パッケージマネージャーのHomebrewがバージョン7.0.0をリリースしました。今回のアップデートでは、脆弱性スキャナーの標準搭載、セキュリティ管理機能の強化に加え、ネイティブのグラフィカルインターフェース「BrewUI」が正式リリースとなりました。
このオープンソースのパッケージマネージャーは主にmacOSで利用されており、Linuxのパッケージマネージャーと同様の手軽さでソフトウェアをインストールできます。パッケージを自動でダウンロードし、依存関係の解決とインストールまで行ってくれる点が特徴です。
GitHub上でスター49,000、フォーク11,000を獲得していることからも、このプロジェクトの人気ぶりがうかがえます。その人気の高さゆえに、脅威アクターから狙われることも少なくありません。偽サイトやClickFix詐欺などを通じて、情報窃取マルウェアの配布に悪用されるケースが頻発しています。
最新版で正式リリースとなったBrewUIは、macOS 26「Tahoe」以降で利用できるネイティブのグラフィカルインターフェースです。パッケージの閲覧・検索はもちろん、依存関係の確認や管理も簡単に行えるようになりました。
新たに追加されたコマンド「brew vulns」により、ユーザーは脆弱性スキャナーを利用できるようになりました。あわせて、Homebrewが配布しているformulaのバージョンやリビジョンに影響する脆弱性を追跡する、Homebrew独自の脆弱性アドバイザリデータベースも用意されています。
Homebrewは、グラフィカルアプリケーションやフォント、プラグインなどのmacOS向けソフトウェアをインストールするための「cask」と、Rubyベースのパッケージ定義であるformulaを管理しています。formulaはHomebrewに対し、ファイルのダウンロードやビルドコマンドの実行、依存関係のインストールなどを指示できます。
Homebrew 7.0.0では、インストール済みのformula全体、特定のformula、あるいはBrewfileで宣言されたformulaとその依存関係をチェックできるスキャンコマンドが追加されました。
Homebrewは各formulaについて、アップストリームのソフトウェアリポジトリとそのバージョン/タグを特定します。インストール済みのパッケージについては、利用可能なSBOMの情報を使うか、formulaの定義からソースを導き出す仕組みです。</p
このコマンドは、アップストリームのリポジトリとバージョン/タグをまとめてOSV.devにバッチクエリとして送信し、脆弱性レコードを取得します。そして、該当する可能性のある脆弱性を検証したうえで、任意の深刻度フィルタを適用し、最終的にHomebrewが該当formulaに対してすでにセキュリティパッチを適用済みかどうかを確認します。
これとは別に、Homebrewの新しいアドバイザリデータベースでは、Homebrewのformulaバージョンおよびリビジョンに影響する脆弱性を記録したOSV形式のレコードが公開されています。これには、アップストリームのソフトウェアバージョンを変更せずにバックポートされた修正も含まれます。
「Homebrewは、formula APIおよびダウンロード可能なアドバイザリインデックスの中でアドバイザリの調査結果を公開しています。これにより、他のツールが未解決の脆弱性とすでに適用済みの修正とを区別しやすくなります」とプロジェクトチームは説明しています。
「このデータベースのOSV形式レコードはCC0のもとで自由に再利用可能であり、セキュリティチームにとってHomebrew特有の脆弱性データを共有できる情報源となります」
Homebrew 7.0.0では、サンドボックス機能も強化されました。ユーザーのホームディレクトリへのアクセスはデフォルトでブロックされるようになり、ネットワークを利用した依存関係のダウンロードとオフラインでのインストール処理が分離されました。
さらにHomebrewは、パッケージのダウンロード・準備・インストールを同時並行で実行できるようになったことで、新版ではインストールやアップグレードの処理速度も向上していると述べています。
