米Google、Webアプリケーション向けの高速な脆弱性スキャナ「Skipfish」を公開

　米Googleは3月19日、Webアプリケーション向けのセキュリティ脆弱性スキャナ「Skipfish」を公開した。現在最新版となるバージョン1.1ベータのコードが公開されている。

　Skipfishはクロスサイトスクリプティング、SQLインジェクションなど、Webアプリケーションで発生する可能性のあるセキュリティホールをスキャンして検出するツール。誤検知を抑えた高度なセキュリティチェックを導入、捉えにくいセキュリティホールを検出できるとしている。Cで実装されており、HTTPハンドリング向けに最適化することで速度を改善、LAN環境で毎秒2000件以上のHTTP要求を処理できるという。使い勝手が良い点も特徴としている。

　検出できる問題としてはSQLインジェクションやシェルコマンドの実行、XML/XPathインジェンクション、フォーマット文字列のチェックミスや整数オーバーフローといった危険度の高い脆弱性から、各種クロスサイトスクリプティングやディレクトリトラバーサル攻撃、不正なMIMEタイプの利用といった危険度が中程度のもの、不正なリダイレクトや不正なSSL証明書の利用といった比較的危険度の低いものまで多数が用意されている。

　SkipfishはLinux、FreeBSD 7.0以上、Mac OS X、Windows（Cygwin）に対応するコマンドラインベースのツールで、ライセンスはApache License 2.0。

米Google
http://www.google.com/

プロジェクトページ
http://code.google.com/p/skipfish/