継続的ファジングをすり抜けるバグの実態——OSS-Fuzzの盲点

GitHubのセキュリティ研究者が、継続的ファジングに長期登録されているオープンソースプロジェクトにも依然として脆弱性が残存する理由を分析しました。ファジングは強力なツールですが、構造的な盲点を持っています。

最大の問題はコードカバレッジの偏りです。ランダムな入力生成は特定のコードパスを繰り返し実行する傾向があり、稀な実行条件や複雑な状態依存の脆弱性には到達しません。初期化されない変数など、特定の条件が揃って初めて現れるバグは特に見逃されやすいです。

解決策として構造化入力生成と、カバレッジ誘導ファジングの精度向上が挙げられています。またLLMを活用して脆弱になりやすいコードパターンを特定し、ファジングの効率を上げる研究も進んでいます。

ファジングは単独では万能ではなく、手動コードレビューやSAST（静的解析）との組み合わせが不可欠です。GitHubはFuzzing 101コースを提供し、セキュリティエンジニアのスキル底上げを支援しています。