Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「SoftEther VPN」に複数脆弱性 - アップデートで修正

SoftEther VPNプロジェクトが提供する「SoftEther VPN」や商用版であるソフトイーサの「PacketiX VPN」に脆弱性が明らかとなった。悪用は難しいが、国家レベルであればインターネット経路上の中間者攻撃も理論上可能だという。

「SoftEther VPN」では6件の脆弱性「CVE-2023-27395」「CVE-2023-22325」「CVE-2023-32275」「CVE-2023-27516」「CVE-2023-32634」「CVE-2023-31192」が判明。商用版の「PacketiX VPN」では、「CVE-2023-27395」「CVE-2023-22325」を除く4件の影響を受けるという。

「CVE-2023-27395」はダイナミックDNSのクライアント機能に明らかとなったヒープベースのバッファオーバーフローの脆弱性。一方「CVE-2023-32634」は、ローカル上の特定条件下において中間者攻撃を受けるおそれがある。

また「CVE-2023-27516」は、管理者パスワードを設定しないままリモート管理を行った場合に、パスワードの変更が可能となる。それぞれ共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.1」「7.8」「7.0」とした。他脆弱性のCVSS基本値はいずれも「6.0」未満と評価されている。

これら脆弱性はCisco SystemsのLilith氏が情報処理推進機構(IPA)へ報告したもので、JPCERTコーディネーションセンターが調整を実施した。

SoftEther VPNプロジェクトは、これら脆弱性を解消した新ビルド「VPN 4.42 Build 9798 RTM」を6月30日に公開。今回修正した脆弱性について、通常の使用環境や使用方法であれば、不正侵入に悪用されるリスクは比較的低く、実際の攻撃は容易ではないと説明している。

(Security NEXT - 2023/07/04 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Exim」に脆弱性 - 拡張子による添付ファイルブロックを回避されるおそれ
地理空間データを活用する「GeoServer」の脆弱性攻撃に注意
ドメインやホスティングが停止すると不安煽るフィッシングに警戒を
高校生向け施設見学ツアーの申込フォームで設定ミス - 電通大
生徒の個人情報含む教務手帳を紛失 - 立命館守山高校
児童相談所が児童の個人情報をメール誤送信 - 栃木県
「OpenSSH」の脆弱性「regreSSHion」、40以上のCisco製品に影響
中間者攻撃で認証応答を偽造できる脆弱性「Blast-RADIUS」
ServiceNowの「Now Platform」に深刻な脆弱性 - アップデートの実施を
「OpenStack」のモジュールに脆弱性 - 修正パッチが公開