スイート・セキュリティ、HTTP2Shell対策のランタイム保護を30日間無償提供へ

スイート・セキュリティは10月27日、HTTP2Shellの影響を受ける組織にランタイム保護を30日間無償提供すると発表した。既存顧客ではない企業も対象となる。「Sweet Safety Net」と名付けたこの施策では、アプリケーション担当チームが恒久的な修正に取り組む間、ランタイムセンサーと仮想パッチを提供する。 同社によると、センサーはアプリケーションのコードを変更せずに保護ポリシーを適用し、脆弱なコードに到達する前に悪用の試みを遮断する。共同創業者で最高経営責任者のドロール・カシュティ氏は「私たちは今、実際の稼働環境でHTTP2Shellの悪用の試みを確認している」と述べた。スイートは、センサーがポリシーの適用を確認するとワークロードが「Protected」の状態になり、規模の拡大や再起動後も保護が継続するとしている。これらは製品の動作に関する同社の説明である。 スイートは、同社が監視する環境の88%で悪用の試みを確認したとしている。この数値は同社の監視対象の環境についてのものだ。発表では、Node.js、Bun、Python、Envoy、Istioと、GoフレームワークのTraefik、Fiber、IrisでBrotliのデコード実装が影響を受けると説明している。今回提供する保護は、組織が恒久的な修正を準備する間に機能することを目的としている。 今回の発表に先立ち、スイートは10月25日にテルアビブから、GoフレームワークにおけるBrotliのデコードに関連する脆弱性への露出を研究で特定したと公表していた。先の発表では、依存関係が存在するだけで悪用可能とは判断できず、実際の露出はバージョン、デコーダーの使用状況、設定に左右されると注意を促していた。