IoT機器で広く採用される「Treck TCP/IP Stack」に深刻な脆弱性

ネットワーク接続機器で広く採用されているプロトコルスタック「Treck TCP/IP Stack」に、複数の深刻な脆弱性が明らかとなった。サプライチェーンを通じて多くの製品が同ソフトウェアを利用しており、影響が広がっている。

同ソフトウェアは、組み込みシステムにおいて「TCP/IPプロトコル」によるネットワーク接続機能を実装するために提供されているTreck製のライブラリ。

調整を経て、JSOFの研究者があわせて19件の脆弱性を公表した。リモートでコードを実行されたり、バックドアの設置、情報漏洩などにつながるおそれがある。同研究者は、これら脆弱性群を「Ripple20」と命名した。

ブロードキャストによってネットワーク内の脆弱な機器をすべて同時に乗っ取るといった攻撃や、NATをバイパスした攻撃シナリオなども想定されている。また今回判明した脆弱性のいくつかは、同プロトコルスタックと歴史的に関係を持つ図研エルミック製のTCP/IPミドルウェア「KASAGO」も影響を受けるとされている。

HP、Schneider Electric、Intel、Rockwell Automation、Caterpillar、Baxterなど多くの機器が同プロトコルスタックを採用しており、影響はサプライチェーンを通じて供給された家庭向けのデバイスはもちろん、ネットワーク機器、産業制御機器、医療機器、重要インフラ分野など多岐にわたると研究者は指摘している。

（Security NEXT - 2020/06/18 ） ツイート

PR

関連記事