修正するためのものである。特に、その中には最も危険度が高い「クリティカル」と評価される脆弱性も含まれており、ITシステムを管理する上で非常に重要な情報である。このニュースを理解するために、まず関連する技術要素から順に解説する。 まず、「VMware Tanzu for Valkey」がどのようなものかを理解する必要がある。この製品名は三つの要素、「インメモリデータストア」「Valkey」「VMware Tanzu」から成り立っている。一つ目の「インメモリデータストア」とは、データをハードディスクやSSDのような記録媒体ではなく、コンピュータのメインメモリ（RAM）上に保存する仕組みのデータベースである。メモリはディスクに比べてデータの読み書きが圧倒的に高速なため、インメモリデータストアは非常に素早い応答が求められるシステムで活躍する。例えば、Webサイトの表示を高速化するためのキャッシュデータの保存や、リアルタイムでの大量データ分析、オンラインゲームのプレイヤー情報管理といった用途で利用される。二つ目の「Valkey（ヴァルキー）」は、このインメモリデータストアを実現するためのオープンソースソフトウェアの一つである。もともとは「Redis（レディス）」という非常に有名で広く使われているソフトウェアがあったが、そのライセンスポリシーの変更をきっかけに、Redisのソースコードから分岐（フォーク）して開発が始まった後継プロジェクトがValkeyである。基本的な機能や特徴はRedisと似ており、高速なデータ処理能力を持つ。三つ目の「VMware Tanzu（タンズ）」は、近年のアプリケーション開発で主流となっている「コンテナ」技術を、企業が大規模かつ効率的に利用するためのプラットフォーム製品群である。コンテナとは、アプリケーションをその実行に必要なライブラリや設定ファイルなどと一緒にパッケージ化する技術で、これによりどんな環境でもアプリケーションを素早く確実に動かすことができる。このコンテナを多数管理・運用する標準的な仕組みが「Kubernetes（クバネティス）」であり、TanzuはKubernetesの活用を強力に支援する。これらを踏まえると、「VMware Tanzu for Valkey」とは、VMware Tanzuという最新のアプリケーション実行環境の上で、Valkeyという高速インメモリデータストアを簡単に、そして安定して利用できるようにしたソリューションということになる。企業はこれを利用することで、クラウドネイティブなモダンアプリケーションに求められる高速なデータ処理基盤を容易に構築できる。 今回のニュースの核心は、この「VMware Tanzu for Valkey」に複数の「脆弱性」が発見されたという点である。脆弱性とは、ソフトウェアの設計やプログラムコードに含まれる欠陥や弱点のことで、サイバー攻撃者はこの弱点を突いてシステムに侵入したり、データを盗んだり、サービスを停止させたりする。脆弱性には危険度に応じて深刻度が設定されており、今回の発表では最も高いレベルである「クリティカル」な脆弱性が含まれていることが特に重要である。脆弱性の深刻度は、攻撃の容易さや、攻撃が成功した場合の影響の大きさなどを基に評価される。クリティカルと評価される脆弱性は、多くの場合、攻撃者が遠隔から特別な権限なしにシステムを完全に掌握できてしまう「リモートコード実行」や、システムの管理者権限を奪取できてしまうような、極めて深刻な事態を引き起こす可能性がある。今回の脆弱性の具体的な内容は公開されていないが、もしクリティカルな脆弱性が悪用されれば、「VMware Tanzu for Valkey」上で管理されている重要なデータ、例えば顧客情報や認証情報などが盗まれたり、改ざんされたりする危険性がある。さらに、データストアが乗っ取られることを足がかりに、システム全体へ攻撃が拡大し、企業活動に甚大な被害を及ぼす可能性も否定できない。このように、クリティカルな脆弱性の存在は、そのシステムを利用する企業にとって極めて高いリスクとなる。 このような深刻な脆弱性に対して、開発元であるBroadcomは修正プログラムを含むセキュリティアップデートをリリースした。これが唯一の根本的な対策である。この製品を利用しているシステムの管理者や開発者は、この情報を確認し、自社のシステムが影響を受けるかどうかを判断した上で、可及的速やかにアップデートを適用しなければならない。アップデートを怠り、脆弱性が存在する状態を放置することは、攻撃者に扉を開け放しているのと同じであり、非常に危険である。この一連の出来事は、システムエンジニアを目指す者にとって重要な教訓を含んでいる。第一に、どれだけ有名な企業が開発したソフトウェアであっても、脆弱性が全く存在しない完璧なものはないという事実である。ソフトウェアは人間が作るものである以上、必ずどこかに欠陥が潜んでいる可能性がある。そのため、システムを構築して終わりではなく、継続的にその安全性を維持していく運用が不可欠となる。第二に、セキュリティ情報の収集と迅速な対応の重要性である。ベンダーやセキュリティ関連機関から発表される脆弱性情報を日常的にチェックし、自らが管理するシステムに関連する情報を見逃さないようにする習慣が求められる。そして、修正プログラムが提供された際には、システムの稼働への影響を考慮しつつも、迅速に適用計画を立てて実行する判断力と技術力が必要となる。特にValkeyのようなオープンソースソフトウェアを基盤とする製品の場合、そのオープンソースコミュニティと、それを利用して製品を提供するベンダーの両方から情報が出てくる可能性があるため、幅広い情報収集が重要になる。現代のITシステムは、VMware TanzuやValkeyのように、様々なソフトウェアコンポーネントが複雑に組み合わさって構築されている。そのため、システム全体の安全性を確保するためには、OSやネットワーク機器だけでなく、その上で動作するミドルウェアやアプリケーション一つひとつのセキュリティにも目を光らせる必要がある。今回のニュースは、その事実を改めて示す一例と言えるだろう。