Replit、今週公開されたサードパーティ脆弱性への対応を説明

Replitは、今週公開された複数のサードパーティ製ソフトウェアの脆弱性への対応状況を公表しました。アプリが動く環境はReplitが管理しているため、多くの保護はユーザー操作なしで適用されたとしていますが、一部の修正ではアプリの再公開が必要です。

詳細

eMudhra認証局の鍵問題: 認証局の鍵署名の際に推測可能な弱い秘密鍵が使われ、TLS証明書のなりすましが可能になり得る問題です。Replitはベースイメージから該当CAを削除し、Node.jsを含む公開済みアプリの95%に自動で修正を適用したとしています。Pythonツールもパッチ済みで、Pythonアプリは再公開が必要です。
Node.js: Brotliデコーダーのリモートコード実行につながり得る欠陥などが公開されました。ReplitはWAF保護を導入し、修正版Node.jsを提供。Node.jsアプリの再公開を求めています。
PHP: リモートコード実行につながり得る脆弱性です。WAF保護とPHPツールのパッチを実施し、再公開を推奨しています。
LiteLLMのサプライチェーン攻撃: 既存のSocket Firewallが悪意あるパッケージのインストールをすべてブロックしたため、対応は不要としています。
Linuxカーネル: microVMアーキテクチャにより悪用を防げたとし、修正済みカーネルが利用可能になり次第アップグレードします。対応は不要です。
ユーザーの対応: Security Centerで公開済みアプリを絞り込み、未解決の問題を確認してパッチを適用し、再公開します。対象ユーザーにはメールで通知されます。

Replitは、AIによって脆弱性が見つけやすくなるため、今後は発見ペースが上がると見ています。先回りの緩和策への投資と対応の自動化を進め、アーキテクチャ面の保護についてホワイトペーパーを公開するとしています。