Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

一部ネットワーク機器に「DDoS攻撃」や「アクセス制御回避」の脆弱性

複数ベンダーのネットワーク機器に、「IP-in-IPプロトコル」を適切に処理しない脆弱性が含まれていることがわかった。「DDoS攻撃」や「アクセス制御」の回避に悪用されるおそれがある。

「IP in IPプロトコル」は、IPパケット内にカプセル化した別のIPパケットを含める技術だが、一部機器において、同プロトコルの処理に脆弱性「CVE-2020-10136」が明らかとなったもの。

受信した機器がカプセル化されたIPパケットを解除、転送する際に「送信元」と「宛先」が適切であるか確認する必要があるが、そうした処理を行っていない脆弱な機器では、攻撃者が指定した任意の宛先にパケットが転送されるおそれがある。

同脆弱性が悪用されると、DDoS攻撃の一種であるリフレクション攻撃の踏み台として利用されたり、アクセス制御の回避に悪用される可能性がある。

CERT/CCでは、脆弱性の調査にも利用できるPoCを公開。あわせてCisco SystemsやHP、Digi Internationalなど、脆弱性の影響を受けるベンダー情報を公開し、各社が提供する緩和策の実施を求めた。国内ベンダーに関する情報は、JVNに掲載されている。

またセキュリティ機関では、IDSによる不正なパケットへの対策や、「IP-in-IP」を利用していない場合は、無効化するなど、対策の実施を呼びかけている。

(Security NEXT - 2020/06/04 ) このエントリーをはてなブックマークに追加

PR

関連記事

MTAの「Exim」に21件の脆弱性、PoCも公開 - パッチ適用を
「Firefox」にセキュリティ更新 - Android版のみ影響する深刻な脆弱性も
「Samba」にサービス拒否や共有ファイルを削除される脆弱性
VPN製品「Pulse Connect Secure」にアップデート - ゼロデイ脆弱性など修正
「BIND 9」に3件の脆弱性 - RCEやDoS攻撃のおそれ
QNAPのバックアップソリューション「HBS 3」に深刻な脆弱性
Google、「Chrome 90.0.4430.93」をリリース - 9件のセキュリティ修正を実施
都の医療従事者向け「ワクチン接種予約システム」に複数不具合
Apple、「iOS 14.5」をリリース - 脆弱性50件を修正
「Drupal」にXSS脆弱性、早急にアップデート実施を