Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

一部ネットワーク機器に「DDoS攻撃」や「アクセス制御回避」の脆弱性

複数ベンダーのネットワーク機器に、「IP-in-IPプロトコル」を適切に処理しない脆弱性が含まれていることがわかった。「DDoS攻撃」や「アクセス制御」の回避に悪用されるおそれがある。

「IP in IPプロトコル」は、IPパケット内にカプセル化した別のIPパケットを含める技術だが、一部機器において、同プロトコルの処理に脆弱性「CVE-2020-10136」が明らかとなったもの。

受信した機器がカプセル化されたIPパケットを解除、転送する際に「送信元」と「宛先」が適切であるか確認する必要があるが、そうした処理を行っていない脆弱な機器では、攻撃者が指定した任意の宛先にパケットが転送されるおそれがある。

同脆弱性が悪用されると、DDoS攻撃の一種であるリフレクション攻撃の踏み台として利用されたり、アクセス制御の回避に悪用される可能性がある。

CERT/CCでは、脆弱性の調査にも利用できるPoCを公開。あわせてCisco SystemsやHP、Digi Internationalなど、脆弱性の影響を受けるベンダー情報を公開し、各社が提供する緩和策の実施を求めた。国内ベンダーに関する情報は、JVNに掲載されている。

またセキュリティ機関では、IDSによる不正なパケットへの対策や、「IP-in-IP」を利用していない場合は、無効化するなど、対策の実施を呼びかけている。

(Security NEXT - 2020/06/04 ) このエントリーをはてなブックマークに追加

PR

関連記事

トレンドマイクロのエンドポイント製品に脆弱性 - すでに悪用も、早急に更新を
米英豪、悪用多い脆弱性トップ30件を公表 - 早急に修正を
PEARライブラリ「Archive_Tar」に脆弱性 - 「Drupal」などにも影響
「Chrome 92」で35件のセキュリティ修正
Oracle、四半期定例パッチを公開 - 脆弱性のべ342件を修正
「Windows」に権限昇格のゼロデイ脆弱性 - MSが詳細を調査
Linuxカーネルにroot権限を取得できる脆弱性 - 1Gバイト超のパス長処理で
「Citrix ADC」や「Citrix Gateway」に複数脆弱性 - 認証回避のおそれ
Adobeの複数製品に深刻な脆弱性 - 定例外でパッチ公開
「FortiManager」「FortiAnalyzer」に脆弱性 - root権限でコード実行のおそれ