Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「SoftEther VPN」に複数脆弱性 - アップデートで修正

SoftEther VPNプロジェクトが提供する「SoftEther VPN」や商用版であるソフトイーサの「PacketiX VPN」に脆弱性が明らかとなった。悪用は難しいが、国家レベルであればインターネット経路上の中間者攻撃も理論上可能だという。

「SoftEther VPN」では6件の脆弱性「CVE-2023-27395」「CVE-2023-22325」「CVE-2023-32275」「CVE-2023-27516」「CVE-2023-32634」「CVE-2023-31192」が判明。商用版の「PacketiX VPN」では、「CVE-2023-27395」「CVE-2023-22325」を除く4件の影響を受けるという。

「CVE-2023-27395」はダイナミックDNSのクライアント機能に明らかとなったヒープベースのバッファオーバーフローの脆弱性。一方「CVE-2023-32634」は、ローカル上の特定条件下において中間者攻撃を受けるおそれがある。

また「CVE-2023-27516」は、管理者パスワードを設定しないままリモート管理を行った場合に、パスワードの変更が可能となる。それぞれ共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.1」「7.8」「7.0」とした。他脆弱性のCVSS基本値はいずれも「6.0」未満と評価されている。

これら脆弱性はCisco SystemsのLilith氏が情報処理推進機構(IPA)へ報告したもので、JPCERTコーディネーションセンターが調整を実施した。

SoftEther VPNプロジェクトは、これら脆弱性を解消した新ビルド「VPN 4.42 Build 9798 RTM」を6月30日に公開。今回修正した脆弱性について、通常の使用環境や使用方法であれば、不正侵入に悪用されるリスクは比較的低く、実際の攻撃は容易ではないと説明している。

(Security NEXT - 2023/07/04 ) このエントリーをはてなブックマークに追加

PR

関連記事

「PowerDNS Recursor」にDNSキャッシュポイズニングの脆弱性
「Cisco ISE」「PaperCut NG/MF」の脆弱性狙う攻撃に注意
「Cisco ISE」の複数脆弱性を狙う攻撃が発生 - 早急に対処を
サイトDBより個人情報流出の可能性 - リゾート施設運営会社
2Q「JVN iPedia」登録は1万件超 - 98.7%が「NVD」情報
Bitnamiの一部「Helm Chart」に脆弱性 - 機密情報漏洩のおそれ
セミナー申込フォーム、確認設定から他者が閲覧可能に - 山口県
日本語学習支援施設のサイトが改ざん被害 - 横浜市
フォームで個人情報が閲覧可能に、社内共有時のミスで - スーパーチェーン
サーバがランサム被害、個人情報流出の可能性 - 川崎設備工業