Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

一部ネットワーク機器に「DDoS攻撃」や「アクセス制御回避」の脆弱性

複数ベンダーのネットワーク機器に、「IP-in-IPプロトコル」を適切に処理しない脆弱性が含まれていることがわかった。「DDoS攻撃」や「アクセス制御」の回避に悪用されるおそれがある。

「IP in IPプロトコル」は、IPパケット内にカプセル化した別のIPパケットを含める技術だが、一部機器において、同プロトコルの処理に脆弱性「CVE-2020-10136」が明らかとなったもの。

受信した機器がカプセル化されたIPパケットを解除、転送する際に「送信元」と「宛先」が適切であるか確認する必要があるが、そうした処理を行っていない脆弱な機器では、攻撃者が指定した任意の宛先にパケットが転送されるおそれがある。

同脆弱性が悪用されると、DDoS攻撃の一種であるリフレクション攻撃の踏み台として利用されたり、アクセス制御の回避に悪用される可能性がある。

CERT/CCでは、脆弱性の調査にも利用できるPoCを公開。あわせてCisco SystemsやHP、Digi Internationalなど、脆弱性の影響を受けるベンダー情報を公開し、各社が提供する緩和策の実施を求めた。国内ベンダーに関する情報は、JVNに掲載されている。

またセキュリティ機関では、IDSによる不正なパケットへの対策や、「IP-in-IP」を利用していない場合は、無効化するなど、対策の実施を呼びかけている。

(Security NEXT - 2020/06/04 ) このエントリーをはてなブックマークに追加

PR

関連記事

Adobe、複数製品にセキュリティ更新 - CVSS基本値「9.8」の脆弱性も
SAP、月例パッチ13件をリリース - 重要度がもっとも高い「HotNews」は2件
「QVR」が稼働するQNAP製NASにRCEの脆弱性が判明
VMware、「vRO」など複数製品の脆弱性を修正
「Adobe Acrobat/Reader」に深刻な脆弱性 - 修正パッチが公開
MS、10月の月例セキュリティ更新をリリース - ゼロデイ脆弱性1件含む74件を解消
Google、「Chrome 94.0.4606.81」を公開 - 脆弱性4件を修正
「iOS 15.0.2」「iPadOS 15.0.2」がリリース - 悪用報告ある脆弱性に対処
Nike製アプリに脆弱性 - フィッシングに悪用されるおそれ
わずか3日、「Apache HTTPD」が再修正 - 前回修正は不十分、RCEのおそれも