それはねえ、ソクラテス。たとえば、download.checkmarx.comのアーカイブが悪意のある者が置き換えられたら、絶対パスを含むtarファイルがインストールディレクトリ外にファイルを書き込む可能性があるからです。だから、ハッシュ値で検証する必要があります。

ええ、その脆弱性はast-cliのtar抽出処理に存在します。インストール時にこの処理が使われるかどうか、つまりVorpal ASCAリアルタイムエンジンやSCA Resolverが導入されているかを確認しないと、影響範囲がわかりません。なので、製品のバージョンとCVEの関連性を確認する必要があります。

パッチ適用は、テスト環境で事前に検証し、本番環境への適用は変更管理プロセスに沿って行うべきです。たとえば、ステージング環境で抽出処理が修正後の挙動を確認し、影響範囲の確認を含め、変更履歴を記録しましょう。

インストールディレクトリ外への不正なファイル書き込みを監視するため、ログ監視や異常検知ツールを活用すべきです。また、アーカイブのハッシュ値を定期的に確認する仕組みを構築するのも良いでしょう。

ベンダーが提供する修正情報やセキュリティアドバイスを確認することで、自社の環境に合った対応策を講じられます。たとえば、Checkmarxが提供する公式パッチや、信頼できるソースからのアーカイブ取得方法の確認が必要です。

簡単です。信頼できるソースからアーカイブを取得し、ハッシュ値で検証し、利用中のソフトウェアが該当バージョンを含むか確認し、パッチ適用を変更管理プロセスで行う。それだけです。でも、download.checkmarx.comのアーカイブを置き換える悪者がいるかもしれませんからね。