「SoftEther VPN」に複数脆弱性 - アップデートで修正

SoftEther VPNプロジェクトが提供する「SoftEther VPN」や商用版であるソフトイーサの「PacketiX VPN」に脆弱性が明らかとなった。悪用は難しいが、国家レベルであればインターネット経路上の中間者攻撃も理論上可能だという。

「SoftEther VPN」では6件の脆弱性「CVE-2023-27395」「CVE-2023-22325」「CVE-2023-32275」「CVE-2023-27516」「CVE-2023-32634」「CVE-2023-31192」が判明。商用版の「PacketiX VPN」では、「CVE-2023-27395」「CVE-2023-22325」を除く4件の影響を受けるという。

「CVE-2023-27395」はダイナミックDNSのクライアント機能に明らかとなったヒープベースのバッファオーバーフローの脆弱性。一方「CVE-2023-32634」は、ローカル上の特定条件下において中間者攻撃を受けるおそれがある。

また「CVE-2023-27516」は、管理者パスワードを設定しないままリモート管理を行った場合に、パスワードの変更が可能となる。それぞれ共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.1」「7.8」「7.0」とした。他脆弱性のCVSS基本値はいずれも「6.0」未満と評価されている。

これら脆弱性はCisco SystemsのLilith氏が情報処理推進機構（IPA）へ報告したもので、JPCERTコーディネーションセンターが調整を実施した。

SoftEther VPNプロジェクトは、これら脆弱性を解消した新ビルド「VPN 4.42 Build 9798 RTM」を6月30日に公開。今回修正した脆弱性について、通常の使用環境や使用方法であれば、不正侵入に悪用されるリスクは比較的低く、実際の攻撃は容易ではないと説明している。

（Security NEXT - 2023/07/04 ）ツイート

「SoftEther VPN」に複数脆弱性 - アップデートで修正

関連リンク

PR

関連記事