Fastly セキュリティリサーチチーム

2016年7月18日 (月)、特定の Common Gateway Interface (CGI) スクリプトによる HTTP_PROXY 環境変数の処理の際の脆弱性に関する情報をセキュリティ研究者が発表しました。この脆弱性が Fastly に影響を及ぼすことはありませんが、オリジンとして使用する Web サーバーはさまざまなスクリプトを実行するため、その一部に脆弱性が存在する可能性があります。このセキュリティアドバイザリーでは、オリジンサーバーを攻撃から保護するためのガイダンスを提供します。

本日、OpenSSL Security Advisory{:target="_blank} と複数の研究者が共同で、「Decrypting RSA with Obsolete and Weakened Encryption」(DROWN) と呼ばれる HTTPS に対する新しい攻撃を公表しました{:target="_blank"}。Fastly の既存の TLS 設定により、Fastly のサービス、および Fastly を CDN として使用されているお客様には、この攻撃に対する脆弱性はありません。

Fastly は、トランスポートレイヤーセキュリティ (TLS) のデフォルト設定における、お客様のオリジンサーバーに接続する際に証明書が正しく検証されない問題を修正しました。2015年9月6日以降に作成されたサービスは影響を受けていません。このアドバイザリでは、この問題について説明し、リスクにさらされる可能性、弊社が実行した修正、および実行中のその他の改善策をお客様にお知らせします。 この脆弱性には、Fastly セキュリティの重大度「高」が割り当てられています。

2月16日 (火) に、研究者が標準 C ライブラリである glibc ライブラリの新しい脆弱性の詳細を公開しました。この脆弱性は、ホスト名を IP アドレスに変換するために使用されるコードに存在しました。これを使用したプロセスは、CDN などのネットワークサービスプロバイダーに非常に広く普及しています。 Fastly は、影響を受けるシステムにセキュリティ更新プログラムを直ちに導入しました。お客様によるアクションは必要ありません。Fastly のサービスは影響を受けませんでした。